Resolução nº 4.658 do BACEN: contratação de serviços de processamento e armazenamento de dados e de Computação em Nuvem

O Banco Central do Brasil, na forma do art. 9º da Lei nº 4.595, de 31 de dezembro de 1964, torna público que o Conselho Monetário Nacional, em sessão realizada em 26 de abril de 2018, no seu Art, 1º aborda a resolução que dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central do Brasil.

Especialmente no que se refere à contratação de serviços de processamento e armazenamento de dados e de computação em nuvem, a resolução lança ao mercado financeiro os pilares para a aquisição, o uso, o controle, a responsabilidade, as restrições e a conscientização frente a um processo que cada vez mais está globalizado e requer a atenção redobrada aos riscos de segurança.

Da responsabilidade

As instituições devem assegurar que suas políticas, estratégias e estruturas para gerenciamento de riscos, previstas na regulamentação em vigor, especificamente no tocante aos critérios de decisão quanto à terceirização de serviços, contemplem a contratação de serviços relevantes de processamento e armazenamento de dados e de computação em nuvem, no País ou no exterior.

Das melhores práticas, de olho nos riscos associados

Previamente à contratação de tais serviços, devem adotar procedimentos que contemplem a adoção de práticas de governança corporativa e de gestão proporcionais à relevância do serviço a ser contratado e aos riscos a que estejam expostas, inclusive:

• a capacidade do potencial prestador de serviço
• o cumprimento da legislação e da regulamentação em vigor
• o acesso da instituição aos dados e às informações a serem processadas ou armazenadas pelo prestador de serviço
• a confidencialidade, a integridade, a disponibilidade e a recuperação dos dados e das informações processados ou armazenados pelo prestador de serviço
• a sua aderência às certificações exigidas pela instituição para a prestação do serviço a ser contratado
• o acesso da instituição contratante aos relatórios elaborados por empresa de auditoria especializada independente da contratada pelo prestador de serviço, relativos aos procedimentos e aos controles utilizados na prestação dos serviços a serem contratados
• o provimento de informações e de recursos de gestão adequados ao monitoramento dos serviços a serem prestados
• a identificação e a segregação dos dados dos clientes da instituição por meio de controles físicos ou lógicos
• a qualidade dos controles de acesso voltados à proteção dos dados e das informações dos clientes da instituição
• a criticidade do serviço e a sensibilidade dos dados e das informações a serem processadas, armazenadas e gerenciadas pelo contratado
• no caso da execução de aplicativos por meio da internet, adoção de controles que mitiguem os efeitos de eventuais vulnerabilidades na liberação de novas versões do aplicativo
• recursos e competências necessários para a adequada gestão dos serviços a serem contratados

Da abrangência

Os serviços de computação em nuvem abrangem aqueles contratados sob demanda e de maneira virtual, tais como:

• processamento de dados, armazenamento de dados, infraestrutura de redes e outros recursos computacionais que permitam à instituição contratante implantar ou executar softwares que podem incluir sistemas operacionais e aplicativos desenvolvidos pela instituição ou por ela adquiridos
• implantação ou execução de aplicativos desenvolvidos pela instituição contratante, ou por ela adquiridos, utilizando recursos computacionais do prestador de serviços
• execução, por meio da internet, dos aplicativos implantados ou desenvolvidos pelo prestador de serviço, com a utilização de recursos computacionais do próprio prestador de serviços

Muita atenção: o contratante dos serviços é responsável pela confiabilidade, pela integridade, pela disponibilidade, pela segurança e pelo sigilo em relação aos serviços contratados, bem como pelo cumprimento da legislação e da regulamentação em vigor.

Da publicidade

A contratação de serviços relevantes de processamento, armazenamento de dados e de computação em nuvem deve ser previamente comunicada pelas instituições referidas na resolução no seu art. 1º ao Banco Central do Brasil.

Nesta comunicação deve conter: a denominação da empresa a ser contratada, os serviços a serem contratados e a indicação dos países e das regiões em cada país onde os serviços poderão ser prestados e nos quais os dados poderão ser armazenados, processados e gerenciados, no caso de contratação no exterior.

Atenção ao prazo pois a resolução define que a comunicação dever ser realizada, no mínimo, com 60 dias antes da contratação dos serviços.

Sendo a contratação de serviços de processamento, armazenamento de dados e de computação em nuvem prestados no exterior, fique atento, pois precisará verificar: a existência de convênio para troca de informações, se existe algum risco e/ou prejuízo e/ou embaraço à atuação do BACEN, a localidade da prestação do serviço e alternativas para continuidade dos negócios.

Caso contrário, ou seja, na não existência de convênio, solicite autorização junto ao BACEN observando os prazos estabelecidos e requisitos obrigatórios de contratação.

Da segurança

Os contratos para prestação de serviços relevantes de processamento, armazenamento de dados e computação em nuvem devem prever: onde o serviço será prestado, a adoção de medidas de segurança para a transmissão e armazenamento dos dados, a manutenção enquanto o contrato estiver vigente e a segregação dos dados e dos controles de acesso para proteção das informações dos clientes.

Para efeito de acompanhamento, periodicamente e/ou sob demanda, fornecer informações relativas às certificações e aos relatórios de auditoria especializada, informações e recursos de gestão adequados ao monitoramento dos serviços a serem prestados, notificar a instituição contratante sobre a subcontratação de serviços relevantes para a instituição e permissão de acesso do Banco Central do Brasil aos contratos e aos acordos firmados para a prestação de serviços, à documentação e às informações.

A empresa contratada deve manter a instituição contratante permanentemente informada sobre eventuais limitações que possam afetar a prestação dos serviços ou o cumprimento da legislação e da regulamentação em vigor.

Do prazo para adequação

As instituições atendidas por esta resolução e que já tiverem contratado a prestação de tais serviços devem apresentar ao Banco Central do Brasil – no prazo máximo de 180 dias contados a partir da data de entrada em vigor da resolução – cronograma para adequação. Consulte os requisitos mínimos. A adequação não poderá ultrapassar 31 de dezembro de 2021.