Risco tecnológico e higiene cibernética

Ler a edição em PDF (3 páginas)

Os controles de AML/CFT de um licenciado de DPT funcionam sobre tecnologia, e a MAS regula essa tecnologia por meio de duas notices e de um conjunto de guidelines que, na prática, são inseparáveis do programa de AML.

A MAS Notice PSN05 on Technology Risk Management impõe exigências juridicamente vinculantes aos prestadores de serviços de pagamento. A empresa deve ter um modelo para identificar sistemas críticos. Cada sistema crítico não pode sofrer mais de quatro horas de indisponibilidade não programada em qualquer período móvel de doze meses e deve ter um objetivo de tempo de recuperação (recovery time objective) de quatro horas. A MAS deve ser notificada em até uma hora após a descoberta de um incidente relevante, seguindo-se um relatório de causa-raiz em até catorze dias.¹ A MAS Notice PSN06 on Cyber Hygiene impõe seis medidas básicas. São elas: proteger as contas administrativas, aplicar prontamente as atualizações de segurança, estabelecer um conjunto escrito de padrões de segurança, implementar defesas de perímetro de rede, instalar proteção contra malware e usar autenticação multifator para o acesso administrativo e o acesso a informações de clientes.² As Technology Risk Management Guidelines de janeiro de 2021 fixam o padrão não vinculante, mas objeto de inspeção, para todo o resto. Abrangem governança, desenvolvimento de software, gestão de terceiros, resposta a incidentes, controle de acesso, gestão de chaves criptográficas e testes de invasão.³

Para uma empresa de DPT, a seção das TRM Guidelines sobre gestão de chaves tem peso especial, porque as chaves privadas da empresa são os ativos de seus clientes. A MAS espera cerimônias documentadas de geração de chaves e módulos de segurança de hardware (HSM) ou equivalentes. Espera segregação de funções, de modo que nenhuma pessoa sozinha possa movimentar recursos de clientes, arranjos de armazenamento a frio (cold storage) para a maior parte dos ativos e procedimentos de recuperação testados. Essas são também exigências de custódia nos termos da Parte K, Capítulo II, e a MAS as inspeciona como um único tema. Um ataque hacker também é um evento de AML. Os tokens furtados saem pelas carteiras da empresa. A empresa deve ser capaz de rastreá-los, comunicá-los nos termos da PSN03 e da seção 45 do CDSA e cooperar com a polícia e com outras exchanges para bloqueá-los. Um plano de resposta a incidentes que abranja apenas a recuperação técnica, sem a comunicação regulatória e o rastreamento on-chain, é incompleto. Parte Q, Capítulo II contém um checklist para as primeiras setenta e duas horas após um ataque hacker.

Notas

1. MAS Notice PSN05, Technology Risk Management, emitida com base no Payment Services Act 2019, parágrafos sobre a identificação de sistemas críticos, o limite máximo de 4 horas de indisponibilidade não programada, a notificação de incidentes em 1 hora e o relatório de causa-raiz em 14 dias. ↩
2. MAS Notice PSN06, Cyber Hygiene, emitida com base no Payment Services Act 2019, pars. 4–9, sobre as seis exigências de higiene cibernética. ↩
3. MAS, Technology Risk Management Guidelines, 18 de janeiro de 2021, em particular a seção 10, sobre gestão de chaves criptográficas, e a seção 12, sobre controle de acesso. ↩

Apenas para informação geral. Este artigo não constitui assessoria jurídica ou tributária, não substitui a análise do caso concreto e não estabelece relação entre advogado e cliente. Reflete a situação jurídica em outubro 2026.