Por muito tempo, segurança cibernética no sistema financeiro foi tratada como um conjunto de controles técnicos espalhados: firewall, criptografia, um SOC no centro e políticas bem escritas no papel. A publicação da Resolução CMN nº 5.274, em dezembro de 2025, junto com a Resolução BCB nº 538, sinaliza que esse modelo chegou ao limite.
O regulador mudou a pergunta. Não é mais “quais controles você tem?”.
É “como você governa, comprova e sustenta esses controles na prática?”.
Essa mudança não acontece por acaso. Ela acompanha a digitalização acelerada do setor financeiro, o papel sistêmico do Pix e a dependência cada vez maior de infraestruturas digitais críticas. Em um ambiente onde bilhões de transações passam por alguns poucos sistemas centrais, as falhas deixam de ser localizadas e passam a ser sistêmicas.
Quanto maior a escala, menor a margem para improviso. Para o erro, a margem é zero.
É nesse cenário que a identidade digital deixa de ser um detalhe técnico e passa a ser um ativo regulatório. IAM (Identity and Access Management) deixa de viver nos bastidores da TI e passa a ocupar o centro da discussão sobre risco, governança e resiliência operacional.
A CMN 5.274/2025 fala em fortalecer infraestruturas de comunicação de dados, sistemas de pagamento e ambientes críticos como Pix, STR e RSFN. Traduzindo para a realidade operacional, isso significa responder de forma objetiva a quatro perguntas que toda auditoria vai fazer: quem acessa, o que acessa, em quais condições e com qual nível de privilégio.
Nenhuma dessas respostas é sustentada por firewall, criptografia ou monitoramento isolado. Todas passam, inevitavelmente, pela identidade.
A identidade digital é o ponto onde a intenção vira ação, é ela que conecta pessoas, sistemas e serviços aos ativos mais sensíveis da instituição. Quando esse controle é frágil, distribuído ou pouco rastreável, todo o restante da arquitetura herda o risco.
Por isso, IAM se consolida como controle de primeira linha. Não como mais uma ferramenta, mas como o mecanismo que transforma princípios regulatórios em controles técnicos verificáveis. É o IAM que define se o acesso é legítimo, se o privilégio é adequado e se aquela ação pode ou não acontecer naquele contexto.
Esse ponto fica ainda mais evidente quando a norma reforça accountability. O regulador não está interessado em promessas ou diagramas conceituais. Ele exige evidência, logs consistentes, trilhas de auditoria confiáveis, histórico claro de concessão, revisão e revogação de acessos.
Controle que não pode ser demonstrado não existe do ponto de vista regulatório
A Resolução BCB nº 538 traz uma camada adicional de pressão ao tratar da contratação de tecnologia, nuvem e fornecedores críticos. A mensagem é direta: terceirizar tecnologia não terceiriza responsabilidade. Se um terceiro acessa seus sistemas, o risco continua sendo seu.
Isso desloca o foco da discussão para a governança de identidades externas. Quem é interno, quem é terceiro, quem é conta técnica. Quem tem acesso permanente, quem deveria ter acesso temporário. Quem ainda acessa mesmo após o fim do contrato.
Sem IAM verdadeiramente estruturado, essas respostas costumam depender de processos manuais, planilhas espalhadas entre departamentos e times, além do conhecimento informal. Esse tipo de controle simplesmente não escala, e o cenário é mais comum do que parece
O crescimento do Pix expõe esse limite de forma ainda mais clara. O volume de transações, eventos e acessos torna inviável qualquer modelo baseado em exceções tratadas manualmente.
IAM moderno muda essa lógica ao permitir automação desde o provisionamento até a revogação, integração com sistemas de RH e terceiros, políticas dinâmicas baseadas em contexto e risco, e redução drástica de erros humanos. A segurança deixa de depender da memória das pessoas e de documentos de compliance com regras que quase nunca são aplicadas na íntegra para ser sustentada por processos que rodam de forma clara, totalmente governados.
Outro ponto sensível, reforçado de forma indireta pelas resoluções, é o impacto das identidades privilegiadas. Incidentes graves raramente começam com usuários comuns, eles começam com acessos excessivos, contas compartilhadas e privilégios permanentes que ninguém revisa.
Sem controle rigoroso de acessos privilegiados, a resiliência operacional vira discurso. Com IAM bem estruturado, é possível adotar acessos sob demanda, com tempo definido, monitoramento de sessões e rastreabilidade completa. Não como exceção, mas como padrão.
No fim das contas, a CMN 5.274/2025 não cria um “novo requisito de IAM”. Ela deixa claro que segurança cibernética, governança de tecnologia, gestão de terceiros e proteção de infraestruturas críticas só se materializam quando a identidade digital é tratada como infraestrutura.
O recado da regulação é simples: segurança não é mais um projeto isolado, é base operacional. Instituições que continuam tratando identidade digital como tema secundário vão sentir isso primeiro em auditorias, depois em incidentes.
Segurança não precisa ser complexa, precisa ser inteligente, contínua e comprovável.
Quer entender como o authcube pode ajudar sua empresa a se enquadrar às novas resoluções? Fale com nossos especialistas!
