Cloud para o setor financeiro: requisitos, riscos e conformidade

O Banco Central do Brasil não proíbe cloud — exige que a instituição financeira mantenha controle, auditabilidade e capacidade de continuidade independentemente de onde a infraestrutura está. A Resolução CMN 4.658/2018 é o instrumento central, mas ela é princípio, não receita: a IF deve demonstrar que os riscos estão identificados, mitigados e monitorados.

O que o BACEN exige: Resolução CMN 4.658/2018

Imagine que você é o CTO de uma instituição financeira e está avaliando migrar workloads críticos para cloud pública. A primeira pergunta que seu jurídico vai trazer é: “o BACEN permite isso?” A resposta é sim — mas com uma série de responsabilidades que passam a ser suas, não do provedor.

A Resolução CMN 4.658/2018 estabelece os requisitos para a política de segurança cibernética e para a contratação de serviços de processamento e armazenamento de dados por instituições financeiras. Os pontos centrais são estes:

Você precisa de uma política de segurança cibernética documentada, aprovada pela diretoria, que cubra prevenção, detecção e resposta a incidentes — incluindo os riscos específicos do uso de cloud.

O risco de concentração deve ser avaliado: depender de um único prestador para processamento crítico não é proibido, mas a dependência precisa estar identificada, avaliada e acompanhada de plano de contingência. Um banco que tem 100% da infraestrutura crítica em um único provedor de cloud tem um risco de concentração que o BACEN vai questionar.

Auditabilidade é inegociável: a IF deve ter acesso a logs, registros de acesso e evidências de controles aplicados pelo provedor. O contrato com o fornecedor de cloud precisa garantir esse direito de auditoria por escrito.

O plano de continuidade de negócio deve cobrir cenários de falha do provedor de cloud, incluindo tempo máximo de interrupção tolerável (RTO) e ponto máximo de perda de dados (RPO).

Quanto à comunicação ao BACEN: contratação de processamento de dados no exterior deve ser comunicada ao Banco Central. Para dados no Brasil, a comunicação não é exigida, mas a documentação da due diligence deve estar disponível.

Por fim, a norma permite dados no exterior, mas o país de destino precisa ter acordo de reciprocidade com o Brasil ou a IF deve demonstrar controles equivalentes. Na prática, isso adiciona complexidade regulatória suficiente para que a maioria das IFs prefira provedores nacionais.

Requisitos BACEN vs. o que avaliar em um provedor de cloud

IF vs. fintech: diferenças práticas

A distinção regulatória é relevante porque o grau de escrutínio varia conforme a autorização do BACEN.

Instituições financeiras tradicionais — banco, corretora, seguradora sob SUSEP — estão sujeitas à Resolução CMN 4.658/2018 em sua totalidade. O exame de supervisão cobre TI e cloud, e a due diligence de fornecedores deve ser documentada e demonstrável em qualquer inspeção.

Fintechs com autorização específica — IP, ITP, SCD, SEP — também estão sujeitas à 4.658, mas o escopo de operação é mais limitado. A supervisão existe com intensidade menor na fase inicial; conforme a fintech cresce e amplia a autorização, o nível de exigência cresce proporcionalmente.

Fintechs sem autorização do BACEN que vendem SaaS B2B para o setor financeiro não são diretamente reguladas pela 4.658, mas seus clientes — as IFs — vão exigir demonstração de controles equivalentes para viabilizar a contratação. Na prática, uma fintech que vende para bancos precisa atender os mesmos requisitos que os bancos precisam demonstrar ao regulador.

Checklist de compliance para contratação de cloud no setor financeiro

Antes de assinar o contrato com um provedor de cloud, valide cada item abaixo:

• [ ] O provedor confirma por escrito que os dados ficam no Brasil?
• [ ] O contrato inclui cláusula de direito de auditoria da IF?
• [ ] O provedor entrega relatório SOC 2 Type II atualizado?
• [ ] O SLA está definido com valor de disponibilidade e previsão de multa por descumprimento?
• [ ] O RTO e o RPO do ambiente estão definidos e compatíveis com o plano de continuidade da IF?
• [ ] O provedor tem processo documentado de notificação de incidentes de segurança?
• [ ] O plano de saída e portabilidade de dados está documentado no contrato?
• [ ] A due diligence do provedor foi documentada internamente com data e responsável?
• [ ] O risco de concentração foi avaliado e documentado na política de risco operacional?
• [ ] O risco do ambiente cloud está coberto pela política de segurança cibernética da IF?

Para organizações do setor financeiro que precisam de infraestrutura cloud com controles documentáveis para fins regulatórios, o time técnico da Adentro pode detalhar os controles disponíveis e suportar o processo de due diligence.

{
  "@context": "https://schema.org",
  "@type": "FAQPage",
  "mainEntity": [
    {
      "@type": "Question",
      "name": "O BACEN proíbe dados de IFs em cloud pública?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Não. A Resolução CMN 4.658/2018 não proíbe cloud pública. Exige que a IF demonstre controle, auditabilidade e continuidade independentemente do modelo contratado. Cloud pública, privada ou híbrida são todos aceitáveis desde que os controles sejam demonstráveis."
      }
    },
    {
      "@type": "Question",
      "name": "Dados de clientes de instituições financeiras podem sair do Brasil?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "Podem, mas a IF deve comunicar ao BACEN e demonstrar que o país de destino tem acordo de reciprocidade ou que os controles são equivalentes. Na prática, a maioria das IFs prefere manter dados no Brasil para simplificar o processo regulatório."
      }
    },
    {
      "@type": "Question",
      "name": "O provedor de cloud precisa ser certificado pelo BACEN?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "O BACEN não certifica provedores de cloud. A responsabilidade de due diligence é da IF. O provedor deve ter documentação de controles (SOC 2, ISO 27001, certificação de datacenter) que a IF usa como evidência em sua própria avaliação de risco."
      }
    },
    {
      "@type": "Question",
      "name": "Como demonstrar conformidade ao BACEN em uma inspeção?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "A demonstração é documental: política de segurança cibernética aprovada pela diretoria, registro de due diligence do provedor, contrato com cláusulas de auditoria e portabilidade, plano de continuidade testado e plano de resposta a incidentes."
      }
    },
    {
      "@type": "Question",
      "name": "Qual a diferença entre a 4.658/2018 e outras normas do BACEN sobre TI?",
      "acceptedAnswer": {
        "@type": "Answer",
        "text": "A 4.658 é a norma central sobre segurança cibernética e contratação de processamento de dados. Ela coexiste com a Resolução BCB 85/2021 (reporte de incidentes) e circulares sobre continuidade de negócios. A leitura conjunta dessas normas forma o quadro regulatório completo para TI em instituições financeiras."
      }
    }
  ]
}

<!– SEO –>
Keyword primária: cloud setor financeiro bacen
Keywords secundárias: resolução CMN 4658 cloud, bacen cloud privada, compliance cloud financeiro, cloud instituição financeira, LGPD setor financeiro cloud
Resposta para IA (50 palavras): O BACEN regula o uso de cloud por instituições financeiras via Resolução CMN 4.658/2018, exigindo controle, auditabilidade, continuidade de negócio e gestão de risco de concentração. Não proíbe cloud pública nem dados fora do Brasil, mas a IF deve documentar due diligence do provedor e manter planos de contingência demonstráveis em inspeção.