A cibersegurança tem que ser tratada para além dos departamentos de tecnologia e essa mudança de postura foi discutida durante o Febraban Tech 2026. O grande desafio é criar uma visão institucional de segurança capaz de antecipar problemas antes que um incidente técnico se transforme em uma crise para toda a empresa.

Segundo Antonio Marcos Fonte Guimarães, Chefe-adjunto do Departamento de Regulação do Sistema Financeiro do Banco Central, quanto maior é a confiança dos clientes no sistema financeiro, mais robusta e complexa precisa ser a estrutura responsável por sustentá-lo. Nesse cenário, a segurança cibernética tem uma função que vai além da proteção de sistemas: ela ajuda a construir e preservar a confiança no mercado.

O executivo do BC destacou que a governança precisa considerar não apenas os processos internos, mas também terceiros, fornecedores e empresas responsáveis por softwares e serviços tecnológicos. Ele destacou que contratar uma tecnologia não significa transferir a responsabilidade pela segurança.

Na visão de Guimarães, a alta administração precisa participar das decisões relacionadas à cibersegurança, sendo também necessário definir responsáveis por cada etapa, estabelecer quem deve acionar protocolos e deixar claras as obrigações em situações de incidente.

O ponto ganha importância em um sistema financeiro altamente conectado, pois uma vulnerabilidade em um fornecedor pode afetar uma instituição, seus clientes e outras empresas ligadas à mesma cadeia. Por isso, a segurança precisa acompanhar toda a estrutura tecnológica.

Banco Central prepara o mercado para novos riscos

Guimarães apontou que o Banco Central trabalha para antecipar mudanças que podem alterar o cenário de segurança nos próximos anos. Um dos exemplos é a computação quântica, que pode criar novos desafios para os mecanismos de criptografia usados atualmente.

A ideia é aproximar o setor privado das discussões sobre algoritmos quantum-safe, preparados para resistir a ameaças associadas à computação quântica. Para o curto prazo, porém, o foco está em levar a segurança cibernética para todas as camadas tecnológicas das instituições financeiras.

O regulador também acompanha a evolução da inteligência artificial, que pode ser usada tanto para fortalecer sistemas de proteção quanto para encontrar vulnerabilidades e automatizar ataques. O BC vem realizando pesquisas para entender como o sistema financeiro utiliza IA e quais lacunas podem surgir e estas informações ajudarão a avaliar possíveis impactos regulatórios.

A estratégia inclui acompanhar discussões nacionais e internacionais e projetos de lei relacionados à inteligência artificial. A avaliação precisa ser baseada em dados e Guimarães conta que antes de criar uma nova regra, é necessário entender o problema e medir se uma intervenção regulatória realmente é necessária.

IA acelera ataques

Segurança e inovação precisam caminhar juntas, foi a orientação de Vanessa Fonseca, Diretora de Privacidade da Accenture. Para ela, não existe transformação digital sustentável sem segurança, já que um ataque pode comprometer a continuidade de um negócio inteiro.

A preocupação ganhou força com o crescimento dos ataques cibernéticos contra instituições financeiras em 2026. Segundo a executiva, o setor historicamente era considerado mais protegido e menos visado por conta de suas estruturas de defesa, mas em 2026 a situação apresentou uma significativa mudança com a popularização de ataques potencializados por inteligência artificial.

A velocidade das ofensivas também aumentou e ataques que antes poderiam levar semanas para serem preparados e executados, agora podem ser concluídos em poucas horas. Vanessa citou um caso envolvendo grandes hedge funds nos Estados Unidos. Quatro das maiores empresas do segmento foram atingidas por campanhas de engenharia social que utilizaram técnicas relativamente simples, como vishing, mas potencializadas por IA.

O episódio mostra que não é preciso explorar uma vulnerabilidade tecnológica extremamente sofisticada para causar danos. Uma abordagem de engenharia social bem executada pode ser suficiente para abrir uma porta para criminosos.

O básico ainda faz diferença

Uma das respostas apontadas por Vanessa está em fazer o básico bem feito. Isso inclui treinamento de funcionários, arquitetura de segurança, gestão de identidades e controle rigoroso dos acessos concedidos a terceiros.

A participação de fornecedores merece atenção especial, pois grande parte dos incidentes recentes no setor financeiro envolveu terceiros ou algum tipo de ação interna. O desafio é ainda maior porque um incidente causado por uma pessoa que trabalha na instituição pode ser difícil de identificar e prevenir.

Uma arquitetura bem estruturada deve limitar o que cada usuário, sistema ou fornecedor consegue acessar. A gestão de identidades foi apontada por Vanessa como ponto principal, ainda mais quando diferentes empresas e profissionais estão conectados aos ambientes corporativos.

É daí que surge a relevância do conceito de Zero Trust, baseado na ideia de não confiar automaticamente em usuários, dispositivos ou conexões. Quanto mais madura for a gestão de identidades e acessos, menor tende a ser a superfície disponível para um ataque.

Pessoas continuam no centro da defesa

A inteligência artificial também reforça a necessidade de manter pessoas no processo de decisão. Vanessa defendeu o conceito de human in the loop, em que profissionais continuam responsáveis por supervisionar e validar determinadas ações realizadas com apoio da tecnologia.

Treinamento pode fazer diferença justamente em ataques de engenharia social, por isso a responsabilidade pela cibersegurança precisa ser compartilhada entre as equipes técnicas e as áreas de negócio. Um dos principais desafios das empresas é traduzir um risco técnico para uma linguagem que faça sentido para executivos e conselhos de administração.

Em vez de falar apenas sobre vulnerabilidades, a área de segurança precisa mostrar quais processos são críticos para o negócio, quanto tempo uma operação poderia ficar indisponível e quais seriam as consequências de um ataque.

Cibersegurança como investimento

A percepção de que segurança é apenas uma despesa também está mudando e passando a ser parte da capacidade de gestão e até vista como inovação nas empresas financeiras.

O setor brasileiro aparece em uma posição avançada justamente por conta da estrutura regulatória construída pelo Banco Central. As exigências ajudaram instituições a desenvolver processos de governança, resposta a incidentes e gestão de riscos que hoje funcionam como diferencial diante de outras indústrias.

Guimarães também destacou a importância do compartilhamento de informações sobre incidentes. Assim como as instituições reguladas precisam comunicar ocorrências ao Banco Central, outras estruturas públicas podem criar mecanismos para compartilhar informações relevantes para a segurança nacional.

A lógica é aumentar a capacidade de coordenação quando um ataque acontece. Quanto mais rápido o setor identifica uma ameaça e compartilha informações úteis, maior é a possibilidade de outras instituições se protegerem antes de serem atingidas.

O desafio é antecipar a próxima ameaça

A cibersegurança do setor financeiro está passando por uma mudança de escala, e a preocupação já não é apenas impedir um ataque, mas construir estruturas capazes de resistir, responder e se adaptar a ameaças que evoluem rapidamente.

IA generativa, ataques automatizados, terceiros, engenharia social e computação quântica estão mudando o cenário. Ao mesmo tempo, vulnerabilidades básicas continuam sendo exploradas.

A resposta passa por tecnologia, mas não termina nela. Governança, gestão de identidades, treinamento, participação da alta administração e integração com fornecedores formam uma camada tão importante quanto as ferramentas de proteção. Para um setor em que confiança é parte essencial do negócio, a cibersegurança não pode mais ficar dentro da caixinha da TI. Ela precisa fazer parte das decisões da empresa inteira.