Proteção de dados no setor financeiro

Entendendo a proteção de dados

A proteção de dados refere-se às práticas gerais para salvaguardar informações pessoais contra danos, corrupção ou perda. Ela garante que os usuários possam acessar dados facilmente por meio de backup, recuperação e governança adequada. As instituições financeiras lidam com uma ampla gama de dados sensíveis, os quais devem ser levados em consideração no desenvolvimento de uma aplicação de software. Entre os tipos de dados que seu produto deve proteger estão os seguintes:

• Dados pessoais: Inclui nomes, endereços, números de telefone, endereços de e-mail e números de identificação nacional.

• Dados financeiros: Inclui números de conta, histórico de transações, saldos e informações de cartão de crédito e débito.

• Dados de autenticação: Inclui nomes de usuário, senhas e outras credenciais usadas para acessar contas financeiras, como dados biométricos.

• Dados internos: Inclui informações de funcionários, e-mails e memorandos internos, propriedade intelectual, planilhas orçamentárias e projeções de receita.

• Dados de sistema: Inclui dados sobre o software utilizado pelas plataformas ou pela infraestrutura de TI da entidade.

Por que a proteção de dados é importante?

Garantir a segurança dos dados financeiros durante o desenvolvimento do software deve ser uma das maiores prioridades dos desenvolvedores.

Priorizar a segurança dos dados é fundamental por vários motivos. Alguns estão ligados à conformidade regulatória (atender às exigências legais e regulatórias é indispensável para evitar penalidades e ações judiciais) e à redução de riscos (uma proteção sólida de dados minimiza as chances de ciberataques, como violações de dados).

Outros motivos envolvem a confiança do cliente (incidentes a desgastam), a continuidade operacional (prevenção contra interrupção de serviços e garantia de que os sistemas continuem funcionais) e a mitigação de perdas financeiras (perdas diretas causadas por ataques de ransomware ou perdas indiretas por tempo de inatividade e recuperação de dados).

Desafios no desenvolvimento de software para o setor financeiro

Ao desenvolver software para o setor financeiro, surge um conjunto particular de desafios que costuma ir além das questões habituais do desenvolvimento de software.

Um desses desafios é encontrar o equilíbrio certo entre segurança e usabilidade. Protocolos de segurança excessivamente rígidos podem frustrar usuários, travar a adesão do produto e tornar a aplicação impraticável. O segredo está em implementar recursos de segurança robustos de maneira fluida, mantendo o software intuitivo, lógico e plenamente em conformidade com as regulamentações.

Outro desafio para os desenvolvedores é a integração com sistemas legados. Instituições financeiras frequentemente dependem de sistemas legados construídos sobre tecnologias obsoletas. Integrar novos softwares a essas infraestruturas antigas pode ser complexo e oneroso. Planejamento cuidadoso, estratégias de mitigação de dados e o uso de APIs modernas são caminhos fundamentais para aproximar sistemas legados de componentes de software modernos.

Há ainda o desafio de acompanhar o cenário regulatório em constante transformação. Isso engloba novas leis, padrões e diretrizes do setor que muitas vezes não conversam entre si. Ficar desatualizado pode resultar em vulnerabilidades críticas e multas pesadas. Os desenvolvedores precisam contar com uma visão integrada e unificada de todos os requisitos regulatórios para evitar dores de cabeça futuras.

Instituições financeiras também necessitam com frequência integrar seus softwares a plataformas de terceiros, como gateways de pagamento ou birôs de crédito. Os desenvolvedores devem agir com cautela para garantir uma integração fluida e segura com esses serviços externos.

Naturalmente, um dos maiores desafios é a proteção dos dados dos usuários em si.

Desafios na proteção de dados

As organizações enfrentam um labirinto de complexidades ligadas à privacidade de dados, sobretudo no setor financeiro. As principais frentes de dificuldade incluem:

• Volume imenso de dados: O crescimento acelerado no volume de dados dificulta seu rastreamento, gestão e proteção eficaz. Instituições financeiras reúnem um volume massivo de dados sensíveis; mantê-los dispersos em múltiplos sistemas eleva o risco de exposição.

• Gestão do ciclo de vida dos dados: As informações passam por diferentes estágios ao longo de seu ciclo de vida — da criação e armazenamento até o uso e descarte definitivo. Dados específicos, como registros financeiros ou proprietários, exigem regras de conformidade e mandatos próprios, agregando complexidade à gestão do ciclo de vida.

• O fator humano: O erro humano continua sendo uma das causas centrais de violações e vazamentos acidentais. A negligência de colaboradores ou a carência de conscientização podem ser tão danosas quanto ataques maliciosos externos.

• Preocupações com segurança em nuvem: À medida que instituições financeiras migram para soluções em nuvem, novos desafios de segurança de dados emergem.

• Controles de acesso: Oferecer acesso e autorização para forças de trabalho híbridas e aplicações de terceiros torna a gestão de permissões desafiadora, pois qualquer ponta pode ser alvo de invasões. Credenciais vazadas e senhas fracas também abrem caminho para violações.

Softwares financeiros precisam ser arquitetados com defesas rigorosas de segurança da informação para coibir acessos não autorizados, vazamentos de dados ou roubo de identidade. Essas medidas serão abordadas a seguir.

Conformidade com regulamentações e padrões de segurança de dados

Para começar, compreender com precisão as normas e leis aplicáveis à organização é parte elementar da construção de um software seguro. As principais leis e regulamentações de proteção de dados que impactam o setor financeiro incluem:

• Regulamento Geral sobre a Proteção de Dados (GDPR): Regulamento abrangente da União Europeia focado em privacidade online e governança de dados nos Estados-Membros da UE. Na Fluid Attacks, associamos requisitos específicos de segurança a essas exigências.

• Regulamentação de Cibersegurança do Departamento de Serviços Financeiros de Nova York (NYDFS): Norma que exige o alinhamento das estratégias de segurança ao framework NIST. Isso envolve manter infraestrutura de segurança robusta, operar sistemas atualizados de detecção de invasões, nomear um CISO (Chief Information Security Officer) e emitir relatórios detalhados sobre a eficácia das políticas, riscos e procedimentos de cibersegurança. Mapeamos requisitos práticos com base nessa regulamentação.

• Gramm-Leach-Bliley Act (GLBA): Lei norte-americana que obriga instituições financeiras a explicarem suas práticas de compartilhamento de dados aos clientes e a oferecerem a opção de recusa (opt-out). A GLBA foca na proteção de informações pessoais não públicas (NPI), o que inclui números de seguridade social e históricos transacionais. Nossos requisitos de análise também contemplam essa legislação.

• Payment Card Industry Data Security Standard (PCI DSS): Conjunto de padrões de segurança desenvolvido para resguardar dados de titulares de cartões de pagamento. Estipula normas claras sobre como lojistas, prestadores de serviços, instituições financeiras, desenvolvedores e soluções de pagamento processam, armazenam e transmitem dados de consumidores. Em sua versão mais recente, o PCI DSS v4.0 atualizou as nomenclaturas de seus 12 requisitos principais. Estabelecemos diretrizes específicas de segurança de software apoiadas nesse padrão.

Outras legislações essenciais sobre conformidade e proteção de dados incluem:

• Lei Sarbanes-Oxley (SOX)

• Diretiva de Serviços de Pagamento (PSD2)

• Basileia III

• Lei de Privacidade do Consumidor da Califórnia (CCPA)

Todas convergem na proteção de informações críticas e sensíveis, devendo ser consideradas caso a caso. Estar em conformidade reforça a confiabilidade e sustentabilidade do negócio de serviços financeiros, permitindo que a empresa navegue com solidez em um ecossistema normativo desafiador.

Saber exatamente qual regulação se aplica e dominar suas particularidades é crucial. Isso também confere postura proativa diante de auditorias. A propósito, conduzir auditorias internas e externas periódicas é indispensável para diagnosticar e fechar lacunas de conformidade e de governança de dados.

Equipes de desenvolvimento e consultoria técnica precisam consolidar diretrizes claras e unificadas para o tratamento de dados. Isso assegura que todos os envolvidos entendam com clareza como os dados são coletados, gravados, manipulados e se respeitam a legislação.

Automatizar fluxos de trabalho de conformidade e geração de relatórios com ferramentas dedicadas também otimiza consideravelmente o processo.

Contratar especialistas jurídicos ou consultorias em segurança de dados é outra medida prudente para interpretar normas aplicáveis, propor correções e preservar a conformidade contínua.

No nível do código, há parâmetros técnicos muito estritos que o software precisa suprir. Detalhamos os principais a seguir.

Medidas de proteção de dados

A espinha dorsal da relação entre empresas de serviços financeiros e seus usuários é a confiança. Essa credibilidade decorre diretamente da aptidão técnica da organização para impedir que dados sigilosos caiam em mãos erradas. A imagem corporativa e a saúde financeira de um negócio podem sofrer impactos severos e irreversíveis em virtude de falhas na segurança dos dados.

Desenvolvedores devem seguir normas estritas que orientem todas as etapas do ciclo de desenvolvimento de software, incluindo a escolha de ferramentas. Devem tratar a proteção de dados confidenciais como prioridade máxima, adotando as seguintes salvaguardas:

Controles tecnológicos para a segurança dos dados do sistema

Diversas medidas básicas podem ser adotadas por desenvolvedores e equipes de engenharia do ponto de vista puramente tecnológico. Uma delas é a criptografia de disco, que converte os dados gravados em mídias de armazenamento em cifras ilegíveis sem a chave de descriptografia apropriada. A codificação é feita via algoritmos criptográficos, e as chaves de cifra podem ser resguardadas com senhas, PINs ou autenticação biométrica. A criptografia de disco resguarda o sigilo dos dados contra acessos não autorizados e, quando integrada ao plano de resposta a incidentes, reforça a estratégia de recuperação.

Dando um passo além, tecnologias de segurança de endpoint como o Zero Trust Network Access (ZTNA) devem cobrir todos os dispositivos com acesso a dados confidenciais. O ZTNA fortalece consideravelmente a postura defensiva da empresa e atende às expectativas de segurança previstas nas regulamentações.

Outra salvaguarda necessária é o uso de soluções de Prevenção contra Perda de Dados (DLP), capazes de monitorar e barrar vazamentos de dados de clientes, além de transferências ou usos inadequados de informações sensíveis.

Adicionalmente, serviços e ferramentas baseados em nuvem representam alternativas altamente eficazes para rotinas de backup e recuperação de desastres, graças à sua escalabilidade e disponibilidade contínua.

Obviamente, manter uma infraestrutura blindada é obrigatório para todos os recursos críticos. O PCI DSS, por exemplo, estabelece diretrizes rigorosas em frentes como:

• Firewalls configurados com rigor, revisados no mínimo semestralmente e dotados de regras de tráfego formalmente documentadas.

• Segmentação lógica de redes, isolando o ambiente onde transitam e residem os dados dos titulares de cartão do restante da rede corporativa e de acessos não autorizados.

• Proteção abrangente de aplicações e sistemas, exigindo rotinas sólidas (como softwares antimalware e varreduras frequentes) para identificar vulnerabilidades e corrigi-las de forma ágil com a aplicação de patches.

Processos e práticas de proteção de dados

Uma engrenagem vital da segurança da informação é a política de backup e restauração. Rotinas automatizadas de cópia de segurança precisam ser executadas com consistência para viabilizar a recuperação célere em incidentes de corrupção ou perda. Essas cópias devem ser alocadas em múltiplos destinos físicos ou geográficos distintos, inclusive fora da rede local (offsite) ou em ambientes em nuvem. Exercícios práticos de recuperação devem ser conduzidos periodicamente para validar os processos.

O controle de acesso é outro pilar essencial. Mecanismos de concessão podem ser mais permissivos ou rígidos quanto aos critérios de autenticação e autorização. O ZTNA destaca-se como referência de modelo rigoroso: apoiado no paradigma Zero Trust, fundamenta-se no acesso granular, concedendo a cada usuário exclusivamente os privilégios estritamente indispensáveis ao exercício de suas atribuições (princípio do menor privilégio), mitigando estruturalmente os danos advindos de credenciais comprometidas.

Outro cuidado essencial é a minimização de dados: coletar e processar unicamente o volume de dados essencial para a finalidade da funcionalidade.

Acrescente-se a isso a identificação e mitigação contínua de vulnerabilidades no código-fonte ao longo do ciclo de entrega. Ao integrar a gestão de vulnerabilidades à metodologia DevSecOps, o time de engenharia descobre brechas precocemente, reduzindo drasticamente a superfície de ataque. Essa prática abrange auditorias contínuas via testes de intrusão teste de penetração, varreduras automatizadas e correções aceleradas.

Outras ações, como classificar os dados com base em seu grau de criticidade para direcionar prioridades defensivas ou criar inventários exaustivos que mapeiem todas as informações processadas no ecossistema, reforçam o enfrentamento dos desafios tecnológicos.

Em escala institucional, o treinamento contínuo de colaboradores é indispensável. Devem ser promovidas capacitações regulares abordando boas práticas de proteção de dados, reconhecimento de phishing, golpes de engenharia social e demais vetores alimentados por falhas humanas.

É igualmente determinante estruturar e difundir internamente um plano formal de resposta a incidentes, delimitando procedimentos objetivos de detecção, contenção, mitigação e recuperação perante incidentes de segurança cibernética.

Por fim, o PCI DSS dispõe de um roteiro dedicado para gerenciar violações de dados de titulares de cartões, estipulando parâmetros corporativos obrigatórios para planos de resposta. Esse guia de detecção e notificação cobre práticas como contenção de vazamentos, listas de comunicação emergencial imediata e verificação de cláusulas de resposta em contratos de fornecedores terceirizados. Também detalha as circunstâncias específicas em que peritos forenses certificados (PFI - Payment Card Industry Forensic Investigator) precisam ser acionados.

Gestão da conformidade em requisitos de software

Como observado, há diretrizes estritas que as entidades financeiras são obrigadas a atender. O arcabouço normativo cobra comumente itens como criptografia de alto padrão, políticas de complexidade de senhas, governança de sessões, controles de acesso, requisitos de privacidade, registros de log e rotinas de auditoria. Vamos analisar algumas das exigências mais comuns e entender as obrigações do time de engenharia para assegurar conformidade. Para fins de objetividade e consistência, usaremos o PCI DSS como referência central.

• Criptografia de dados: O PCI DSS determina que dados de titulares de cartões trafegados por redes públicas devem ser invariavelmente criptografados — resguardando-os contra interceptações ilícitas — e que essas informações também permaneçam cifradas em bancos de dados e servidores em repouso. O emprego de algoritmos criptográficos robustos, com chave de força mínima equivalente a 128 bits, é mandatório para a conformidade. Padrões homologados incluem cifras consagradas como AES e sistemas de chave pública como RSA. Requisitos adicionais correlatos abrangem a documentação técnica de fluxos de gestão e rotação de chaves, execução contínua de testes defensivos, redução do armazenamento de dados de cartões ao mínimo estritamente indispensável e monitoramento ininterrupto do tráfego de rede.

• Requisitos de senhas: O PCI DSS 4.0 preconiza um comprimento mínimo de 12 caracteres (ou 8 caracteres caso a infraestrutura em uso possua limitações técnicas comprovadas). As senhas precisam ser complexas, compostas por letras maiúsculas, minúsculas, dígitos numéricos e símbolos especiais, garantindo resistência contra ataques de força bruta e ferramentas de cracking. O padrão também orienta redefinições periódicas a cada 90 dias, bloqueio automático após número pré-definido de tentativas incorretas e emprego obrigatório de autenticação multifator (MFA). Senhas padronizadas de fábrica (default) em sistemas e softwares corporativos devem ser substituídas obrigatoriamente logo no primeiro acesso.

• Gestão de sessões: O PCI DSS traz comandos claros nesta área: encerramento compulsório por inatividade (session timeout), convencionalmente após 15 minutos sem interação, forçando a reautenticação do usuário para liberação do acesso. Inclui também o uso de identificadores de sessão únicos e rastreamento constante contra manipulação ou clonagem de sessões. A averiguação contínua de registros de log em busca de padrões anômalos completa esse ciclo.

• Controles de acesso: O acesso a dados e infraestruturas deve obedecer sem exceções ao princípio do menor privilégio. Usuários devem deter unicamente as permissões essenciais para executar as atribuições de seus cargos. Tais concessões devem passar por aprovação formal de líderes autorizados e ser reavaliadas formalmente pelo menos a cada seis meses.

A contribuição da Fluid Attacks para a segurança de softwares no setor financeiro

Como exposto no tópico anterior, a defesa cibernética de organizações financeiras não se constrói com soluções isoladas. Seu negócio se beneficia substancialmente de uma estratégia em camadas para blindar ativos financeiros e informações de clientes. Por experiência prática, nós na Fluid Attacks sabemos que vulnerabilidades atuam como portas de entrada para perímetros corporativos e que criminosos contam com recursos sofisticados para orquestrar acessos ilegítimos. Contudo, dominamos com precisão as táticas necessárias para impedir ataques que culminam em violações, sequestro por ransomware e outros incidentes danosos.

Temos um histórico consolidado com gigantes do ecossistema de pagamentos e serviços financeiros. Um de nossos clientes é uma renomada multinacional de remessas internacionais que viabiliza transferências financeiras em escala global. Um dos seus maiores compromissos é proteger de ponta a ponta as informações confidenciais dos seus usuários, coletadas massivamente ao redor do mundo. A organização dita parâmetros rígidos de coleta, guarda, tráfego e tratamento de dados, respondendo a legislações globais estritas. Anteriormente, a empresa utilizava auditorias de segurança pontuais — testes esporádicos do seu estado defensivo. Esse formato, contudo, gerava relatórios defasados no momento da entrega e causava gargalos graves, alertando sobre brechas apenas depois que o código já estava rodando em produção. A instituição buscou então uma parceira capaz de detectar fragilidades ao longo de todo o ciclo de vida de desenvolvimento de software (SDLC), orquestrando ferramentas avançadas e pentesters de elite em uma abordagem DevSecOps contínua.

Desde 2021, nossa solução integrada fortaleceu a postura defensiva dessa companhia, mapeando vulnerabilidades variadas, comunicando-as prontamente aos times de desenvolvimento, oferecendo diagnósticos precisos e recomendando ações de remediação aplicáveis antes da publicação do software em produção. Logo no primeiro trimestre de 2023, essa organização havia enxugado sua exposição a riscos em 75%. Além disso, suas equipes alcançaram uma sinergia técnica muito maior apoiadas em nossos processos e em nossa plataforma, desenvolvida para integrar desenvolvimento e segurança com fluidez. A liderança destacou nosso rigor técnico, a utilidade prática das nossas evidências de explorabilidade e o suporte dedicado dos nossos pentesters. O estudo de caso completo está disponível para consulta aqui.

Essa entidade faz parte do vasto portfólio de organizações impulsionadas por nossas soluções. Ao assegurar visibilidade contínua sobre seu perfil de risco com a nossa solução de AppSec — cuja precisão cirúrgica decorre fundamentalmente dos testes de intrusão manuais executados por nossos pentesters especialistas —, essas companhias confiam em diagnósticos confiáveis de vulnerabilidades sem comprometer seus prazos de entrega no mercado. Estamos sempre prontos para fortalecer sua segurança; fale conosco.