O Banco Central do Brasil (BCB ou Bacen) e o Conselho Monetário Nacional (CMN) atualizaram a política de segurança cibernética do Sistema Financeiro com a Resolução CMN nº 5.274 (dez/2025), acompanhada pela Resolução BCB nº 538 (para instituições de pagamento). E o recado é bem direto: a régua saiu do “tenha uma política de segurança” e virou “me prove que os controles funcionam”.
O mercado sentiu a pressão e, nos últimos meses, muitas instituições perceberam que um “ajuste pontual” não será o suficiente para fechar a conta. A exigência agora é governança + controles técnicos + evidências auditáveis, com foco especial em ambientes críticos como Pix/STR/RSFN.
A pergunta que fica não é “estamos seguros?”. É: conseguimos provar controle, com rastreabilidade e consistência, quando o regulador pedir?
O que muda na prática: o regulatório virou operação
Até aqui, muitas organizações operavam com um modelo confortável: política aprovada, comitê em pé, ferramenta aqui e ali, e uma trilha que “dá pra organizar e demonstrar” quando alguém pede.
A atualização muda o eixo.
Agora existe um mínimo obrigatório verificável: controles técnicos e processos contínuos que precisam estar rodando — e não só descritos. E isso inclui frentes como controles de acesso/autenticação, rastreabilidade (logs fim a fim), correção contínua de vulnerabilidades, integração segura entre sistemas/APIs e ações de inteligência cibernética (inclusive monitoramento de fontes externas).
E tem um ponto que muita empresa subestima: as novas regulamentações ampliam o escopo. Controles passam a cobrir também sistemas adquiridos e/ou desenvolvidos por terceiros operando com recursos da instituição, ou seja, fornecedor não é “zona neutra”.
Por que Pix/STR/RSFN entram no centro
As regulamentações BCB 538 e CMN 5.724 reforçam requisitos em ambientes e comunicações críticos (Pix, STR e RSFN). Entre os reforços mais citados nas análises do mercado estão exigências objetivas como:
- MFA para acessos administrativos aos ambientes Pix e STR
- isolamento físico e lógico desses ambientes (inclusive em nuvem)
- monitoramento de credenciais e certificados digitais e vedação de terceiros com acesso às chaves privadas de assinatura
- validação de integridade ponta a ponta antes da assinatura digital das transações
- testes de intrusão periódicos obrigatórios
- retenção de dados e governança da segurança de informação
Isso é importante por um motivo claro: em infraestrutura crítica, qualquer fragilidade vira risco sistêmico. E quando a norma entra nesses detalhes, ela está dizendo que “boas práticas genéricas” não bastam mais.
Evidências auditáveis para o setor financeiro
A norma também endurece a lógica de comprovação. Um exemplo bem didático: testes de intrusão passam a ganhar mais peso como disciplina obrigatória, com execução regular por profissionais independentes, documentação e plano de ação, além de retenção de evidências por anos.
E aqui entra o ponto mais crítico: muita instituição não falha por falta de ferramenta. Falha por falta de evidência organizada e disponível na hora que for preciso.
Por que a identidade digital virou o gargalo regulatório (e o principal ponto de ruptura)?
Com a nova regulamentação, o Bacen passa a exigir controles claros e maduros de identidade, segmentação real de ambientes críticos, incluindo um monitoramento constante, e total rastreabilidade de ameaças e riscos externos. Isso redireciona as práticas de segurança digital do setor financeiro, que invés de trabalhar de forma reativa, resolvendo incidentes quando acontecem, passa a ser obrigado a trabalhar de forma proativa, colocando a identidade digital no centro da estratégia e do risco. E faz sentido: identidade é o “fio” que amarra tudo.
É olhando para a identidade digital que as empresas conseguem responder, com velocidade e consistência:
- quem acessou?
- por qual método autenticou?
- qual era o contexto e o risco?
- o que fez depois?
Os 3 erros que mais comuns no setor financeiro (e que mais custam)
1) rastreabilidade inconsistente
Cada canal registra de um jeito. Cada sistema tem trilha diferente. Cada fornecedor entrega log proprietário. Resultado: a equipe de TI até “acha” o evento, mas não fecha a cadeia.
2) fricção vs permissividade
Quando o time endurece rápido, trava jornada crítica. Quando “não quer atrapalhar”, abre exceção. O caminho certo é controle proporcional ao risco — com step-up quando o contexto pede.
3) exceções viram padrão (e padrão vira incidente)
Entrada de terceiros, centrais, acessos específicos para squads, credenciais em caráter de exceção para resolver urgências… o que era temporário vira permanente. E aí nenhuma política aguenta.
Onde o authcube entra: orquestração de identidade para provar controle, sem criar um monstro
Quando a régua é “controle verificável + evidência”, o que você precisa não é mais uma ferramenta isolada. Você precisa orquestrar e garantir governança de verdade.
O authcube atua como uma camada de orquestração de identidade digital: conecta provedores, métodos e sinais de risco para aplicar políticas com consistência em todos os pontos da jornada — sem virar refém de integrações infinitas.
Na prática, isso significa:
- políticas por contexto (risco real): comportamento, dispositivo, localização, horário, padrão
- autenticação forte sem travar conversão: step-up quando o risco sobe
- jornadas padronizadas entre canais: web, app, portal, API
- trilha e evidência organizadas: eventos com padrão, prontos para auditoria e investigação
- mudança rápida: ajusta regras e fluxos sem precisar de um “projeto de 6 meses”
Um checklist honesto: sua instituição está pronta para as novas regras de cibersegurança?
Se você quiser um diagnóstico rápido (e sincero), responda:
✅ sua empresa consegue provar quem acessou e como autenticou em todos os canais?
✅ sua solução atual diferencia acesso normal vs suspeito e exige step-up automaticamente?
✅ há segregação por perfil/função (SoD) sem exceções eternas?
✅ existe real visibilidade e controle sobre terceiros e operação distribuída?
✅ é possível gerar evidência auditável sem depender de “pessoas-chave” e planilha manual?
✅ quando um incidente acontece, o time de segurança consegue correlacionar eventos em minutos, não em horas?
Se você marcou “não” em 2 ou mais itens, não é uma questão de aumentar o esforço. É arquitetura. E aí sua empresa precisa rever isso com cuidado, e com urgência.
Os reguladores não querem promessas, querem provas.
O movimento regulatório deixa claro: conformidade e segurança agora precisam ser executáveis, e não “declaráveis”. E nesse jogo, identidade digital é a base que sustenta auditoria, rastreabilidade e resposta a incidentes.
Se você quer ir além e entender como o authcube pode ajudar sua organização a atender as resoluções do Bacen, fale com um de nossos especialistas.
