Sumário Executivo

A Instrução Normativa BCB nº 37, de 29 de outubro de 2020, tem por objeto divulgar a versão 1.0 do Manual de Segurança do Open Banking, documento de observância obrigatória por parte das instituições participantes do ecossistema Open Banking brasileiro. Editada pelos Chefes do Departamento de Regulação do Sistema Financeiro (Denor) e do Departamento de Tecnologia da Informação (Deinf), a norma fundamenta-se no art. 3º, inciso IV, da Resolução BCB nº 32, de 29 de outubro de 2020, e tem como finalidade estabelecer os requisitos técnicos mínimos de segurança para a implementação dos elementos necessários à operacionalização do Open Banking, em complemento à regulamentação vigente sobre o tema.

Impacto Sistêmico

ALTO

O impacto é classificado como ALTO porque a norma estabelece requisitos técnicos obrigatórios e abrangentes que afetam todas as instituições participantes do Open Banking, independentemente de seu segmento. A implementação dos pilares de segurança — governança, proteção, detecção e reação — demanda investimentos significativos em infraestrutura de TI, adequação de APIs, implantação de certificados digitais, configuração de firewalls e sistemas de auditoria, além de revisão completa de processos de segurança cibernética. A obrigatoriedade de conformidade com padrões como TLS 1.2+, PFS, hardening e autenticação multifator impõe mudanças estruturais em toda a cadeia do ecossistema financeiro.

Base Normativa

Norma: Instrução Normativa BCB nº 37, de 29 de outubro de 2020 — Divulga a versão 1.0 do Manual de Segurança do Open Banking.

Alterações: A Instrução Normativa BCB nº 37 foi revogada pela Instrução Normativa BCB nº 99, de 14 de abril de 2021. A norma não alterou diretamente outras normas anteriores, mas complementa e dá operacionalidade às seguintes normas vinculadas: Resolução Conjunta CMN/BCB nº 1, de 2020; Resolução CMN nº 4.658, de 2018; Circular BCB nº 3.909, de 2018; e Resolução BCB nº 32, de 2020.

Motivação: A motivação regulatória reside na necessidade de garantir a segurança do ecossistema Open Banking no Brasil, assegurando a proteção de dados, a integridade das comunicações e a resiliência cibernética das instituições participantes. No cenário macroeconômico e prudencial, a norma busca fortalecer a confiança do mercado e dos consumidores na interoperabilidade financeira, alinhando-se à Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018) e às diretrizes internacionais de segurança da informação, como as referências da OWASP API Top 10, CWE Top 25 e RFC 7525.

Acessar Regulamentação Original

Instrução Normativa BCB n° 37

Adequação

A Instrução Normativa BCB nº 37 entrou em vigor na data de sua publicação, conforme o Art. 2º, ou seja, em 29 de outubro de 2020. A norma foi publicada no DOU em 13 de novembro de 2020, Seção 1, páginas 57/58. O prazo de adequação era imediato a partir da vigência, sendo que todas as instituições participantes do Open Banking deveriam implementar os requisitos do Manual de Segurança versã 1.0 desde a entrada em vigor. A norma foi revogada em 14 de abril de 2021 pela Instrução Normativa BCB nº 99, o que significa que as instituições tiveram um período de aproximadamente 5 meses e meio (de 29/10/2020 a 14/04/2021) para adequação à versão 1.0 do Manual, antes de sua substituição por normativa posterior. Após a revogação, as instituições deveriam migrar para a nova versão vigente do Manual de Segurança do Open Banking.

Impacto Operacional

A norma gera impacto operacional significativo para todas as instituições participantes do Open Banking, exigindo: (1) revisão e adequação da infraestrutura de APIs para atender aos padrões de segurança de TLS 1.2+ com PFS; (2) implementação ou reforço de firewalls, ACLs e grupos de segurança para controle de tráfego; (3) configuração de redes segregadas logicamente; (4) estabelecimento de trilhas de auditoria completas e monitoramento contínuo; (5) sincronização de relógios com fontes NTP confiáveis; (6) adoção de práticas de hardening em servidores e sistemas; (7) cadastramento e gestão de dados no Diretório de Participantes, incluindo chaves PGP e contatos de segurança conforme RFC 2142; (8) implementação de autenticação multifator para acesso às áreas restritas do diretório; (9) capacitação de equipes técnicas e de segurança da informação; e (10) criação ou atualização de Políticas de Segurança Cibernética institucionais para compatibilizar com os bloqueios de acesso facultativos previstos na norma. O custo envolve investimentos em tecnologia, pessoal especializado, processos de governança e auditoria contínua de conformidade.

Alterações de Layout

A norma estabelece requisitos técnicos que impactam diretamente o desenvolvimento e a sustentação de sistemas, incluindo: (1) obrigatoriedade de acesso exclusivo por meio de APIs com protocolo TLS 1.2 ou superior e cifras com Perfect Forward Secrecy (PFS); (2) desabilitação de TLS Session Resumption e TLS Renegotiation; (3) implementação de controles de tráfego via firewalls, ACLs e grupos de segurança; (4) segregação lógica de redes internas; (5) exigência de trilhas de auditoria contendo endereço IP de origem, porta TCP de origem, data, hora, sistema, usuário, objeto e status de sucesso/falha; (6) sincronização de relógios via protocolo NTP; (7) adoção de padrões de hardening; (8) no Diretório, autenticação multifator obrigatória, cadastro de chaves PGP, conformidade com RFC 2142 para contatos de segurança, e registro de auditoria de acessos com data/hora em timezone UTC, URI acessada, método HTTP e status de retorno. Não há menção explícita a qualquer CADOC (código numérico de 4 dígitos) no texto fornecido. Não há menção a alteração direta de CADOC especificada no texto.