Resolução exige o desenvolvimento de planos de ação e de respostas a incidentes
No final de abril, o Banco Central publicou a resolução 4658, que define a necessidade de criação de uma política de segurança cibernética para todas as instituições financeiras regulamentadas pelo órgão. A resolução exige o desenvolvimento de planos de ação e de respostas a incidentes, além de estabelecer requisitos para contratação de serviços em nuvem.
Marcus Almeida, gerente de vendas da McAfee, comenta que o prazo para o cumprimento das regras é bastante curto e há muito trabalho a ser feito. “Já em outubro de 2018 as empresas precisam apresentar um cronograma de adequação de serviços em nuvem contratados e, até maio de 2019, um ano após a publicação da norma, é preciso apresentar uma série de documentos e planos definindo como todas as exigências serão cumpridas”.
Nesse intervalo, as empresas precisam criar uma política de segurança cibernética, desenvolver um plano de ações e resposta a incidentes, designar um diretor responsável por esses itens e ainda elaborar um relatório que contenha a efetividade da implementação das ações, os resultados obtidos pelos procedimentos e controles já implementados, os incidentes relevantes do período e os resultados de testes de continuidade de negócios, considerando os cenários de indisponibilidade causada por incidentes.
“A lista de tarefas é imensa e as empresas devem buscar ajuda dos fornecedores de soluções de segurança para definir o que deve ser feito na prática. Além disso, em breve será sancionada a lei de geral de proteção de dados, e as empresas da área financeira também serão impactadas e terão que cumprir as duas leis ao mesmo tempo. Por isso, é importante agora já planejar a segurança contando com as regras já determinadas por ambas as leis”, comenta Almeida.
Para cumprir tantas exigências, Almeida sugere que as empresas organizem duas frentes para atender às normas: tecnologia e governança. Na área da governança, as diretrizes necessárias para alcançar a conformidade com o Banco Central são: definição de objetivos de segurança, comprometimento da alta gerência, classificação de dados, gestão de vulnerabilidades, gestão de rastreabilidade, gestão de incidentes, gestão de desenvolvimento e aquisição e disseminação de cultura de segurança.
Já na área da tecnologia, o ambiente corporativo deve contar com soluções para autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamento de dados, varreduras de vulnerabilidades, proteção contra malware, mecanismos de rastreabilidade, controles de acesso e de segmentação de rede e manutenção de backups.
