Le risoluzioni sulla sicurezza informatica del BACEN e del CMN — tra cui la Resolução CMN nº 4.893/2021 per le istituzioni finanziarie e la Resolução BCB nº 85/2021 per gli istituti di pagamento — richiedono una politica formale, un piano di risposta agli incidenti e la verifica periodica dell'efficacia dei controlli. Un pentest produce l'evidenza tecnica che dimostra tale verifica.
Cosa richiedono le risoluzioni sulla sicurezza informatica del BACEN?
Le norme del BACEN e del CMN sulla sicurezza informatica stabiliscono un insieme di obblighi che ogni istituzione regolata deve implementare, documentare e mantenere. Non descrivono una tecnologia specifica, ma risultati che l'istituzione deve essere in grado di dimostrare. In pratica, i pilastri ricorrenti sono:
- Politica di sicurezza informatica formalizzata — approvata dall'alta direzione, rivista periodicamente e comunicata a dipendenti e fornitori.
- Struttura di governance e responsabilità — nomina di un direttore responsabile e definizione chiara dei ruoli nella prevenzione e nella gestione degli incidenti.
- Piano di risposta agli incidenti — procedure di rilevamento, registrazione, classificazione, contenimento e comunicazione, incluso l'obbligo di segnalare gli incidenti rilevanti al regolatore.
- Verifica e test dei controlli — valutazione periodica dell'efficacia dei meccanismi di protezione, rilevamento e risposta adottati dall'istituzione.
- Gestione di terze parti e servizi cloud — requisiti per la contrattazione di elaborazione, archiviazione dei dati e cloud computing, con controlli equivalenti richiesti ai fornitori.
- Continuità e resilienza — capacità di mantenere le operazioni critiche e ripristinare i servizi dopo un incidente.
È nel quarto pilastro — la verifica dell'efficacia dei controlli — che il pentest occupa un posto centrale. Le risoluzioni chiedono che l'istituzione dimostri, con regolarità, che le proprie difese funzionano contro minacce reali. Una dichiarazione interna che i controlli esistono non basta; il regolatore si aspetta l'evidenza che siano stati testati.
Nota regolatoria: la Resolução CMN nº 4.893/2021 resta in vigore ed è stata modificata dalla Resolução CMN nº 5.274/2025. Per gli istituti di pagamento, la Resolução BCB nº 85/2021 ha sostituito la Circular BCB nº 3.909/2018, e la Resolução BCB nº 538/2025 aggiorna a sua volta il quadro normativo. Consultare sempre la base dei normativos del Banco Central per il testo vigente.
Dove entra il pentest nella conformità al BACEN?
Il penetration test è il modo più diretto per produrre l'evidenza che le risoluzioni chiamano verifica dell'efficacia dei controlli. Mentre uno scanner automatizzato elenca vulnerabilità note, il pentest dimostra cosa un avversario riuscirebbe davvero a fare: concatenare falle, aggirare l'autenticazione, accedere a dati sensibili e provare l'impatto con una proof of concept riproducibile.
Ai fini della conformità, questo risultato si traduce in tre deliverable apprezzati dal regolatore e dall'audit interno:
- Evidenza che i controlli sono stati testati — un report datato, con perimetro definito e metodologia dichiarata, che dimostra l'esecuzione della verifica periodica richiesta.
- Rilievi prioritizzati per rischio — vulnerabilità classificate per gravità, con contesto di business, che alimentano il piano d'azione dell'istituzione.
- Validazione delle correzioni — il retest conferma che le falle segnalate sono state effettivamente trattate, chiudendo il ciclo di miglioramento continuo che le norme presuppongono.
Il pentest rafforza anche il pilastro della risposta agli incidenti. Un esercizio di Red Team, ad esempio, mette alla prova non solo le difese tecniche, ma la capacità di rilevamento e reazione dei team — esattamente ciò che il piano di risposta agli incidenti deve dimostrare nella pratica.
C'è inoltre un vantaggio di governance poco sfruttato. Quando il risultato del test arriva all'alta direzione in linguaggio di rischio di business, l'istituzione soddisfa un'altra aspettativa delle risoluzioni: che la sicurezza informatica sia seguita dal consiglio e non trattata solo come questione tecnica. Il report di pentest, con il suo executive summary, diventa input diretto per la rendicontazione richiesta al direttore responsabile.
Quali tipi di test dimostrano i controlli richiesti?
La copertura adeguata dipende dalla superficie di attacco di ciascuna istituzione. Una banca digitale, una fintech dei pagamenti e una cooperativa di credito hanno profili di rischio diversi. Le modalità più applicate nei progetti regolati dal BACEN includono:
- Pentest di applicazioni web e pentest di API — il nucleo di ogni istituzione digitale, dove si concentrano le falle di autorizzazione, logica di business ed esposizione dei dati.
- Pentest di rete e pentest cloud — valutano l'infrastruttura interna, i perimetri e le configurazioni cloud, tema esplicitamente coperto dai requisiti sulla contrattazione di servizi cloud.
- Pentest mobile — essenziale per le istituzioni il cui canale principale è l'app, con attenzione ad archiviazione insicura, comunicazione e protezioni lato client.
- Red Team — simulazione di avversario con obiettivi, che esercita rilevamento, risposta e resilienza end-to-end.
- Sicurezza dei pagamenti e Open Finance — i test di sicurezza sui pagamenti e la sicurezza dell'Open Finance coprono i flussi regolati di transazione e condivisione dei dati.
Le istituzioni che gestiscono conti di pagamento o credenziali di carta combinano solitamente questi test con percorsi di conformità specifici, come PCI DSS e PCI MPoC, e con programmi di governance come ISO/IEC 27001 e adeguamento alla LGPD.
Come un pentest produce l'evidenza attesa dal regolatore?
Ogni obbligo delle risoluzioni ha una controparte concreta nel risultato di un test ben condotto. La tabella seguente mette in relazione ciò che la norma richiede con ciò che il progetto consegna:
| Requisito delle risoluzioni BACEN/CMN | Come il pentest lo soddisfa |
|---|---|
| Verifica periodica dell'efficacia dei controlli | Report datato con perimetro, metodologia e rilievi che dimostrano l'esecuzione del test |
| Identificazione e trattamento delle vulnerabilità | Rilievi prioritizzati per gravità e rischio di business, con raccomandazioni attuabili |
| Prova che la correzione è stata efficace | Retest che valida la remediation e documenta la chiusura delle falle |
| Capacità di rilevamento e risposta agli incidenti | Esercizio di Red Team che allena la reazione dei team di difesa |
| Controlli su servizi cloud e terze parti | Pentest cloud e revisione delle configurazioni dell'ambiente contrattato |
| Governance e rendicontazione alla direzione | Executive summary con il rischio tradotto in linguaggio di business |
Ciò che unisce questi deliverable è la tracciabilità. Un audit — interno, del BACEN stesso o di un assessor indipendente — vuole vedere che il test è avvenuto, ha coperto il perimetro giusto, ha trovato ciò che c'era da trovare e che le correzioni sono state validate. Un report professionale consegna questa catena di evidenze in forma verificabile.
Un errore comune è confondere la scansione automatizzata con la verifica richiesta. Uno scanner mensile produce lunghi elenchi di alert, molti dei quali falsi positivi o irrilevanti per il contesto, e non dimostra un impatto reale. Le risoluzioni parlano di efficacia dei controlli, e l'efficacia si dimostra solo quando qualcuno prova ad aggirarli in modo mirato. Questa è la differenza tra spuntare una casella di conformità e sapere davvero se l'istituzione resisterebbe a un attacco.
Quali istituzioni sono soggette a queste risoluzioni?
Il quadro di sicurezza informatica del BACEN raggiunge un insieme ampio di istituzioni autorizzate a operare dal Banco Central. Include banche, cooperative di credito, finanziarie, broker e dealer, oltre agli istituti di pagamento, che seguono la Resolução BCB nº 85/2021. Anche le fintech autorizzate e i partecipanti all'Open Finance rientrano nel perimetro, nella misura della loro attività.
Il termine di adeguamento agli aggiornamenti più recenti del quadro normativo, per le istituzioni già operative, è scaduto il 01/03/2026. Le istituzioni che non hanno ancora strutturato la verifica periodica dei controlli sono quindi in ritardo rispetto a un obbligo regolatorio e devono dare priorità all'integrazione del pentest nel programma di conformità — non come evento isolato, ma come parte di un ciclo ricorrente di test, correzione e rivalidazione, documentando il piano e le date effettive.
La conformità al BACEN raramente vive isolata. La stessa istituzione ha di solito obblighi ai sensi della LGPD — spesso gestiti da un DPO esternalizzato — e, quando opera in Europa tramite controllate, ai sensi di norme come la NIS2. Le istituzioni che già adottano l'intelligenza artificiale nelle decisioni di credito o nel servizio clienti aggiungono inoltre la governance dell'IA secondo la ISO/IEC 42001 e la sicurezza degli agenti di IA alla propria superficie di test.
Come lo esegue Berghem
Berghem struttura il pentest per le istituzioni finanziarie a partire dal perimetro regolatorio reale, non da una batteria generica. Iniziamo mappando la superficie di attacco e i requisiti applicabili affinché il test produca esattamente l'evidenza che la verifica dei controlli richiede. Il dettaglio di come colleghiamo ogni modalità di test agli obblighi del regolatore si trova nella nostra pagina sulla conformità in sicurezza informatica per istituzioni regolate dal BACEN.
Ogni progetto combina sfruttamento manuale, concatenamento di falle e prova di impatto con un report utile sia al team tecnico sia all'audit: rilievi prioritizzati, proof of concept riproducibile, executive summary e retest incluso. Come azienda di sicurezza delle informazioni a San Paolo, serviamo banche, cooperative, finanziarie e istituti di pagamento, adattando perimetro, profondità e periodicità al profilo di rischio e al calendario regolatorio di ciascuna operazione.
Domande frequenti
Il pentest è obbligatorio secondo le risoluzioni del BACEN?
Sì. Gli aggiornamenti del 2025 — la Resolução CMN nº 5.274/2025, che modifica la Resolução CMN nº 4.893/2021, e la Resolução BCB nº 538/2025 — richiedono un penetration test annuale, eseguito da professionisti indipendenti, con risultati documentati. Il report del pentest è l'evidenza che gli audit e il regolatore stesso si aspettano di trovare.
Con quale frequenza devo fare il pentest per conformarmi al BACEN?
Almeno una volta all'anno. Il quadro in vigore richiede un penetration test annuale e indipendente, con risultati documentati e piano d'azione di remediation. Le istituzioni con cicli di cambiamento rapidi aggiungono di solito test mirati a ogni release rilevante — nuove funzionalità, migrazione dell'infrastruttura o integrazioni — perché l'evidenza segua il rischio reale dell'ambiente.
Qual è la differenza tra la Resolução CMN 4.893 e la Resolução BCB 85?
La Resolução CMN nº 4.893/2021 disciplina la politica di sicurezza informatica delle istituzioni finanziarie autorizzate dal BACEN. La Resolução BCB nº 85/2021 stabilisce requisiti equivalenti per gli istituti di pagamento, sostituendo la precedente Circular BCB nº 3.909/2018. Entrambe continuano a essere aggiornate dal regolatore.