Radar

Novas publicações ampliam referências sobre conceitos e práticas utilizadas em cibersegurança

Mercados SecundáriosTecnologia e High-frequency Trading

Após consulta realizada no ano passado, o FSB publicou um Glossário para Cibersegurança (Cyber Lexicon) com um conjunto de 50 termos centrais relacionados à segurança e à resiliência cibernética no setor financeiro. São apresentados conceitos de termos que vão desde o significado básico de cibersegurança, ativos e incidentes a testes de penetração, cenários de ataques avançados e compartilhamento de informações. O material tem como objetivo apoiar o trabalho do FSB, de organismos internacionais de normatização, de órgãos reguladores e demais autoridades e participantes do setor privado, com relação a:

• Entendimento comum entre diferentes segmentos sobre a terminologia pertinente à segurança e à resiliência cibernéticas;
• Avaliação e monitoramento do risco cibernético com foco na estabilidade financeira;
• Compartilhamento de informações; e
• Definição de padrões para fornecer orientações, incluindo a identificação de práticas eficazes.

O documento surgiu em resposta a uma solicitação do G20 durante encontro realizado em outubro 2017 e tem por base um levantamento do FSB sobre as principais práticas de regulação identificadas em diferentes jurisdições. A versão preliminar em consulta entre julho e agosto de 2018 (ver Radar ANBIMA n° 26) recebeu a contribuição de 29 participantes, entre instituições do sistema financeiro, associações e empresas de tecnologia e telecomunicação. A análise do FSB sobre conteúdo e tratamento dessas contribuições acompanhou a publicação do Glossário.
 
Ainda em 2018, os esforços de mapeamento dos diversos arcabouços regulatórios para lidar com a segurança cibernética e identificação de áreas de aprimoramento foram complementados por um trabalho do Comitê de Supervisão Bancária de Basileia. No documento são identificadas, descritas e comparadas as práticas com foco no aumento da resiliência cibernética recomendadas por reguladores ou utilizadas por empresas em diferentes países. Os principais desafios atuais identificados foram:

• Maior harmonização do panorama geral da regulação sobre o tema, padrões, orientações e melhores práticas; 
• Apoio a uma estratégia de segurança cibernética das empresas; 
• Gestão do risco de cibersegurança;  
• Governança e demais questões organizacionais - como papeis e responsabilidades; desenvolvimento de competências e certificações;  
• Testes, exercícios e plano de respostas a incidentes;  
• Padronização de métricas de avaliação;  
• Compartilhamento de informação - conteúdo e formato; e 
• Riscos junto a prestadores de serviços a terceiros. 

O Comitê também informou a intenção de, futuramente, inserir a dimensão de cibersegurança em seu trabalho mais amplo de resiliência operacional.
 
Já em março deste ano, a FCA britânica publicou um documento que reúne considerações e reflexões sobre o assunto reunidas junto a instituições do sistema financeiro. As informações foram coletadas em discussões realizadas, desde 2017, com mais de 175 empresas de diferentes segmentos financeiros, em diferentes grupos temáticos formados para a troca de experiências entre participantes. O material aborda temas como governança, avaliação de riscos, detecção e monitoramento de ameaças e problemas emergentes, planos de resposta e recuperação e testes

No Brasil, a CVM realizou consulta pública para reformulação das regras que regem a intermediação (Instrução nº 505) sugerindo a inclusão de dispositivos sobre estrutura de TI, tratamento de dados e cibersegurança. A ANBIMA participou da discussão da minuta e respondeu à consulta. Ainda nesse tema, lançou, em fevereiro, a 2ª edição da Pesquisa de Cibersegurança. O levantamento tem por objetivo medir o grau de maturidade do mercado local em relação a práticas e procedimentos considerados consensuais em matéria de segurança cibernética e, nessa edição, foi respondido por 68% do total de Associados. Ainda nesse tema, foi lançado o programa piloto de Testes de Penetração compartilhados (Resiliência a Ataques Avançados) para o segmento de gestão, desenhado pelo GT de Cibersegurança da ANBIMA.  Em 2019, as ações estratégicas em Cibersegurança integrantes do planejamento da Associação tem como foco iniciativas compartilhadas e de caráter sistêmico.