Por Paulo Baldin, CISO e sócio da CLA Brasil
A segurança digital deixou de ser exclusivamente uma agenda de tecnologia. Em instituições financeiras, ela passou a representar uma dimensão essencial da governança, da gestão de riscos, da prevenção a ilícitos e da proteção da confiança depositada por clientes, investidores e pelo próprio sistema financeiro.
Essa mudança de perspectiva aparece com clareza quando conectamos dois movimentos recentes: de um lado, a evolução das ameaças digitais e a necessidade de fortalecer a resiliência cibernética do setor financeiro; de outro, a decisão do Banco Central que aplicou sanções ao Banco Genial por falhas relacionadas à qualificação de clientes, ao monitoramento de operações e à comunicação de situações suspeitas ao Coaf.
Embora os temas possam parecer distintos, segurança cibernética e prevenção à lavagem de dinheiro ambos revelam a mesma exigência regulatória e de governança: não basta declarar que existem controles. É necessário demonstrar que eles funcionam, produzem evidências e geram resposta tempestiva diante do risco.
O risco não está mais separado por áreas
Durante muito tempo, as organizações trataram segurança da informação, compliance, prevenção à lavagem de dinheiro, fraude e privacidade como disciplinas relativamente independentes. Cada área possuía políticas próprias, sistemas específicos, indicadores distintos e, em alguns casos, pouca integração com as demais.
Esse modelo já não responde à realidade dos negócios digitais.
Uma operação financeira pode envolver, simultaneamente:
- abertura ou manutenção de relacionamento digital;
- autenticação e gerenciamento de identidade;
- transações via Pix;
- conversão de moeda;
- movimentação de ativos virtuais;
- transferência internacional;
- uso de terceiros ou contas relacionadas;
- tratamento de grandes volumes de dados pessoais;
- atuação de APIs, provedores de nuvem e sistemas automatizados.
Em um ambiente assim, uma anomalia de segurança pode ser também um sinal de fraude. Uma inconsistência cadastral pode indicar lavagem de dinheiro. Um acesso privilegiado indevido pode comprometer dados, permitir alterações operacionais ou ocultar movimentações suspeitas. Uma falha de monitoramento pode não ser apenas uma deficiência de compliance, mas também um problema de arquitetura, integração de dados, governança e gestão de identidades.
Por isso, a segurança digital precisa ser analisada como parte de um sistema mais amplo de integridade operacional e financeira.
O caso de uma instituição financeira e a mudança de expectativa
Segundo a reportagem do Finsiders Brasil, o Banco Central aplicou multa de R$ 21,56 milhões ao Banco e inabilitou dois executivos após identificar falhas relacionadas a 2.038 operações de câmbio realizadas com nove clientes. Essas operações totalizaram US$ 1,208 bilhão, dos quais US$ 1,154 bilhão envolveram ativos virtuais. O regulador também apontou atraso na comunicação ao Coaf de 502 operações suspeitas de um único cliente, que somaram US$ 421,18 milhões.
O ponto mais relevante, entretanto, não está apenas nos valores ou na repercussão da sanção. A decisão sinaliza uma expectativa mais rigorosa sobre a capacidade das instituições de:
- conhecer continuamente seus clientes;
- avaliar se a movimentação é compatível com o perfil econômico declarado;
- identificar a origem e o destino dos recursos;
- investigar divergências relevantes;
- comunicar suspeitas dentro do prazo adequado;
- demonstrar quem era responsável por cada decisão;
- comprovar que os controles eram efetivos no período analisado.
A mensagem para o mercado é direta: cadastro atualizado não equivale a cliente conhecido. Uma política aprovada não equivale a controle efetivo. Um alerta registrado não equivale a uma investigação adequada. E a existência de uma área de compliance não elimina a responsabilidade dos administradores que tinham atribuição, conhecimento ou dever de agir.
O Banco Genial contestou as conclusões e afirmou que cumpriu as normas aplicáveis à época, classificando as condenações como injustas. Essa manifestação também precisa ser considerada em qualquer análise responsável do caso.
Segurança cibernética também exige evidência
A mesma lógica vale para a segurança digital.
Não é suficiente afirmar que a organização possui um SOC, um programa de conscientização, ferramentas de proteção de endpoint, autenticação multifator, gestão de vulnerabilidades ou um plano de resposta a incidentes. A pergunta decisiva será: esses mecanismos funcionam de forma consistente quando submetidos a uma situação real?
Um regulador, auditor, conselho de administração ou cliente estratégico poderá querer saber:
- Quantos ativos críticos estão efetivamente inventariados?
- Quais vulnerabilidades relevantes estão abertas e há quanto tempo?
- Quais acessos privilegiados são revisados regularmente?
- Os alertas de segurança são analisados dentro de prazos definidos?
- Os incidentes são classificados por impacto e risco?
- Os planos de resposta foram testados?
- As lições aprendidas geraram correções?
- Os terceiros críticos são monitorados?
- A diretoria recebe informação objetiva sobre exposição e evolução do risco?
- As exceções foram aprovadas, justificadas e acompanhadas?
Sem registros, métricas, trilhas de auditoria, testes e decisões documentadas, a organização pode ter tecnologia, mas não necessariamente terá governança demonstrável.
Esse é o elo central entre segurança digital e supervisão regulatória: a efetividade precisa ser observável.
Do controle formal ao controle comprovável
O desafio das instituições financeiras não é somente implantar controles. É construir uma cadeia de evidências que demonstre que o controle:
- foi desenhado para responder a um risco específico;
- possui responsável formalmente designado;
- está integrado aos processos operacionais;
- é executado com periodicidade definida;
- gera registros confiáveis;
- é submetido a testes de efetividade;
- produz tratamento para exceções;
- é reportado aos níveis adequados de decisão;
- é aprimorado quando apresenta falhas.
Essa abordagem exige superar o “compliance de prateleira”, baseado em políticas extensas, treinamentos genéricos e declarações formais de aderência.
Uma política de gestão de acessos, por exemplo, só demonstra valor quando a instituição consegue comprovar que:
- os acessos são concedidos conforme a necessidade de negócio;
- privilégios incompatíveis são identificados;
- usuários desligados são bloqueados tempestivamente;
- contas privilegiadas são monitoradas;
- revisões periódicas são realizadas;
- desvios são corrigidos;
- os responsáveis aprovam e acompanham as exceções.
Da mesma forma, um programa de monitoramento transacional precisa demonstrar que os alertas são priorizados por risco, investigados com profundidade proporcional e encerrados com justificativas consistentes.
A responsabilidade chega à liderança
Outro aspecto relevante da decisão do Banco Central é o tratamento da responsabilidade dos administradores. A reportagem destaca que a ocupação de uma posição de liderança não implica responsabilização automática por qualquer falha institucional. Contudo, a exposição aumenta quando o administrador tinha atribuição sobre o tema, conhecia a deficiência ou deveria ter atuado para corrigi-la.
Essa interpretação é particularmente importante para CISOs, diretores de risco, compliance officers e demais executivos responsáveis por controles críticos.
A responsabilidade executiva não deve ser compreendida como uma transferência integral do risco para uma única pessoa. Segurança e conformidade são responsabilidades corporativas. Porém, cada administrador precisa conhecer claramente:
- seu mandato;
- seus limites de autoridade;
- os riscos sob sua responsabilidade;
- os indicadores que deve acompanhar;
- as deficiências que exigem escalonamento;
- as decisões que precisam ser registradas;
- os recursos necessários para tratar os riscos;
- as consequências de manter exceções sem plano de remediação.
A designação formal perante o regulador, o conselho ou a organização não pode ser meramente decorativa. Ela precisa estar acompanhada de autoridade, recursos, informação e capacidade real de intervenção.
Da mesma maneira, quem ocupa uma função de liderança deve evitar dois extremos: assumir responsabilidade por tudo, sem governança adequada, ou alegar desconhecimento sobre riscos que estavam dentro de seu escopo e eram visíveis nos relatórios internos.
O papel do CISO nessa integração
O CISO contemporâneo precisa atuar além da infraestrutura tecnológica. Seu papel envolve conectar segurança a negócio, risco, regulação, continuidade, privacidade, fraude e reputação.
Isso significa traduzir problemas técnicos em impactos executivos. Uma vulnerabilidade crítica não é apenas uma falha de software; pode representar indisponibilidade, exposição de dados, manipulação de transações, descumprimento regulatório ou perda de confiança.
Também significa aproximar-se de áreas que tradicionalmente operam em silos, como:
- prevenção a fraudes;
- PLD/FT;
- privacidade;
- auditoria interna;
- jurídico e regulatório;
- continuidade de negócios;
- operações;
- arquitetura corporativa;
- gestão de terceiros;
- inteligência de ameaças.
Essa integração permite criar uma visão mais precisa do risco. Um mesmo evento pode ser analisado sob diferentes perspectivas, mas deve receber uma resposta coordenada.
Por exemplo, uma movimentação incompatível com o histórico do cliente pode demandar simultaneamente:
- análise de origem dos recursos;
- revisão cadastral;
- investigação de fraude;
- avaliação de comprometimento de credenciais;
- verificação de acessos suspeitos;
- preservação de evidências;
- comunicação ao Coaf, quando aplicável;
- comunicação à liderança;
- eventual restrição preventiva da operação.
Nenhuma área isolada possui, sozinha, todas as informações necessárias para decidir adequadamente.
Cinco prioridades para as instituições
A partir da conexão entre segurança digital, controles financeiros e responsabilidade regulatória, algumas prioridades se tornam evidentes.
1. Integrar dados e sinais de risco
Informações cadastrais, comportamentais, transacionais, de identidade e de segurança devem ser analisadas de maneira integrada. A fragmentação reduz a capacidade de identificar padrões e aumenta o risco de alertas ignorados.
2. Monitorar continuamente
A capacidade financeira, o comportamento digital e o perfil de risco de um cliente não são fotografias estáticas. Mudanças relevantes precisam gerar revisão proporcional, especialmente quando há incompatibilidade entre o perfil declarado e a movimentação observada.
3. Definir responsabilidades sem ambiguidade
Cada controle crítico deve possuir responsável, substituto, periodicidade, critério de escalonamento e evidência esperada. A matriz de responsabilidades precisa refletir a operação real, e não apenas o organograma.
4. Testar a efetividade
Auditorias, testes de controles, simulações, exercícios de resposta a incidentes e avaliações independentes devem verificar se o processo funciona sob pressão. O objetivo não é produzir uma opinião favorável, mas encontrar fragilidades antes que elas sejam exploradas.
5. Registrar decisões e exceções
Uma decisão de não comunicar, não bloquear, não corrigir ou aceitar determinado risco precisa ser fundamentada, aprovada e revisitada quando necessário. A ausência de registro pode transformar uma decisão legítima em uma vulnerabilidade de governança.
A confiança é o ativo protegido
Para bancos, fintechs e empresas que participam do ecossistema financeiro, segurança digital e conformidade não são apenas obrigações regulatórias. Elas protegem um ativo estratégico: a confiança.
O cliente confia que sua identidade será protegida. O mercado confia que as operações serão íntegrais. O regulador confia que a instituição conhecerá seus clientes e reagirá diante de sinais de irregularidade. O conselho confia que os executivos apresentarão uma visão realista dos riscos. A sociedade confia que o sistema financeiro não será utilizado para fraude, lavagem de dinheiro ou circulação de recursos sem lastro.
Essa confiança é construída por controles consistentes, mas também pode ser comprometida por falhas aparentemente pontuais que revelam problemas estruturais.
O caso analisado pelo Banco Central reforça uma lição que também deve orientar a agenda de segurança cibernética: governança não é a capacidade de apresentar políticas; é a capacidade de provar que decisões corretas foram tomadas, no momento adequado, com base em informações confiáveis e responsabilidade claramente definida.
No ambiente financeiro digital, segurança, compliance e governança precisam operar como um único sistema de proteção. O futuro não pertencerá às instituições que simplesmente acumularem ferramentas, normas e certificações, mas àquelas capazes de demonstrar, de forma objetiva, que seus controles funcionam quando mais são necessários.
Paulo Baldin é CISO e sócio da CLA Brasil, com atuação em governança, riscos, segurança da informação, privacidade e conformidade regulatória
