Acesso por aplicação, não por rede
O terceiro alcança exatamente o recurso autorizado. O restante do ambiente permanece inacessível e invisível para aquela identidade.
Zero Trust para quem opera sem janela, convive com terceiros dentro do ambiente e precisa provar cada controle
Instituições financeiras não escolheram sua superfície de exposição, ela veio junto com o Pix, com o Open Finance e com a cadeia de fornecedores que sustenta o core. A NowCy desenha, opera e mede arquitetura Zero Trust para essa condição.
A operação, antes da norma
O que torna o setor financeiro diferente na prática
Indisponibilidade é evento de supervisão, não chamado de TI. O Pix opera 24 horas por dia, todos os dias do ano, e o SPI, sua infraestrutura de liquidação, integra o Sistema de Pagamentos Brasileiro sob monitoramento ininterrupto do Banco Central. Não existe janela de manutenção confortável. Controle de segurança que só funciona interrompendo o fluxo é inviável nesse ambiente: ele precisa operar em linha, sem degradar latência de transação.
A superfície cresceu por decisão de negócio, não por descuido. Open Finance, APIs com parceiros, correspondentes, fintechs conectadas ao core. Cada integração aprovada pela área de negócio é um caminho de acesso novo. O perímetro foi ampliado deliberadamente, e agora precisa de política por conexão, não de exceção em firewall.
Terceiros têm acesso privilegiado que ninguém desenhou como privilegiado. Fornecedor de core banking, sustentação de aplicação, consultoria de projeto, integrador. O acesso concedido por VPN alcança segmento de rede. A tarefa exigia uma aplicação. A diferença entre os dois é a superfície que sobra disponível quando aquela credencial é comprometida.
O dado do setor no Brasil
No IBM Cost of a Data Breach 2025, edição Brasil, o comprometimento de terceiros e da cadeia de suprimentos respondeu por 15% das violações, com custo médio de R$ 8,98 milhões.
Contra R$ 7,19 milhões da média nacional. Entre os três vetores iniciais quantificados no recorte brasileiro, é o de maior custo médio. [IBM Cost of a Data Breach 2025, edição Brasil]
O que a arquitetura Zero Trust muda nesse ponto
A granularidade de acesso é o que decide aqui: o modelo tradicional concede rede quando a tarefa pedia aplicação. A questão está no desenho do acesso, e não na conduta do fornecedor. Uma credencial de terceiro pode ser comprometida mesmo em arquitetura Zero Trust, e o que a arquitetura decide é o alcance dela depois disso.
Sessão inspecionada e isolada
O tráfego do fornecedor não trafega lado a lado com o tráfego interno em um mesmo segmento plano.
Revogação por política, não por chamado
Encerrado o contrato ou a tarefa, o acesso cai por regra, sem depender de ticket de desprovisionamento processado a tempo.
Registro por sessão
Quem acessou, qual aplicação, quando, por quanto tempo. É a evidência que a auditoria pede, gerada como subproduto da operação.
Cada um dos quatro movimentos depende de configuração correta e do escopo contratado. O alcance de uma credencial comprometida é o que separa um incidente contido de um incidente reportável.
Do controle declarado ao controle demonstrável
As atualizações de dezembro de 2025, Resolução CMN 5.274 (que altera a CMN 4.893/2021) e Resolução BCB 538 (que altera a BCB 85/2021), elevaram o padrão de prova sobre um tema que já existia.
O prazo de adequação encerrou-se em 1º de março de 2026. O que vem depois do prazo é supervisão. As resoluções exigem que os controles estejam implementados e operacionais, que os testes de intrusão tenham periodicidade mínima anual e execução independente, e que resultados e planos de ação de correção fiquem documentados e à disposição do Banco Central pelo prazo de cinco anos.
A CMN 5.274 acrescentou o art. 3º, § 9º, II, que exige revisão periódica e tempestiva das permissões de acesso, em especial de colaboradores terceirizados com acesso aos recursos computacionais da instituição. A BCB 538 espelha o dispositivo na BCB 85. O acesso de terceiro passou a ter linha própria na norma.
Nenhuma das normas prescreve Zero Trust. Todas cobram capacidades que uma arquitetura Zero Trust pode entregar de forma mensurável, desde que implementadas no contexto da instituição: verificação de identidade, menor privilégio, rastreabilidade de acesso e contenção de propagação.
Ler a Resolução CMN 4.893 vigenteLer a Resolução CMN 5.274Ler a Resolução BCB 85 vigenteLer a Resolução BCB 538
Dispositivos citados: CMN 4.893, art. 3º, § 2º, I a XIV; § 8º, IV; § 9º, II; art. 8º, § 1º, V; art. 22-A; e art. 23, I e X, na redação da Resolução CMN 5.274/2025, com espelho na BCB 85, arts. 3º, 8º, 22-A e 23, na redação da Resolução BCB 538/2025.
NowCy Trust Maturity (NTM)
O NTM é a metodologia da NowCy para medir maturidade de segurança de forma auditável: um índice ponderado pela criticidade de cada controle, sobre os controles aplicáveis, revisado ciclo a ciclo, com evidência técnica associada a cada item. Na prática, é a diferença entre responder “temos política de controle de acesso” e responder “estes controles estão ativos, estes não se aplicam ao nosso escopo, este está em plano de ação com prazo”.
Sprints mensais de maturidade
Evolução do score com lastro técnico, não apresentação de projeto.
Comitê executivo trimestral
Leitura de risco em formato de diretoria, com histórico comparável entre ciclos.
Evidência reaproveitável
O mesmo conjunto de controles atende auditoria interna, externa e supervisão.
O NowCy Trust Maturity organiza evidências técnicas e apoia auditorias e programas de conformidade. Ele não substitui avaliação jurídica, certificação nem auditoria independente.
O que a NowCy entrega para o setor financeiro
Arquitetura
Desenho de acesso Zero Trust para ambientes com operação contínua, integração por API e cadeia de fornecedores com acesso remoto. Substituição progressiva de acesso de rede por acesso por aplicação, sem parada de operação.
Operação gerenciada
Sustentação da plataforma em regime MSSP, com squad dedicado e níveis de serviço declarados em contrato. A instituição mantém a decisão de arquitetura; a NowCy apoia a evolução e o suporte.
Medição
NTM aplicado ao escopo contratado, com score auditável e evolução acompanhada em ciclos. A instituição enxerga a própria maturidade em número, não em percepção.
Mapeamento a frameworks internacionais
NIST CSF 2.0
Referência para organizar resultados e capacidades de cibersegurança.
ISO/IEC 27001:2022
Referência para o sistema de gestão e seus controles de segurança da informação.
CIS Controls v8
Referência prática para organizar salvaguardas e atividades de implementação.
O mapeamento e a cobertura observada dependem dos controles definidos como aplicáveis ao ambiente. Nenhum percentual é presumido antes do levantamento.
Perguntas frequentes sobre Zero Trust no setor financeiro
A quem se aplica a Resolução CMN 4.893?
A Resolução CMN 4.893 alcança as instituições abrangidas pelo seu art. 1º. Outras categorias autorizadas pelo Banco Central podem estar sujeitas a normativos paralelos, como a Resolução BCB 85. A aplicabilidade deve ser confirmada pela área jurídica e de compliance de cada instituição.
O que mudou com a Resolução CMN 5.274?
A Resolução CMN 5.274/2025 alterou a Resolução CMN 4.893/2021. O trabalho técnico da NowCy pode apoiar controles e evidências relacionados ao acesso, conforme o escopo e o contexto regulatório da instituição. Ele não substitui avaliação jurídica, certificação ou auditoria independente.
Como o NTM pode apoiar auditorias e compliance?
Quando contratado, o NTM registra a evolução dos controles avaliados no escopo e organiza evidências técnicas para consulta do board e do time de compliance. O uso regulatório dessas evidências depende do normativo, dos processos da instituição e da validação dos responsáveis por compliance.
A NowCy exige que eu troque o meu fornecedor de segurança atual?
A arquitetura e a tecnologia de execução são definidas depois da avaliação de compatibilidade, do ambiente e dos objetivos do cliente. A continuidade de uma plataforma existente depende dessa validação técnica.
Quantos acessos de terceiros continuam ativos no seu ambiente hoje?
Na maioria das instituições, essa resposta hoje é uma estimativa. O diagnóstico de maturidade Zero Trust da NowCy devolve o retrato do ambiente em controles ativos e aplicáveis, com leitura executiva no fim.