Uma empresa que buscava autorização do Banco Central para operar no mercado de câmbio precisava provar que tinha controles de segurança da informação à altura da exigência. A Pulso implantou um firewall Sophos com proteção em múltiplas camadas e montou a documentação técnica que sustentou o pedido. A autorização foi concedida.
Este estudo de caso mostra o contexto, o desafio, o que foi feito em alto nível e o que outras corretoras podem aprender com ele. Por confidencialidade, o cliente não é identificado.
Resumo rápido
- Cliente: empresa em processo de autorização no Banco Central para operar câmbio.
- Desafio: comprovar controles de segurança compatíveis com a regulação do Banco Central, com evidências.
- O que fizemos: firewall Sophos em múltiplas camadas e documentação técnica dos controles.
- Resultado: a autorização foi concedida e a empresa passou a operar.
- Lição principal: o regulador avalia controles e evidências, não marcas. Tecnologia sem documentação não fecha o processo.
Contexto: o que o Banco Central cobra em segurança
Pela Lei nº 14.286/2021, operações de câmbio só podem ser feitas por instituições autorizadas pelo Banco Central, e cabe ao Banco Central autorizar o funcionamento dessas instituições. Quem entra nesse mercado passa a seguir as regras de segurança cibernética do sistema financeiro.
A norma central é a Resolução CMN nº 4.893/2021, que vale para as instituições autorizadas a funcionar pelo Banco Central (instituições de pagamento têm norma própria). Ela pede, entre outros pontos:
- Política de segurança cibernética, com objetivos, procedimentos e controles para reduzir vulnerabilidades.
- Controles técnicos, como autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamento de dados, proteção contra malware, rastreabilidade, controle de acesso, segmentação de rede e backup.
- Registro de incidentes relevantes, com análise de causa e impacto.
- Cuidados na contratação de nuvem, com procedimentos prévios e cláusulas sobre local dos dados, segurança e acesso do Banco Central às informações.
- Relatório anual para a diretoria, até 31 de março, sobre a efetividade dos controles, os incidentes do período e os testes de continuidade.
Na época deste case, a 4.893 era a referência principal. Em 18 de dezembro de 2025, a Resolução CMN nº 5.274/2025 atualizou essa norma e transformou a lista de controles em um conjunto mínimo e verificável. Entraram itens como gestão de certificados digitais, segurança de APIs, monitoramento de inteligência de ameaças e perfis de configuração segura (hardening, que é o endurecimento das configurações para reduzir brechas). O prazo de adequação foi 1º de março de 2026. Para quem se conecta à Rede do Sistema Financeiro Nacional, ao Pix ou ao STR, vieram exigências adicionais, como autenticação multifator em acessos administrativos e teste de intrusão anual por profissional independente.
O desafio
Para obter a autorização, a empresa precisava demonstrar um ambiente de TI com controles de segurança compatíveis com os de uma instituição regulada. Três pontos pesavam:
- Proteção de rede em camadas. Um firewall capaz de operar em várias camadas, bloqueando ameaças conhecidas e desconhecidas.
- Gestão centralizada e relatórios. Sem visibilidade e registro do que acontece na rede, não há como provar controle.
- Evidências. O processo de autorização é documental. Cada controle precisava estar descrito, configurado e comprovado.
O que foi feito, em alto nível
A Pulso analisou os requisitos regulatórios e o ambiente do cliente e recomendou um firewall Sophos. A escolha levou em conta proteção em várias camadas na mesma plataforma, como prevenção de intrusão (IPS, sistema que identifica e bloqueia tentativas de ataque no tráfego), filtragem web, inspeção de tráfego e SD-WAN (gestão inteligente de links de internet), além de gestão centralizada em nuvem e relatórios.
Depois da implantação, montamos a documentação técnica: o que foi configurado, qual controle cada configuração atende e como a eficácia pode ser verificada. Foi esse conjunto, tecnologia mais documentação, que sustentou a parte de segurança do pedido.
Os detalhes de configuração e o roteiro de implantação ficam entre a Pulso e o cliente. Eles dependem do ambiente de cada empresa e não se copiam de um case para outro.
O resultado
A autorização foi concedida. Hoje o cliente opera comercialmente no mercado de câmbio, com a rede protegida por uma solução que entrega os controles exigidos e gera as evidências que a regulação pede.
Uma correção em relação à versão anterior deste texto: o Banco Central não “valida” nem “homologa” marcas de firewall. A norma lista controles, e a instituição escolhe como atendê-los. O que o firewall fez neste case foi entregar vários desses controles de forma gerenciável e com relatórios que servem de evidência.
Lições para outras corretoras
Comece pela norma, não pelo produto. Leia a lista de controles da 4.893, já com as mudanças da 5.274, e marque o que você tem, o que falta e o que você não consegue provar. Essa terceira coluna costuma ser a maior.
Documentação é metade do trabalho. Um controle que existe, mas não está descrito nem gera registro, não ajuda em um processo de autorização ou em uma fiscalização.
Nuvem e fornecedores entram na conta. A 4.893 pede procedimentos antes de contratar processamento e armazenamento em nuvem, e a 5.274 estendeu os controles a sistemas de terceiros executados com recursos da própria instituição. O seu provedor de TI precisa conseguir responder a essas exigências.
Autorização não é linha de chegada. Depois dela vêm o relatório anual, o registro de incidentes, os testes de continuidade e, para parte das instituições, os testes de intrusão. A segurança precisa ser operada todo mês.
Nossa recomendação
Na Pulso, recomendamos que a corretora trate a segurança cibernética como parte do projeto de autorização desde o início, e não como um item a resolver no fim. Nossa leitura é que os pedidos travam menos por falta de tecnologia e mais por falta de evidência organizada.
Também recomendamos desconfiar de quem vende um produto como “aprovado pelo Banco Central”. A pergunta certa é outra: quais controles da norma esse produto atende, e como eu provo isso para o auditor?
Com a 5.274, a régua subiu e ficou mais objetiva. Isso é bom para o mercado: fica mais claro o que precisa existir, e mais fácil de comparar quem entrega de fato.
Próximo passo
Se a sua empresa está em processo de autorização ou precisa se adequar à Resolução CMN nº 5.274/2025, veja como apoiamos TI para corretoras de câmbio, conheça nossa gestão de firewall e a segurança gerenciada. Outros exemplos estão em cases de sucesso, e o contexto regulatório mais amplo está no artigo sobre o Marco Legal da Cibersegurança.
Quer saber onde o seu ambiente está em relação à norma? Peça um diagnóstico gratuito.
Fontes
- Resolução CMN nº 4.893/2021
- Grant Thornton: o que muda com a Resolução CMN nº 5.274/2025
- Finsiders Brasil: BC aperta regras de segurança cibernética para instituições financeiras
- Lei nº 14.286/2021 (mercado de câmbio)
- Sophos: Sophos Firewall
Perguntas frequentes
O Banco Central exige uma marca específica de firewall?
Não. A Resolução CMN nº 4.893/2021 lista controles que a instituição precisa ter, como prevenção e detecção de intrusão, proteção contra malware e controle de acesso. A escolha da tecnologia é da empresa, desde que ela consiga comprovar que os controles funcionam.
A Resolução CMN nº 4.893/2021 vale para corretoras de câmbio?
Ela se aplica às instituições autorizadas a funcionar pelo Banco Central, com exceção das instituições de pagamento, que têm norma própria. Pela Lei nº 14.286/2021, só instituições autorizadas pelo Banco Central podem operar no mercado de câmbio.
O que mudou com a Resolução CMN nº 5.274/2025?
Ela atualizou a 4.893 e passou a exigir um conjunto mínimo e verificável de controles, como gestão de certificados digitais, segurança de APIs e monitoramento de inteligência de ameaças. O prazo de adequação foi 1º de março de 2026.
Só o firewall basta para a autorização?
Não. O firewall é uma parte dos controles técnicos. A norma também pede política de segurança cibernética, registro de incidentes, cuidados na contratação de serviços em nuvem e um relatório anual. A documentação que comprova tudo isso pesa tanto quanto a tecnologia.
Este conteúdo é informativo e não substitui orientação jurídica.
Ver todos os artigos