O mercado financeiro está mais exposto a ciberameaças do que nunca e as instituições sabem disso. É por isso que o segmento, de forma geral, vem questionando como pode fazer uma gestão de vulnerabilidades mais estratégica e eficiente.

Por trás desse questionamento estão duas necessidades: a primeira é a de atender regulatórios e, a segunda, mitigar riscos cada vez maiores e mais graves.

Sobre o primeiro ponto, os reguladores, por meio de normas, como a resolução do CMN nº 4.893 e a circular do BCB nº 3.909, determinam que a política de segurança cibernética deve contemplar a gestão, com “a realização periódica de testes e varreduras para detecção de vulnerabilidades”.

Mas a pressão não é, nem de longe, só do regulador. É notório o aumento do volume e do grau dos ataques.

Neste artigo, vamos voltar aos conceitos básicos de gestão de vulnerabilidades. Você verá o que é, como um programa é faseado e como a RTM também atende às instituições que buscam aumentar a consistência de sua gestão.

O que é gestão de vulnerabilidades?

A gestão de vulnerabilidades é o processo de identificar, classificar, priorizar, mitigar e monitorar falhas em ativos de tecnologia que podem ser exploradas por ciberameaças.

Esses ativos compreendem desde sistemas operacionais e softwares até aplicações web, APIs e dispositivos conectados.

Para instituições altamente reguladas, como bancos, fintechs e cooperativas de crédito, esse processo é especialmente crítico.

A exposição a riscos cibernéticos pode comprometer a continuidade das operações, violar exigências legais (como as da Resolução BCB nº 85 ou da LGPD) e afetar a confiança dos clientes.

Além disso, em setores com supervisão constante, falhas não tratadas podem resultar em sanções ou em restrições operacionais.

Quais são os tipos de vulnerabilidades que afetam instituições financeiras?

A segurança cibernética no setor financeiro exige atenção a uma variedade de vulnerabilidades. Essas falhas, que podem estar em sistemas, processos, pessoas ou fornecedores, colocam em risco dados sensíveis, operações críticas e a conformidade com normas como a Resolução BCB nº 85/2021 e a LGPD.

A seguir, listamos os principais tipos de vulnerabilidades que instituições como bancos, fintechs, cooperativas de crédito e plataformas de investimento devem monitorar de forma contínua!

Vulnerabilidades técnicas

Essas são as mais conhecidas: falhas em softwares, sistemas operacionais desatualizados, APIs mal documentadas, brechas em aplicações web ou integrações frágeis entre sistemas.

No contexto financeiro, são especialmente sensíveis por envolverem meios de pagamento e autenticação digital.

Um exemplo claro são os sistemas de integração com o Pix ou com o Open Finance.

APIs expostas sem autenticação adequada, ou mal protegidas contra injeções de código e ataques de força bruta, representam riscos diretos à integridade de transações financeiras e à privacidade dos usuários.

Vulnerabilidades humanas

Por mais avançadas que sejam as soluções tecnológicas, o fator humano ainda é uma das principais portas de entrada para incidentes.

Campanhas de phishing que imitam comunicações legítimas do banco, vazamento de dados, como senhas por e-mails corporativos desprotegidos, ou uso de credenciais fracas são exemplos recorrentes.

Em uma instituição financeira, um colaborador com acesso privilegiado que sofre um ataque de engenharia social pode, sem perceber, comprometer milhões de registros.

Por isso, além de treinamento, é fundamental implementar modelos de acesso por privilégio mínimo, autenticação multifator e monitoramento de comportamento suspeito.

Vulnerabilidades de configuração

Erros como portas expostas, permissões excessivas, falta de criptografia em dados em trânsito ou ausência de políticas de autenticação forte criam vulnerabilidades invisíveis.

Instituições que operam com múltiplas camadas de serviço (como SaaS, cloud híbrida, APIs e aplicações legadas) precisam ter uma governança rígida de configurações, como o uso de baselines de segurança, auditorias frequentes e automação de políticas de compliance técnico.

Vulnerabilidades em fornecedores e terceiros

A segurança de uma instituição financeira também depende da segurança de seus parceiros.

Plataformas de SaaS, provedores de nuvem, fintechs integradas por meio de APIs abertas são pontos de contato que, se não forem avaliados corretamente, podem introduzir riscos à operação.

Um exemplo é a integração com plataformas de banking as a service (BaaS) ou com hubs de Open Finance: se a instituição parceira não segue práticas robustas de segurança ou não tem logging adequado, o risco recai sobre a contratante.

A Resolução CMN nº 4.893/2021, por exemplo, exige que as instituições façam due diligence e monitorem continuamente seus terceiros em serviços de tecnologia.

A gestão de vulnerabilidades, nesse caso, precisa ir além do perímetro interno e abranger toda a cadeia de fornecimento.

Como funciona a gestão de vulnerabilidades na prática?

A gestão de vulnerabilidades é um processo dividido em duas etapas principais: preparação e execução.

1. Preparação

Antes de iniciar os ciclos de análise, é necessário estruturar o programa com base em cinco pilares (segundo o framework do Gartner):

• Definir escopo e responsabilidades;
• Escolher ferramentas de varredura;
• Estabelecer políticas e SLAs;
• Mapear os ativos da instituição;
• Contextualizar riscos de acordo com o ambiente.

Essa base garante que o processo seja consistente, rastreável e alinhado aos objetivos de segurança da organização.

2. Ciclo de gestão

Com a preparação, o ciclo se repete continuamente em cinco etapas:

• Análise: realização de scans para identificar falhas e gerar relatórios com o nível de risco;
• Priorização: avaliação de exposição, impacto e criticidade para definir o que deve ser resolvido primeiro;
• Ação: correção, mitigação ou aceitação do risco, de acordo com a política definida;
• Reavaliação: novo scan para validar se as vulnerabilidades foram realmente resolvidas.
• Melhoria: ajustes nos processos, nas políticas e nos indicadores com base nas lições aprendidas.

Esse ciclo garante visibilidade constante, resposta rápida e evolução contínua da maturidade em segurança cibernética.

O que dizem as normas sobre gestão de vulnerabilidades no setor financeiro?

Instituições financeiras operam em um ambiente com alto grau de regulação, e a gestão de vulnerabilidades deixou de ser uma boa prática para se tornar uma exigência expressa em diversas normas.

O objetivo comum?

Proteger dados sensíveis, garantir a continuidade das operações e reduzir riscos sistêmicos no setor.

Entre as principais regulamentações que abordam diretamente a necessidade de uma gestão contínua de vulnerabilidades, destacam-se:

Resolução CMN nº 4.893/2021

Estabelece diretrizes para a contratação de serviços de nuvem e tecnologia de terceiros, exigindo que as instituições realizem due diligence técnica e adotem medidas contínuas de controle e mitigação de riscos, incluindo vulnerabilidades em ativos digitais.

Resolução BCB nº 85/2021

Foca em segurança cibernética, governança de tecnologia e continuidade de negócios. Determina que instituições de pagamento e outras entidades supervisionadas adotem testes

periódicos de segurança, mantenham registros de vulnerabilidades identificadas e documentem as ações corretivas realizadas.

Resolução BCB nº 6/2023

A Resolução BCB nº6/2023 traz diretrizes sobre política de gerenciamento de riscos cibernéticos. Essa normativa reforça a importância da identificação, avaliação e mitigação contínua de vulnerabilidades, com base em frameworks reconhecidos internacionalmente.

LGPD (Lei nº 13.709/18)

Embora mais ampla, a LGPD exige que as organizações tratem dados pessoais com medidas técnicas e administrativas capazes de proteger contra acessos não autorizados, vazamentos ou alterações.

Todos eles são frequentemente originados de vulnerabilidades técnicas ou humanas.

Normas da CVM e do CMN

A Comissão de Valores Mobiliários e o Conselho Monetário Nacional exigem que instituições sob sua supervisão adotem controles operacionais compatíveis com o porte e o risco das suas operações.

Aí, entram elementos como a adoção de práticas de segurança da informação e resposta a incidentes baseadas na gestão de vulnerabilidades.

Em resumo: não basta “ter segurança”. É necessário demonstrar, com registros e evidências, que a instituição possui um processo estruturado de identificação, priorização e mitigação de vulnerabilidades.

Como a RTM atua em gestão de vulnerabilidades?

A RTM entrega às instituições financeiras um modelo completo de gestão de vulnerabilidades como serviço, que vai além do uso de ferramentas isoladas e responde diretamente às exigências regulatórias do setor.

Uma solução pensada para instituições reguladas

Com experiência na integração de soluções seguras para bancos, cooperativas, fintechs e entidades de infraestrutura do mercado, a RTM desenvolveu um serviço sob medida, que combina:

• Ferramenta de varredura (scan) de alta precisão, com cobertura ampla e atualizações constantes;
• Configuração e operação completas feitas pela equipe técnica da RTM, sem necessidade de equipe interna dedicada;
• Consultoria especializada para interpretar os riscos e apoiar correções, o que vai além de um simples relatório técnico.

Scans recorrentes e comparativos de evolução

A RTM realiza varreduras mensais (ou sob demanda), cobrindo desde sistemas e APIs até ativos de rede e endpoints.

Os resultados são apresentados com análise comparativa, facilitando o monitoramento da maturidade cibernética da instituição.

Conformidade e rastreabilidade

Todos os relatórios gerados contemplam registros detalhados das vulnerabilidades encontradas, ações propostas, histórico de tratamento e evidências de correção.

Isso facilita auditorias e demonstra conformidade com as exigências do Bacen, CMN, CVM e LGPD.

A gestão de vulnerabilidades da RTM está alinhada às principais normas do setor e pode ser integrada com outras soluções de segurança, como firewalls gerenciados, serviços de SOC e gestão de acessos.

Quer saber mais? Conheça todas as soluções de segurança da RTM!