Resolução BCB N° 288

RESOLUÇÃO BCB Nº 288, DE 24 DE JANEIRO DE 2023

Documento normativo revogado pela Resolução BCB nº 454, de 30/1/2025.

Divulga o Regulamento de Uso Seguro de Recursos de Computação em Nuvem.

O Comitê de Governança, Riscos e Controles (GRC) do Banco Central do Brasil, no uso das suas atribuições, com base no art. 11, parágrafo único, e art. 132, inciso VII, alínea “a”, do Regimento Interno, anexo à Portaria nº 84.287, de 27 de fevereiro de 2015, e tendo em vista o disposto no Voto GRC 71/2023, de 24 de janeiro de 2023,

R E S O L V E :

Art. 1º  Fica divulgado o Regulamento de Uso Seguro de Recursos de Computação em Nuvem, anexo a esta Resolução.

Art. 2º  O Presidente do Comitê de Segurança (Coseg) poderá editar os atos complementares necessários para o cumprimento do Regulamento de que trata o art. 1º.

Art. 3º  Esta Resolução entra em vigor em 1º de fevereiro de 2023.

Carolina de Assis Barros
Diretora de Administração

REGULAMENTO DE USO SEGURO DE RECURSOS DE COMPUTAÇÃO​ EM NUVEM, ANEXO À RESOLUÇÃO BCB Nº 288, DE 24 DE JANEIRO DE 2023

Art. 1º  Este Regulamento tem como objetivo estabelecer diretrizes para o uso seguro dos recursos e serviços de computação em nuvem no âmbito do Banco Central do Brasil.

Art. 2º  Este Regulamento é regido pelas seguintes normas:

I - Instrução Normativa nº 5, de 30 de agosto de 2021, do Gabinete de Segurança Institucional da Presidência da República (GSI/PR);

II - Política de Segurança da Informação do Banco Central do Brasil (PSIBC), anexa à Resolução BCB nº 287, de 24 de janeiro de 2023.

Art. 3º  A PSIBC deve ser observada, no que couber:

I - na contratação e no uso dos recursos e serviços de computação em nuvem; e

II - nos procedimentos para término dos contratos de uso dos recursos e serviços de computação em nuvem.

Art. 4º  O uso seguro dos recursos e serviços de computação em nuvem visa a aprimorar a disponibilidade, a qualidade e a oferta dos serviços prestados à sociedade e ao Sistema Financeiro Nacional (SFN), bem como a resiliência cibernética do Banco Central do Brasil.

Art. 5º  Compete ao Gestor de Segurança da Informação (GSI):

I - aprovar, conforme proposta pelo Departamento de Tecnologia da Informação (Deinf), a lista de países nos quais dados e informações custodiados pelo Banco Central do Brasil poderão ser armazenados em soluções de computação em nuvem;

II - aprovar, conforme proposto pelo Deinf, os requisitos criptográficos mínimos para o armazenamento de dados e informações, custodiados pelo Banco Central do Brasil, em soluções de computação em nuvem;

III - encaminhar para aprovação da Diretoria Colegiada as minutas de revisão deste Regulamento;

IV - supervisionar a aplicação deste Regulamento.

Art. 6º  Compete ao Deinf:

I - propor ao GSI a lista de países nos quais dados e informações custodiados pelo Banco Central do Brasil poderão ser armazenados em soluções de computação em nuvem, após avaliação do risco cibernético;

II - propor ao GSI os requisitos criptográficos mínimos para o armazenamento de dados e informações, custodiados pelo Banco Central do Brasil, em soluções de computação em nuvem;

III - submeter ao GSI, para posterior encaminhamento à Diretoria Colegiada, as minutas de elaboração e de revisões do Regulamento de Uso Seguro de Recursos de Computação em Nuvem;

IV - definir os critérios e a periodicidade das atualizações dos procedimentos e dos recursos computacionais a serem observados pelo provedor de serviço de nuvem;

V - elaborar a matriz de responsabilidades com as obrigações e as responsabilidades relacionadas ao gerenciamento e ao uso seguro dos recursos de computação em nuvem.

Art. 7º  Antes de transferir serviços ou informações para um provedor de serviço de nuvem, o gestor do serviço ou da informação deverá:

I - realizar a avaliação de risco observando pelo menos:

a) os aspectos de proteção de dados e da privacidade, conforme a legislação;

b) a segurança das informações, especialmente as de acesso restrito;

c) a criticidade do sistema ou do serviço para o Banco Central do Brasil;

d) a rotulação da informação ou do dado;

II - definir o modelo de serviço e de implementação de computação em nuvem que será adotado;

III - definir as medidas de mitigação de riscos e de custos para a implementação de solução de computação em nuvem e para possibilidade de crescimento dessa solução;

IV - planejar custos de migração das informações e dos serviços, nos casos de ingresso e de saída do serviço de computação em nuvem.

Art. 8º  Além dos requisitos listados no art. 7º, devem ser observados os demais requisitos dispostos na Instrução Normativa nº 5, de 2021, do GSI/PR, conforme a matriz de responsabilidades.

Art. 9º  Este Regulamento deve ser revisto, no máximo, a cada dois anos ou a qualquer tempo, quando houver mudança significativa nos requisitos de segurança cibernética ou nos riscos cibernéticos.

Art. 10.  Os casos omissos são resolvidos pelo Coseg, sem prejuízo do disposto no Regimento Interno do Banco Central do Brasil.