A Resolução CMN 4.893 disciplina a política de segurança cibernética das instituições alcançadas por seu artigo 1º, com as exclusões previstas no parágrafo único. A Resolução CMN 5.274/2025 alterou requisitos do texto. Instituições fora desse escopo podem estar sujeitas à regulamentação paralela do BCB, como a Resolução BCB 85/2021, alterada pela Resolução BCB 538/2025. A norma aplicável deve ser confirmada com jurídico e compliance.
O que a Resolução CMN 4.893 exige em controle de acesso?
A Resolução CMN 4.893, de 26 de fevereiro de 2021, entrou em vigor em 1º de julho de 2021 e revogou a Resolução 4.658 (Resolução CMN 4.893, Banco Central do Brasil). Seu alcance precisa ser lido com as exclusões do artigo 1º e as alterações posteriores. O artigo 2º trata da implementação e manutenção da política de segurança cibernética conforme porte, perfil de risco, modelo de negócio e sensibilidade dos dados.
O coração técnico está no artigo 3º. O inciso II do caput obriga a política a descrever os procedimentos e controles adotados para reduzir a vulnerabilidade a incidentes, e o parágrafo 2º lista o mínimo que esses controles precisam abranger. Depois da redação dada pela Resolução CMN 5.274, de 18 de dezembro de 2025, esse mínimo passou a ter quatorze itens nomeados, entre eles a autenticação, os mecanismos de criptografia, os mecanismos de rastreabilidade, a avaliação e correção de vulnerabilidades, os controles de acesso, os perfis de configuração segura de ativos, os mecanismos de proteção da rede, a gestão de certificados digitais e as ações de inteligência no ambiente cibernético.
Na camada de acesso, a norma deixou de falar em princípio e passou a nomear o controle. O parágrafo 9º do artigo 3º determina que os controles de acesso incluam, no mínimo, mecanismos para limitar o acesso à rede corporativa a usuários credenciados e a dispositivos autorizados, revisão periódica e tempestiva das permissões de acesso, com atenção especial a colaboradores terceirizados, e múltiplos fatores de autenticação para acesso à rede corporativa a partir de ambientes externos.
O parágrafo 11 acrescenta a camada de rede: segmentação que resguarde o ambiente de produção e os recursos que suportam processos críticos de negócio, regras de firewall com monitoramento de conexões, critérios para conexões com ambientes externos, tratamento de eventos atípicos incluindo uso de VPN e tentativas de acesso privilegiado, e restrição da rede corporativa a dispositivos autorizados. O parágrafo 7º fecha com a rastreabilidade: trilhas de auditoria do processamento fim a fim, tempo de retenção definido e retenção segura dessas trilhas.
Algumas capacidades citadas pela norma também aparecem em arquiteturas Zero Trust, como verificação de identidade, autorização de dispositivos, revisão de privilégios, segmentação e rastreabilidade. Isso não cria equivalência: a norma não prescreve Zero Trust, e adotar Zero Trust não comprova conformidade.
O que mudou com a Resolução CMN 5.274 e até quando adequar?
A Resolução CMN 5.274 foi publicada no Diário Oficial da União de 22 de dezembro de 2025 e entrou em vigor na data da publicação. O artigo 2º dela fixa o prazo: as instituições em funcionamento devem promover as adaptações necessárias à adequação até 1º de março de 2026 (Resolução CMN 5.274, Banco Central do Brasil). O prazo já venceu, e o efeito prático é que o eixo da conversa saiu do plano de adequação e foi para a evidência de implementação.
Entre as alterações que merecem avaliação técnica estão:
- Teste de intrusão com cadência e independência. O artigo 22-A determina periodicidade mínima anual, execução com independência e imparcialidade por pessoa natural ou empresa especializada contratada para essa finalidade, sem prejuízo de testes realizados pela própria equipe, e documentação dos resultados, das vulnerabilidades identificadas e dos planos de ação para correção.
- Requisitos adicionais para Pix e STR. O artigo 3º-A alcança a instituição que se comunica eletronicamente pela Rede do Sistema Financeiro Nacional e participa dos sistemas do mercado financeiro. Para ela, exige múltiplos fatores de autenticação para acesso administrativo aos ambientes Pix e Sistema de Transferência de Reservas, isolamento físico e lógico desses ambientes, inclusive com instância dedicada quando houver serviço de nuvem contratado, monitoramento do uso de credenciais e certificados, e vedação de acesso de prestadores de serviço às chaves privadas usadas na assinatura de mensagens.
- Relatório anual mais exigente. O artigo 8º passou a pedir, no inciso V do parágrafo 1º, os resultados dos testes de intrusão e das varreduras e análises periódicas de vulnerabilidade, mais os planos de ação para correção. O relatório tem data-base de 31 de dezembro, vai ao comitê de risco quando existir, e é apresentado ao conselho de administração ou à diretoria até 31 de março do ano seguinte.
A Resolução 4.893 se aplica à minha instituição?
O artigo 1º alcança as instituições autorizadas a funcionar pelo Banco Central. O parágrafo único, com a redação dada pela Resolução CMN 5.117 e vigente desde 1º de março de 2024, exclui do escopo as administradoras de consórcio, as instituições de pagamento, as sociedades corretoras e distribuidoras de títulos e valores mobiliários e as sociedades corretoras de câmbio, que observam a regulamentação própria emanada pelo Banco Central.
Duas leituras práticas saem daí. A primeira: instituições excluídas do escopo da CMN 4.893 devem verificar a regulamentação própria aplicável, incluindo a Resolução BCB 85/2021 e a Resolução BCB 538/2025 quando pertinentes. A segunda: conglomerado prudencial e sistema cooperativo de crédito podem adotar política única nas condições do texto. A aplicação concreta deve ser validada por jurídico e compliance.
Por que o relatório anual não prova, sozinho, que o controle está ativo?
O artigo 10 pede que a política e o plano de ação sejam documentados e revisados no mínimo anualmente. O artigo 8º pede um relatório com data-base de 31 de dezembro. O artigo 22-A pede um teste de intrusão por ano. Esse conjunto forma um retrato do ambiente em pontos definidos do calendário.
O ambiente muda entre avaliações. Pode entrar um fornecedor, mudar uma regra de firewall, terminar um contrato ou surgir uma exceção de autenticação. Cada evento pode alterar o estado de um controle e precisa ser considerado no ciclo de verificação definido pela instituição.
A diferença entre documento e ambiente pode aparecer em fiscalização, auditoria, due diligence ou incidente. Informações públicas sobre C&M Software e Sinqia destacaram credenciais e fornecedores conectados, mas não permitem concluir que um único controle teria evitado os episódios. O estudo IBM Cost of a Data Breach 2025 estimou em R$ 8,98 milhões o custo médio, no Brasil, de violações iniciadas por comprometimento de terceiros e da cadeia.
Como contexto, um estudo da Vultus com 62 empresas de grande porte de 13 setores registrou maturidade média de 1,61 numa escala de 0 a 5. A amostra não permite generalizar o estágio de todas as instituições reguladas.
Como organizar evidências para avaliar o atendimento?
Uma organização possível do trabalho usa quatro camadas. Ela não substitui o programa de conformidade nem constitui método oficial do regulador.
- Traduza a norma em controles nomeados. Cada exigência do artigo 3º, parágrafos 7º a 12, e do artigo 3º-A vira um item verificável no ambiente, com dono e escopo. "Múltiplo fator para acesso externo à rede corporativa" é um item. "Revisão periódica de permissão de terceirizado" é outro.
- Estabeleça o estado de cada item. Ativo no ambiente, previsto e inativo, ou não aplicável ao ambiente, com o motivo registrado. Um controle configurado no console e sem enforcement no tráfego conta como previsto e inativo.
- Registre o período da evidência. O histórico ajuda a mostrar quando o estado foi observado e o que mudou desde a verificação anterior.
- Defina a cadência. A periodicidade deve considerar a norma aplicável, o risco, as mudanças do ambiente e o escopo contratado.
O NowCy Trust Maturity (NTM) calcula a razão entre controles ativos e controles aplicáveis ao ambiente no escopo contratado, um ponto por controle. Referências como NIST CSF 2.0, ISO/IEC 27001:2022 e CIS Controls v8 podem apoiar o trabalho, mas este artigo não afirma correspondência integral, certificação ou equivalência regulatória.
O que o índice entrega ao cargo é a resposta que hoje falta na reunião: um número do próprio ambiente, com data, que o auditor confere. O que ele não faz é substituir a auditoria nem o teste de intrusão que a norma exige. A auditoria aponta a lacuna num ponto do tempo, o índice acompanha o controle no intervalo, e os dois convivem no mesmo calendário.
Exemplo ilustrativo: como um controle declarado pode aparecer inativo
O cenário a seguir é fictício e composto, criado apenas para demonstrar o mecanismo. Não descreve cliente, caso de portfólio nem resultado real da NowCy. Considere uma instituição financeira de médio porte, com cerca de 900 usuários, VPN corporativa, firewall legado e política aprovada pelo conselho.
No exemplo, o múltiplo fator para acesso externo apareceria como implantado na documentação, mas a verificação identificaria ausência em contas de integração e prestadores com acesso mantido após o contrato. O recorte ilustra uma hipótese; não descreve o conteúdo necessário de todo relatório anual.
Depois de validar dependências e escopo, a equipe poderia priorizar a correção e registrar novas evidências. Nenhum percentual, prazo ou resultado real é atribuído a esse cenário.
A NowCy opera um ecossistema com consultoria de arquitetura, NTM, NowCy Academy e Zero Trust Experts (ZTE). Cada oferta tem escopo próprio; nenhuma delas substitui auditoria, parecer jurídico ou responsabilidade regulatória da instituição.
Perguntas frequentes
A Resolução CMN 4.893 exige autenticação multifator? Sim, no acesso à rede corporativa a partir de ambientes externos, conforme o inciso III do parágrafo 9º do artigo 3º, incluído pela Resolução CMN 5.274. O artigo 3º-A acrescenta múltiplos fatores para o acesso administrativo aos ambientes Pix e STR nas instituições que se comunicam pela Rede do Sistema Financeiro Nacional.
A Resolução 4.893 obriga a adotar Zero Trust? A norma não nomeia nem obriga a adoção de Zero Trust. Algumas capacidades podem se sobrepor a princípios de uma arquitetura Zero Trust, mas a aderência deve ser avaliada diretamente contra o texto regulatório aplicável.
Qual foi o prazo de adequação à Resolução CMN 5.274? Até 1º de março de 2026, conforme o artigo 2º da própria 5.274, publicada no DOU de 22 de dezembro de 2025. O prazo já venceu para as instituições em funcionamento na data de entrada em vigor.
Com que frequência o teste de intrusão precisa ser feito? No mínimo uma vez por ano, com independência e imparcialidade, executado por pessoa natural ou empresa especializada contratada para essa finalidade, sem prejuízo dos testes da equipe interna, com resultados e planos de ação documentados. É o que determina o artigo 22-A.
O relatório anual do artigo 8º comprova que os controles estão ativos? O relatório atende ao conteúdo e ao período definidos pela norma. Ele não prova, isoladamente, que todo controle permaneça ativo em qualquer data posterior. Evidências adicionais podem complementar a avaliação conforme o risco e as mudanças do ambiente.