Resolução CMN 4.893: segurança cibernética em cooperativas

Cooperativas de crédito e demais instituições autorizadas pelo Banco Central têm uma obrigação própria de segurança cibernética: a Resolução CMN 4.893, de 2021. Este guia resume o que o texto pede, já com a redação dada pela Resolução CMN 5.274/2025 (texto oficial lido em 31/10/2026), e mostra onde a proteção de endpoint se encaixa.

A quem a norma se aplica

A resolução vale para as instituições financeiras e para as demais instituições autorizadas a funcionar pelo Banco Central. Ficam fora as administradoras de consórcio, as instituições de pagamento, as corretoras e distribuidoras de valores mobiliários e as corretoras de câmbio; as três últimas seguem a Resolução BCB 85/2021, com os mesmos controles, e as administradoras de consórcio, a regulamentação própria do Banco Central. A norma ainda prevê o caso do sistema cooperativo de crédito, que pode adotar uma única política para o conjunto, desde que a opção seja formalizada em reunião da diretoria.

Isso significa que a cooperativa singular não precisa necessariamente escrever a política do zero, mas continua responsável por executá-la. A política deve ser proporcional ao porte, ao perfil de risco, ao modelo de negócio e à sensibilidade dos dados da instituição.

O que a instituição precisa manter

Há quatro entregas. A primeira é a política de segurança cibernética, aprovada pela diretoria e revisada ao menos uma vez por ano. A segunda é o plano de ação e de resposta a incidentes, que descreve rotinas, procedimentos, controles e tecnologias. A terceira é a designação de um diretor responsável pela política e pelo plano, função que pode ser acumulada se não houver conflito de interesses.

A quarta é o relatório anual sobre a implementação do plano, com data-base de 31 de dezembro e entrega à diretoria até 31 de março. O relatório traz a efetividade das ações, os incidentes relevantes do período e os resultados dos testes de continuidade. Além disso, a instituição divulga ao público um resumo da política.

Os controles mínimos

Desde a Resolução CMN 5.274/2025, o art. 3º, § 2º, lista 14 controles mínimos: autenticação, criptografia, prevenção e detecção de intrusão, prevenção de vazamentos, proteção contra softwares maliciosos, rastreabilidade, gestão de cópias de segurança, avaliação e correção de vulnerabilidades, controles de acesso, perfis de configuração segura, proteção da rede, gestão de certificados digitais, requisitos de segurança para integração de sistemas por interfaces eletrônicas e ações de inteligência, incluindo Deep Web e Dark Web.

Os parágrafos seguintes detalham o mínimo de cada um. O controle de acesso inclui múltiplos fatores de autenticação para o acesso à rede a partir de ambientes externos e revisão periódica das permissões de terceirizados. A proteção da rede inclui segmentação, firewall e monitoramento de conexões, especialmente à noite e em dias não úteis.

Controle	Onde a proteção de endpoint ajuda
Proteção contra malware	Antivírus e anti-ransomware em estações e servidores
Detecção de intrusões e rastreabilidade	EDR, com a linha do tempo dos eventos nos endpoints
Vulnerabilidades e correções	Análise de risco e gestão de correções nos endpoints
Criptografia	Criptografia de disco em notebooks e estações
Vazamento de informações	Controle de dispositivos (USB) e criptografia

Firewall, segmentação, backup, gestão de certificados, teste de intrusão e inteligência em Dark Web são controles de outras camadas e ficam fora do endpoint. Rastreabilidade de transações e trilhas de auditoria ficam nos sistemas da instituição.

O que mudou em 2025

A Resolução CMN 5.274, datada de 18/12/2025 e publicada em 22/12/2025, ampliou a lista de controles, detalhou o mínimo de cada um (§§ 7º a 12 do art. 3º) e criou o art. 3º-A, com requisitos adicionais para a comunicação na rede do sistema financeiro: múltiplos fatores no acesso administrativo ao Pix e ao STR, isolamento desses ambientes e proibição de acesso de prestadores às chaves privadas dos certificados.

O art. 22-A tornou obrigatório o teste de intrusão com periodicidade mínima anual, feito por pessoa ou empresa especializada contratada, e o relatório anual passou a trazer os resultados dos testes e das análises de vulnerabilidades, com os planos de correção. A norma entrou em vigor na publicação e deu às instituições em funcionamento até 1º de março de 2026 para se adequar. A justificativa está no voto do CMN.

Terceiros e nuvem

A resolução trata da contratação de serviços relevantes de processamento, armazenamento de dados e computação em nuvem. Antes de contratar, a instituição precisa adotar práticas de governança proporcionais ao risco e verificar a capacidade do prestador de cumprir a lei, de dar acesso aos dados e de garantir confidencialidade, integridade, disponibilidade e recuperação.

O relatório e os documentos ficam à disposição do Banco Central por cinco anos. A política também deve prever os procedimentos e controles que prestadores com acesso a dados sensíveis têm que adotar, com nível de complexidade compatível com o da própria instituição. Por isso, quem presta serviço de TI a uma cooperativa deve documentar o que entrega e o que não entrega.

Por onde começar

Comece pelo inventário de estações, notebooks e servidores, e verifique se todos estão protegidos e gerenciados em um só lugar. Esse é o ponto em que a evidência para o relatório anual nasce.

Depois, avalie a versão de proteção, que depende de a cooperativa ter equipe para acompanhar alertas. A página para cooperativas de crédito mostra o que a Codlinx cobre e o que indica a parceiros, e o diagnóstico gratuito ajuda a mapear as lacunas.