RESOLUÇÃO
BCB Nº 288, DE 24 DE JANEIRO DE 2023
Documento normativo
revogado pela Resolução BCB nº 454, de 30/1/2025.
Divulga o Regulamento de Uso Seguro de
Recursos de Computação em Nuvem.
O Comitê de Governança, Riscos e Controles (GRC) do
Banco Central do Brasil, no uso das suas atribuições, com base no art. 11, parágrafo
único, e art. 132, inciso VII, alínea “a”, do Regimento Interno, anexo à
Portaria nº 84.287, de 27 de fevereiro de 2015, e tendo em vista o disposto no Voto
GRC 71/2023, de 24 de janeiro de 2023,
R E S O
L V E :
Art. 1º
Fica divulgado o Regulamento de Uso Seguro de Recursos de Computação em Nuvem,
anexo a esta Resolução.
Art. 2º
O Presidente do Comitê de Segurança (Coseg) poderá editar os atos
complementares necessários para o cumprimento do Regulamento de que trata o
art. 1º.
Art. 3º
Esta Resolução entra em vigor em 1º de fevereiro de 2023.
Carolina de Assis
Barros
Diretora de
Administração
REGULAMENTO DE USO
SEGURO DE RECURSOS DE COMPUTAÇÃO EM NUVEM, ANEXO À RESOLUÇÃO BCB Nº 288, DE 24
DE JANEIRO DE 2023
Art. 1º
Este Regulamento tem como objetivo estabelecer diretrizes para o uso seguro
dos recursos e serviços de computação em nuvem no âmbito do Banco Central do
Brasil.
Art. 2º
Este Regulamento é regido pelas seguintes normas:
I - Instrução Normativa nº 5, de 30 de agosto
de 2021, do Gabinete de Segurança Institucional da Presidência da República
(GSI/PR);
II - Política de Segurança da Informação do
Banco Central do Brasil (PSIBC), anexa à Resolução BCB nº 287, de 24 de janeiro
de 2023.
Art. 3º
A PSIBC deve ser observada, no que couber:
I - na
contratação e no uso dos recursos e serviços de computação em nuvem; e
II - nos
procedimentos para término dos contratos de uso dos recursos e serviços de
computação em nuvem.
Art. 4º
O uso seguro dos recursos e serviços de computação em nuvem visa a aprimorar a
disponibilidade, a qualidade e a oferta dos serviços prestados à sociedade e ao
Sistema Financeiro Nacional (SFN), bem como a resiliência cibernética do Banco
Central do Brasil.
Art. 5º
Compete ao Gestor de Segurança da Informação (GSI):
I - aprovar, conforme
proposta pelo Departamento de Tecnologia da Informação (Deinf), a lista de países
nos quais dados e informações custodiados pelo Banco Central do Brasil poderão
ser armazenados em soluções de computação em nuvem;
II - aprovar, conforme
proposto pelo Deinf, os requisitos criptográficos mínimos para o armazenamento
de dados e informações, custodiados pelo Banco Central do Brasil, em soluções
de computação em nuvem;
III - encaminhar para
aprovação da Diretoria Colegiada as minutas de revisão deste Regulamento;
IV - supervisionar a
aplicação deste Regulamento.
Art. 6º
Compete ao Deinf:
I - propor
ao GSI a lista de países nos quais dados e informações custodiados pelo Banco
Central do Brasil poderão ser armazenados em soluções de computação em nuvem,
após avaliação do risco cibernético;
II - propor
ao GSI os requisitos criptográficos mínimos para o armazenamento de dados e
informações, custodiados pelo Banco Central do Brasil, em soluções de computação em
nuvem;
III - submeter
ao GSI, para posterior encaminhamento à Diretoria Colegiada, as minutas de
elaboração e de revisões do Regulamento de Uso Seguro de Recursos de Computação
em Nuvem;
IV - definir
os critérios e a periodicidade das atualizações dos procedimentos e dos
recursos computacionais a serem observados pelo provedor de serviço de nuvem;
V - elaborar
a matriz de responsabilidades com as obrigações e as responsabilidades relacionadas
ao gerenciamento e ao uso seguro dos recursos de computação em nuvem.
Art. 7º
Antes de transferir serviços ou informações para um provedor de serviço de
nuvem, o gestor do serviço ou da informação deverá:
I - realizar
a avaliação de risco observando pelo menos:
a) os aspectos de proteção de dados e da privacidade,
conforme a legislação;
b) a segurança das informações, especialmente
as de acesso restrito;
c) a criticidade do sistema ou do serviço
para o Banco
Central do Brasil;
d) a rotulação da informação ou do dado;
II - definir
o modelo de serviço e de implementação de computação em nuvem que será adotado;
III - definir
as medidas de mitigação de riscos e de custos para a implementação de solução
de computação em nuvem e para possibilidade de crescimento dessa solução;
IV - planejar
custos de migração das informações e dos serviços, nos casos de ingresso e de
saída do serviço de computação em nuvem.
Art. 8º
Além dos requisitos listados no art. 7º, devem ser observados os demais
requisitos dispostos na Instrução Normativa nº 5, de 2021, do GSI/PR, conforme
a matriz de responsabilidades.
Art. 9º
Este Regulamento deve ser revisto, no máximo, a cada dois anos ou a qualquer
tempo, quando houver mudança significativa nos requisitos de segurança
cibernética ou nos riscos cibernéticos.
Art.
10. Os casos omissos são resolvidos pelo Coseg, sem prejuízo do disposto no
Regimento Interno do Banco Central do Brasil.
