Segurança por setor · Instituições de pagamento
A política de segurança cibernética é exigência e precisa de controles.
Instituições de pagamento, corretoras e distribuidoras de valores, corretoras de câmbio e prestadoras de serviços de ativos virtuais precisam manter uma política de segurança cibernética aprovada pela administração, com controles mínimos definidos pelo Banco Central. Nas estações e servidores, parte desses controles é proteção de endpoint.
BitdefenderParceiro oficial
Resposta rápida
Atualizado em 01 de novembro de 2026
A Resolução BCB nº 85/2021, com as alterações das Resoluções BCB 368/2024, 538/2025 e 552/2026, obriga instituições de pagamento, sociedades corretoras e distribuidoras de títulos e valores mobiliários, corretoras de câmbio e prestadoras de serviços de ativos virtuais autorizadas pelo Banco Central a manter uma política de segurança cibernética aprovada pelo conselho de administração ou pela diretoria, um plano de resposta a incidentes e um diretor responsável, com relatório anual. A lista de controles mínimos tem 14 itens, entre eles proteção contra malware, detecção de intrusão, avaliação e correção de vulnerabilidades, controles de acesso com múltiplos fatores no acesso externo, proteção de rede e cópias de segurança, além de teste de intrusão independente ao menos uma vez por ano. A Codlinx, Parceira Oficial Bitdefender, entrega a proteção de endpoint e a evidência dela; política, governança, teste de intrusão, firewall, segmentação e backup ficam com a instituição e com outros fornecedores.
- Resolução BCB 85
- Estações e servidores
- Evidência para auditoria
- Todo o Brasil
01 / O que a norma pede
Política, plano, responsável, relatório anual e testes
A Resolução BCB 85 organiza a segurança cibernética em entregas que a instituição precisa manter, documentar e deixar à disposição do Banco Central por cinco anos.
- 01
Política de segurança cibernética
Aprovada pelo conselho de administração ou, se não houver, pela diretoria, documentada e revisada ao menos uma vez por ano, proporcional ao porte, ao perfil de risco e à sensibilidade dos dados. Um resumo das linhas gerais é divulgado ao público.
- 02
Plano de ação e resposta a incidentes
Define rotinas, procedimentos, controles e tecnologias de prevenção e resposta, e a área que registra os incidentes relevantes.
- 03
Diretor responsável
A instituição designa um diretor pela política e pela execução do plano. A função pode ser acumulada, desde que não gere conflito de interesses.
- 04
Relatório anual
Com data-base de 31 de dezembro, é submetido ao comitê de risco (quando existir) e apresentado ao conselho de administração ou à diretoria até 31 de março. Traz a efetividade das ações, os incidentes relevantes, os testes de continuidade e os resultados dos testes de intrusão e das análises de vulnerabilidades, com os planos de correção.
- 05
Teste de intrusão independente
Ao menos uma vez por ano, por pessoa ou empresa especializada contratada para isso, sem prejuízo de testes da equipe própria, com resultados e planos de correção documentados.
02 / Controles mínimos
Os 14 controles do art. 3º, § 2º (agrupados) e o que a Codlinx cobre
A lista de controles mínimos da política tem 14 itens. A coluna da direita mostra, sem rodeios, o que está no portfólio da Codlinx e o que fica com outros fornecedores.
| Controle da norma | Onde a Codlinx entra |
|---|---|
| Proteção contra softwares maliciosos | GravityZone em estações e servidores, com anti-ransomware |
| Prevenção e detecção de intrusão | EDR (versão Enterprise) e Network Attack Defense; MDR para quem não tem equipe de monitoramento |
| Avaliação e correção de vulnerabilidades | Endpoint Risk Analytics e Patch Management (módulo à parte) nas estações; teste de intrusão e varredura de rede são indicados a parceiros |
| Perfis de configuração segura e correções regulares | Políticas do console e Patch Management (módulo à parte); gestão do ciclo de vida dos ativos é da instituição |
| Criptografia | Full Disk Encryption (módulo à parte) em estações e notebooks |
| Autenticação e controles de acesso (múltiplos fatores no acesso externo) | MFA no Microsoft 365; controle de acesso à rede e revisão de permissões de terceiros são da instituição |
| Rastreabilidade | Linha do tempo de eventos do EDR nos endpoints; trilhas de transação ficam nos sistemas da instituição |
| Prevenção de vazamento de informações | Controle de dispositivos e criptografia reduzem a saída por mídias; DLP de rede é indicado a parceiros |
| Cópias de segurança | Orientação; a solução de backup é indicada a parceiros |
| Proteção da rede (segmentação, firewall, monitoramento de conexões) | Indicado a parceiros; o EDR ajuda a enxergar conexões suspeitas a partir dos endpoints |
| Gestão de certificados digitais e integração de sistemas por interfaces eletrônicas | Fora do portfólio: indicado a parceiros |
| Ações de inteligência no ambiente cibernético (incluindo Deep Web e Dark Web) | Fora do portfólio: indicado a parceiros |
Fonte: Resolução BCB 85/2021 com a redação dada pela Resolução BCB 538/2025 (art. 3º, § 2º, e §§ 7º a 12; adequação até 1º/03/2026). Quem escolhe os controles e responde por eles é a instituição.
Instituições de pagamento
A política de segurança cibernética da sua instituição tem evidência?
Diagnóstico gratuito, sem compromisso. Retorno em até 24 horas úteis.
03 / Pix, STR e terceiros
Requisitos adicionais e a norma sobre quem presta serviço
- 01
Rede do Sistema Financeiro Nacional
O art. 3º-A exige, na comunicação eletrônica de dados na RSFN, múltiplos fatores de autenticação no acesso administrativo aos ambientes Pix e STR, isolamento físico e lógico desses ambientes, controle de credenciais e certificados e proibição de acesso de prestadores às chaves privadas usadas na assinatura de mensagens.
- 02
Contratação de nuvem e processamento
Antes de contratar serviços relevantes, a instituição verifica a capacidade do prestador, documenta a verificação e comunica a contratação ao Banco Central até dez dias depois. O serviço prestado para a RSFN é considerado relevante (art. 22-B).
- 03
A Codlinx como prestadora
Quem presta serviço de TI a uma instituição regulada entra nesse escopo: por isso a Codlinx documenta o que entrega e o que fica fora, e não acessa chaves privadas de certificados da instituição.
04 / Por onde começar
Quatro passos para o endpoint
- ETAPA 01
Inventariar
Liste estações, notebooks, servidores (Windows e Linux), sistemas e prestadores com acesso.
Passo 1
- ETAPA 02
Cobrir tudo
Proteja todos os equipamentos com gestão central, de modo que haja evidência de cobertura e de atualização.
Passo 2
- ETAPA 03
Fechar lacunas de acesso e de correção
MFA nos acessos externos e administrativos, revisão de quem acessa o quê e aplicação regular de correções.
Passo 3
- ETAPA 04
Guardar as evidências
Relatórios do console e registros de incidentes alimentam o relatório anual e a auditoria, e ficam à disposição do Banco Central por cinco anos.
Passo 4
O que fica fora do portfólio da Codlinx
Política de segurança cibernética, governança e diretor responsável, teste de intrusão independente, firewall e segmentação de rede, gestão de certificados digitais e ambientes Pix e STR, backup e recuperação, inteligência de ameaças e parecer jurídico não fazem parte do que a Codlinx entrega hoje. Indicamos parceiros. A norma é alterada de tempos em tempos: a instituição deve conferir a versão vigente no Banco Central.
05 / Continue lendo
- Resolução BCB 85: segurança cibernética para fintechsO que a Resolução BCB 85 exige de instituições de pagamento e corretoras: política, plano, relatório anual, 14 controles e teste de intrusão.
- Cooperativas de créditoResolução CMN 4.893: política de segurança cibernética e proteção de endpoint para cooperativas e instituições financeiras, com Bitdefender.
- EDR e XDRDetecção e resposta em endpoints: quando o antivírus não basta e o que o EDR registra.
- MDR gerenciado 24/7Detecção e resposta gerenciadas por analistas da Bitdefender, com a Codlinx como ponto de contato.
- Proteção para servidoresSegurança para Windows Server e Linux no mesmo console das estações de trabalho.
- Licenças BitdefenderCompra, renovação e troca de fornecedor com cotação em até 24 horas úteis.
- Segurança e LGPDO que a LGPD exige de segurança técnica, prazos de incidente da ANPD e como comprovar controles.
- Diagnóstico gratuitoAvaliação gratuita de endpoints, e-mail, backup, licenças e LGPD com plano de ação priorizado.
Pronto para o próximo passo?
A política de segurança cibernética da sua instituição tem evidência?
Diagnóstico gratuito, sem compromisso. Retorno em até 24 horas úteis.
06 / Perguntas frequentes
Perguntas frequentes
A Resolução BCB 85 vale para instituições de pagamento?
Sim. Pelo art. 1º, com a redação da Resolução BCB 552/2026, ela vale para instituições de pagamento, sociedades corretoras e distribuidoras de títulos e valores mobiliários, sociedades corretoras de câmbio e sociedades prestadoras de serviços de ativos virtuais autorizadas a funcionar pelo Banco Central.
E as cooperativas de crédito e os bancos?
Seguem a Resolução CMN 4.893/2021, com os mesmos controles mínimos desde a Resolução CMN 5.274/2025. A página de cooperativas de crédito detalha essa norma.
A norma obriga a ter antivírus ou EDR?
A norma pede proteção contra softwares maliciosos e mecanismos de prevenção e detecção de intrusão entre os controles mínimos, sem citar uma ferramenta. A escolha é da instituição. O EDR é uma forma de atender à detecção de intrusão e ajuda na rastreabilidade dos endpoints, e fica na versão Enterprise do GravityZone.
Teste de intrusão é obrigatório?
Sim. Com a Resolução BCB 538/2025 (art. 22-A), o teste de intrusão tem periodicidade mínima anual, é feito com independência por pessoa ou empresa especializada contratada para isso, e seus resultados e planos de correção são documentados. Não faz parte do portfólio da Codlinx: indicamos parceiros.
A Codlinx faz a política de segurança cibernética?
Não. A política, a governança e o diretor responsável são da instituição. A Codlinx entrega a proteção de endpoint e os relatórios do console, que servem de evidência.
Qual é o prazo do relatório anual?
O relatório tem data-base de 31 de dezembro, é submetido ao comitê de risco quando existir e apresentado ao conselho de administração ou à diretoria até 31 de março do ano seguinte.
Até quando as instituições tinham de se adequar às mudanças de 2025?
A Resolução BCB 538, de 18/12/2025, entrou em vigor na publicação e deu às instituições em funcionamento até 1º de março de 2026 para se adequar. Confira sempre a redação vigente no Banco Central, pois a norma pode mudar de novo.
A Codlinx atende instituições fora de Minas Gerais?
Sim. A Codlinx é de Belo Horizonte e atende em todo o Brasil, com implantação remota e piloto antes da troca completa. O atendimento é de segunda a sexta, das 8h às 20h, com retorno em até 24 horas úteis.
Contato
Diagnóstico de segurança da instituição
Avaliamos estações, servidores, acessos e evidências frente à Resolução BCB 85, e indicamos a proteção certa. Sem custo, retorno em 24h úteis.
- contato@codlinx.com.br
- Telefone e WhatsApp
- (31) 3191-0305
- Atendimento
- Segunda a sexta, 8h às 20h
Fontes
Revisado em 01 de novembro de 2026
- [1]Resolução BCB nº 85/2021 — política de segurança cibernética e contratação de serviços de processamento, armazenamento de dados e nuvem por instituições de pagamento e outras instituições (texto vigente, com as alterações das Res. BCB 368/2024, 538/2025 e 552/2026) — Banco Central do Brasil, 08/04/2021
- [2]Resolução BCB nº 538/2025 — altera a Resolução BCB nº 85 (14 controles mínimos, teste de intrusão anual, requisitos da RSFN) — Banco Central do Brasil, 18/12/2025
- [3]Resolução CMN nº 4.893/2021 — política de segurança cibernética e contratação de serviços de processamento, armazenamento de dados e nuvem (texto vigente, com as alterações da Res. CMN 5.274/2025) — Banco Central do Brasil, 26/02/2021
- [4]Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD) — Presidência da República
- [5]Resolução CD/ANPD nº 15/2024 — Regulamento de Comunicação de Incidente de Segurança — Diário Oficial da União / ANPD, 26/04/2024
- [6]Compare all GravityZone packages (tabela oficial de versões) — Bitdefender
- [7]Bitdefender Endpoint Detection and Response (EDR) — Bitdefender