Pular para o conteúdo
Openbanx

Política de Proteção de Dados e Infraestrutura

Controles mínimos de segurança, integridade, confidencialidade e disponibilidade dos dados e da infraestrutura tecnológica da Openbanx.

  • Versão 1.0
  • Aprovação 20 de outubro de 2026
  • Aprovado por Comitê de Segurança e Privacidade (CSP)
  • Referenciais ISO/IEC 27701 · LGPD · Open Finance · Bacen

Nesta página

  1. 1. Introdução
  2. 2. Papéis e responsabilidades
  3. 3. Proteção de dados
  4. 4. Proteção da infraestrutura
  5. 5. Gestão de vulnerabilidades e atualizações
  6. 6. Revisão e vigência
  7. 7. Referências

1. Introdução

1.1. Propósito

Esta Política de Proteção de Dados e Infraestrutura (“Política”) define as diretrizes, controles e requisitos mínimos para garantir a segurança, integridade, confidencialidade e disponibilidade dos dados pessoais, dados sensíveis, dados financeiros e demais informações processadas pela Openbanx, bem como a proteção da infraestrutura tecnológica que suporta as operações da empresa.

O objetivo é assegurar conformidade com:

  • ISO/IEC 27001:2022 (seções de Segurança Física, Redes, Criptografia, Continuidade e Operações);
  • ISO/IEC 27701:2025 (controles de privacidade aplicáveis);
  • LGPD – arts. 46 a 50;
  • Resoluções CMN nº 4.893/21 e nº 4.968/21 (segurança cibernética e Open Finance);
  • especificações técnicas e regulatórias do Open Finance Brasil;
  • normas aplicáveis do Bacen para instituições participantes e iniciadoras.

1.2. Escopo

Esta Política aplica-se a:

  • toda a infraestrutura física e lógica da Openbanx (nuvem, redes, servidores, APIs, microsserviços);
  • todos os dados tratados pela empresa, incluindo dados pessoais, sensíveis e financeiros;
  • todos os colaboradores, estagiários, fornecedores, prestadores de serviço e parceiros;
  • sistemas, plataformas, aplicações, serviços em nuvem e integrações Open Finance.

1.3. Princípios fundamentais

A proteção de dados e infraestrutura observará:

  1. Confidencialidade, Integridade e Disponibilidade (CIA);
  2. Minimização de Dados;
  3. Privacidade e Segurança by Design e by Default;
  4. segregação de ambientes e redes;
  5. criptografia de ponta a ponta;
  6. resiliência operacional e continuidade;
  7. rastreabilidade e auditoria completa.

2. Papéis e responsabilidades

2.1. Segurança da Informação (SecOps, AppSec, DevSecOps)

  • Implementar e manter controles de proteção de dados e infraestrutura.
  • Monitorar alertas, incidentes e eventos de segurança.
  • Aplicar hardening, patches e atualizações.

2.2. Engenharia / DevOps

  • Manter a infraestrutura em nuvem segura e padronizada.
  • Aplicar controles de firewall, IAM, segurança de rede e segregação.
  • Criar pipelines com validações automatizadas de segurança.

2.3. DPO (Encarregado)

  • Garantir o compliance com a LGPD e a proteção de dados pessoais.
  • Avaliar riscos e impactos sobre dados pessoais em seu ciclo de vida.

2.4. Comitê de Segurança e Privacidade (CSP)

  • Avaliar conformidade, riscos, auditorias e revisões desta Política.
  • Aprovar decisões estratégicas relacionadas à infraestrutura e aos dados.

2.5. Fornecedores e terceiros críticos

  • Cumprir requisitos contratuais e regulatórios do Bacen, da LGPD e das normas ISO.
  • Manter ambientes seguros e compatíveis com os padrões da Openbanx.

3. Proteção de dados

3.1. Classificação e inventário de dados

  1. Todos os dados devem ser classificados conforme criticidade, sensibilidade e regulamentação.
  2. Dados do Open Finance devem ser rotulados como Dados Financeiros de Alto Risco.
  3. Inventários de dados devem ser mantidos atualizados (ISO 27701 – mapeamento).

3.2. Minimização e retenção

  1. Apenas o mínimo necessário de dados deve ser coletado.
  2. A retenção deve seguir normas específicas:
    • dados financeiros: prazos regulatórios do Bacen;
    • dados pessoais: princípios da LGPD;
    • logs: mínimo de 5 anos para dados regulatórios.
  3. A eliminação e o descarte seguro devem ser realizados conforme a ISO 27001 (A.8 e A.11).

3.3. Criptografia e proteções criptográficas

  1. Dados sensíveis e financeiros devem ser criptografados:
    • em repouso (AES-256 ou equivalente);
    • em trânsito (TLS 1.2+ obrigatório; recomendável TLS 1.3).
  2. As chaves devem ser armazenadas em:
    • HSM (Hardware Security Module); ou
    • serviços KMS autorizados e compatíveis.
  3. Nunca deve haver armazenamento de chaves em texto plano ou em código-fonte.

3.4. Controle de acesso a dados

  1. Princípio do menor privilégio em todos os ambientes.
  2. O acesso a dados de produção deve ser estritamente controlado e registrado.
  3. Dados pessoais reais não podem ser usados em ambientes de homologação ou desenvolvimento.

4. Proteção da infraestrutura

4.1. Infraestrutura em nuvem

  1. Toda a infraestrutura deve seguir padrões de segurança zero trust.
  2. Os recursos em nuvem devem possuir:
    • controle de identidade e acesso granular (IAM);
    • redes isoladas (VPC);
    • grupos de segurança aplicados por camada;
    • hardening de sistemas operacionais;
    • backups criptografados e testados periodicamente.

4.2. Segurança de rede

  1. A segmentação de rede é obrigatória (produção, homologação, desenvolvimento).
  2. Firewalls e WAF devem proteger APIs e front-ends.
  3. A comunicação entre microsserviços deve ser autenticada e criptografada.
  4. As conexões à infraestrutura devem ser feitas via VPN ou túnel seguro.

4.3. Continuidade e resiliência

  1. Devem existir planos formais de:
    • Continuidade de Negócios (BCP);
    • Recuperação de Desastres (DRP);
    • redundância geográfica, quando aplicável.
  2. Testes anuais são obrigatórios.
  3. Os backups devem ser realizados conforme política e testados regularmente.

4.4. Monitoramento e auditoria

  1. Os logs de segurança devem registrar:
    • autenticações;
    • acessos;
    • transações;
    • erros e eventos;
    • interações com APIs Open Finance.
  2. Os logs devem ser:
    • criptografados;
    • imutáveis;
    • armazenados em serviço centralizado (SIEM);
    • mantidos conforme prazos regulatórios.
  3. Os alertas devem contemplar:
    • anomalias;
    • falhas de autenticação;
    • acesso fora do padrão;
    • tentativas de invasão.

5. Gestão de vulnerabilidades e atualizações

5.1. Correções e patches

  1. Vulnerabilidades críticas: correção imediata (≤ 24h).
  2. Vulnerabilidades altas: correção em até 3 dias úteis.
  3. Todos os sistemas devem passar por atualizações periódicas.

5.2. Scans e avaliações

  1. Scans automatizados de infraestrutura e APIs devem ocorrer continuamente.
  2. Pentests devem ser realizados, no mínimo:
    • anualmente; e
    • após grandes mudanças.
  3. As APIs do Open Finance devem seguir requisitos de conformidade técnica revisados.

6. Revisão e vigência

Esta Política será revisada pelo CSP:

  • anualmente; ou
  • sempre que houver mudanças regulatórias do Bacen, ANPD, CMN, Open Finance Brasil ou evolução tecnológica que impacte a proteção de dados e a infraestrutura.

7. Referências

  1. ISO/IEC 27001:2022 – Seções A.8 a A.13.
  2. ISO/IEC 27701:2025 – Controles de privacidade aplicáveis.
  3. LGPD – Lei nº 13.709/2018.
  4. Resolução CMN nº 4.893/2021 – Segurança cibernética e Open Finance.
  5. Resolução CMN nº 4.968/2021 – Compartilhamento de dados no Open Finance.
  6. Normas técnicas e manuais do Open Finance Brasil.
  7. NIST Cybersecurity Framework (CSF).
  8. Cloud Security Alliance – Cloud Controls Matrix (CCM).

Versão: 1.0 · Data de aprovação: 20 de outubro de 2026 · Aprovado por: Comitê de Segurança e Privacidade (CSP) – Openbanx

Documentos legais

Governança e segurança da informação