Cyber deixou de ser tema de TI e virou tema de board

Depois de julho de 2025, cibersegurança deixou de ser tema de TI no setor financeiro. Virou tema de conselho.

O ataque que desviou cerca de R$ 800 milhões de contas-reserva de instituições no Banco Central não precisou quebrar criptografia. Usou credenciais legítimas, obtidas de um funcionário de um prestador de serviço.

A resposta regulatória veio em camadas:
→ regras mais duras para os prestadores de tecnologia que conectam instituições ao sistema de pagamentos, com exigência de capital e governança;
→ a Resolução CMN 5.274/2025, com 14 procedimentos mínimos de segurança, teste de intrusão anual por profissionais independentes e prazo de adequação em março de 2026;
→ e responsabilidade maior sobre terceiros: os controles valem também para sistemas de fornecedores que rodam com recursos da instituição.

O que todo executivo de tecnologia em pagamentos deveria levar ao board:

1. Mapa de terceiros críticos. Quem tem credencial que movimenta dinheiro, e em quantos minutos ela é revogada.
2. Identidade como perímetro. MFA forte, privilégio mínimo e acesso just-in-time para toda credencial sensível, inclusive de fornecedor.
3. Detecção de comportamento anômalo, não só de assinatura de ataque. O incidente de 2025 parecia uso legítimo.
4. Tempo de resposta como indicador de negócio. Minutos de exposição viram milhões.

Em 2024, o NIST colocou "Governar" como função central do seu framework de cibersegurança. O recado é o mesmo: segurança é decisão de gestão, não só de ferramenta.

Como os conselhos das suas empresas estão tratando esse tema hoje?