As resoluções de segurança cibernética do BACEN e do CMN — entre elas a Resolução CMN nº 4.893/2021 para instituições financeiras e a Resolução BCB nº 85/2021 para instituições de pagamento — exigem política formal, plano de resposta a incidentes e verificação periódica da eficácia dos controles. Um pentest produz a evidência técnica que comprova essa verificação diante do regulador.
O que as resoluções de segurança cibernética do BACEN exigem?
As normas do BACEN e do CMN sobre segurança cibernética estabelecem um conjunto de obrigações que toda instituição regulada precisa implementar, documentar e manter. Elas não descrevem uma tecnologia específica, e sim resultados que a instituição deve ser capaz de demonstrar. Na prática, os pilares recorrentes são:
- Política de segurança cibernética formalizada — aprovada pela alta administração, revisada periodicamente e comunicada a colaboradores e prestadores de serviço.
- Estrutura de governança e responsabilidade — designação de diretor responsável e definição clara de papéis na prevenção e no tratamento de incidentes.
- Plano de resposta a incidentes — procedimentos de detecção, registro, classificação, contenção e comunicação, incluindo o dever de reportar incidentes relevantes ao regulador.
- Verificação e testes dos controles — avaliação periódica da eficácia dos mecanismos de proteção, detecção e resposta adotados pela instituição.
- Gestão de terceiros e serviços em nuvem — requisitos para contratação de processamento, armazenamento de dados e computação em nuvem, com controles equivalentes exigidos dos fornecedores.
- Continuidade e resiliência — capacidade de manter operações críticas e recuperar serviços após incidentes.
É no quarto pilar — a verificação da eficácia dos controles — que o pentest ocupa um lugar central. As resoluções pedem que a instituição comprove, com regularidade, que suas defesas funcionam contra ameaças reais. Uma declaração interna de que os controles existem não basta; o regulador espera evidência de que foram testados.
Observação regulatória: a Resolução CMN nº 4.893/2021 permanece em vigor e foi alterada pela Resolução CMN nº 5.274/2025. Para instituições de pagamento, a Resolução BCB nº 85/2021 substituiu a Circular BCB nº 3.909/2018, e a Resolução BCB nº 538/2025 também atualiza o arcabouço. Consulte sempre a base de normativos do Banco Central para o texto vigente.
Onde entra o pentest na conformidade com o BACEN?
O teste de invasão é a forma mais direta de produzir a evidência que as resoluções chamam de verificação da eficácia dos controles. Enquanto um scanner automatizado lista vulnerabilidades conhecidas, o pentest demonstra o que um adversário conseguiria fazer de fato: encadear falhas, contornar autenticação, acessar dados sensíveis e provar impacto com uma prova de conceito reproduzível.
Para a conformidade, esse resultado se traduz em três entregas que o regulador e a auditoria interna valorizam:
- Evidência de que os controles foram testados — um relatório datado, com escopo definido e metodologia declarada, que comprova a execução da verificação periódica exigida.
- Achados priorizados por risco — vulnerabilidades classificadas por severidade, com contexto de negócio, que alimentam o plano de ação da instituição.
- Validação das correções — o reteste confirma que as falhas apontadas foram efetivamente tratadas, fechando o ciclo de melhoria contínua que as normas pressupõem.
O pentest também reforça o pilar de resposta a incidentes. Um exercício de Red Team, por exemplo, testa não apenas as defesas técnicas, mas a capacidade de detecção e reação das equipes — exatamente o que o plano de resposta a incidentes precisa comprovar na prática.
Há ainda um ganho de governança pouco explorado. Quando o resultado do teste chega à alta administração em linguagem de risco de negócio, a instituição cumpre outra expectativa das resoluções: a de que a segurança cibernética seja acompanhada pela diretoria, e não tratada apenas como um assunto técnico. O relatório de pentest, com seu sumário executivo, vira insumo direto para a prestação de contas exigida do diretor responsável.
Que tipos de teste comprovam os controles exigidos?
A cobertura adequada depende da superfície de ataque de cada instituição. Um banco digital, uma fintech de pagamentos e uma cooperativa de crédito têm perfis de risco distintos. As modalidades mais aplicadas em engajamentos regulados pelo BACEN incluem:
- Pentest de aplicações web e pentest de API — o núcleo de qualquer instituição digital, onde se concentram as falhas de autorização, lógica de negócio e exposição de dados.
- Pentest de rede e pentest de cloud — avaliam a infraestrutura interna, os perímetros e as configurações de nuvem, tema explicitamente coberto pelos requisitos de contratação de serviços em nuvem.
- Pentest mobile — essencial para instituições cujo canal principal é o aplicativo, com atenção a armazenamento inseguro, comunicação e proteções do lado do cliente.
- Red Team — simulação de adversário com objetivos, que exercita detecção, resposta e resiliência de ponta a ponta.
- Segurança de pagamentos e Open Finance — testes de segurança em pagamentos e segurança de Open Finance endereçam os fluxos regulados de transação e compartilhamento de dados.
Instituições que operam com contas de pagamento ou credenciais de cartão costumam combinar esses testes com trilhas de conformidade específicas, como PCI DSS e PCI MPoC, e com programas de governança como ISO/IEC 27001 e adequação à LGPD.
Como um pentest gera a evidência que o regulador espera?
Cada obrigação das resoluções tem uma contrapartida concreta no resultado de um teste bem conduzido. A tabela abaixo relaciona o que a norma exige com o que o engajamento entrega:
| Exigência das resoluções do BACEN/CMN | Como o pentest atende |
|---|---|
| Verificação periódica da eficácia dos controles | Relatório datado com escopo, metodologia e achados que comprovam a execução do teste |
| Identificação e tratamento de vulnerabilidades | Achados priorizados por severidade e risco de negócio, com recomendações acionáveis |
| Prova de que a correção foi efetiva | Reteste que valida a remediação e documenta o fechamento das falhas |
| Capacidade de detecção e resposta a incidentes | Exercício de Red Team que exercita a reação das equipes de defesa |
| Controles em serviços de nuvem e terceiros | Pentest de cloud e revisão de configurações do ambiente contratado |
| Governança e prestação de contas à administração | Sumário executivo com risco traduzido para linguagem de negócio |
O ponto que une essas entregas é a rastreabilidade. Uma auditoria — interna, do próprio BACEN ou de um assessor independente — quer ver que o teste existiu, cobriu o escopo certo, encontrou o que havia para encontrar e que as correções foram validadas. Um relatório profissional entrega essa cadeia de evidência de forma verificável.
Um erro comum é confundir a varredura automatizada com a verificação exigida. Um scanner mensal produz listas longas de alertas, muitos deles falsos positivos ou irrelevantes para o contexto, e não demonstra impacto real. As resoluções falam em eficácia dos controles, e eficácia só se comprova quando alguém tenta contorná-los de forma orientada. É essa a diferença entre marcar uma caixa de conformidade e realmente saber se a instituição resistiria a um ataque.
Quais instituições estão sujeitas a essas resoluções?
O arcabouço de segurança cibernética do BACEN alcança um conjunto amplo de instituições autorizadas a funcionar pelo Banco Central. Isso inclui bancos, cooperativas de crédito, financeiras, corretoras e distribuidoras, além das instituições de pagamento, que seguem a Resolução BCB nº 85/2021. Fintechs autorizadas e participantes do Open Finance também se enquadram, na medida de sua atividade.
O prazo de adequação às atualizações mais recentes do arcabouço, para instituições já em operação, encerrou-se em 01/03/2026. Instituições que ainda não estruturaram sua verificação periódica de controles estão, portanto, em atraso frente a uma obrigação regulatória e devem priorizar a incorporação do pentest ao seu programa de conformidade — não como um evento pontual, mas como parte de um ciclo recorrente de teste, correção e revalidação, documentando o plano e as datas efetivas.
Vale notar que a conformidade com o BACEN raramente vive isolada. A mesma instituição costuma ter obrigações sob a LGPD — muitas vezes conduzidas por um DPO terceirizado — e, quando opera na Europa via subsidiárias, sob normas como a NIS2. Instituições que já adotam inteligência artificial em decisões de crédito ou atendimento acrescentam ainda a governança de IA sob a ISO/IEC 42001 e a segurança de agentes de IA à sua superfície de teste.
Como a Berghem executa
A Berghem estrutura o pentest para instituições financeiras a partir do escopo regulatório real, não de uma bateria genérica. Começamos mapeando a superfície de ataque e os requisitos aplicáveis para que o teste produza exatamente a evidência que a verificação de controles exige. O detalhamento de como conectamos cada modalidade de teste às obrigações do regulador está na nossa página de conformidade em segurança cibernética para instituições reguladas pelo BACEN.
Cada engajamento combina exploração manual, encadeamento de falhas e prova de impacto com um relatório que serve tanto ao time técnico quanto à auditoria: achados priorizados, prova de conceito reproduzível, sumário executivo e reteste incluído. Como empresa de segurança da informação em São Paulo, atendemos bancos, cooperativas, financeiras e instituições de pagamento, ajustando escopo, profundidade e periodicidade ao perfil de risco e ao calendário regulatório de cada operação.
A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.
Perguntas frequentes
O pentest é obrigatório pelas resoluções do BACEN?
Sim. As atualizações de 2025 — a Resolução CMN nº 5.274/2025, que altera a Resolução CMN nº 4.893/2021, e a Resolução BCB nº 538/2025 — exigem teste de intrusão anual, executado por profissionais independentes, com resultados documentados. O relatório do pentest é a evidência que auditorias e o próprio regulador esperam encontrar.
Com que frequência preciso fazer o pentest para atender ao BACEN?
No mínimo uma vez por ano. O arcabouço vigente exige teste de intrusão anual e independente, com resultados documentados e plano de ação de remediação. Instituições com ciclos de mudança acelerados costumam somar testes direcionados a cada release relevante — novas funcionalidades, migração de infraestrutura ou integrações — para que a evidência acompanhe o risco real do ambiente.
Qual a diferença entre a Resolução CMN 4.893 e a Resolução BCB 85?
A Resolução CMN nº 4.893/2021 trata da política de segurança cibernética das instituições financeiras autorizadas pelo BACEN. A Resolução BCB nº 85/2021 estabelece requisitos equivalentes para instituições de pagamento, substituindo a antiga Circular BCB nº 3.909/2018. Ambas seguem sendo atualizadas pelo regulador.