A Circular SUSEP 638/2021 transformou a segurança cibernética em um tema de conformidade para o mercado supervisionado. Ela não descreve ferramentas nem impõe um tipo específico de teste, mas cobra resultados que precisam ser demonstrados: vulnerabilidades identificadas e tratadas, incidentes relevantes comunicados no prazo e um relatório anual consistente. Este guia mostra como organizar essa rotina.

Quem está sujeito à Circular SUSEP 638/2021

A norma vale para seguradoras, entidades abertas de previdência complementar, sociedades de capitalização e resseguradores locais. Se a sua empresa se enquadra em uma dessas categorias, os requisitos de segurança cibernética fazem parte das obrigações regulatórias, e não apenas das boas práticas.

Para o gestor, isso muda a conversa. A segurança deixa de ser um assunto só da área de tecnologia e passa a envolver compliance, riscos e a direção, porque o resultado precisa ser documentado e apresentado.

Os três pontos centrais para a gestão de vulnerabilidades

Art. 5º, I: identificar e reduzir vulnerabilidades de forma proativa

O art. 5º, I, pede controles para identificar e reduzir vulnerabilidades de forma proativa. A palavra importante é "proativa". Não basta corrigir depois que um problema aparece. A empresa precisa ter um processo contínuo para descobrir fraquezas antes que sejam exploradas.

A norma não usa a palavra "pentest". Ainda assim, testes de intrusão feitos por empresa especializada são uma das formas mais claras de mostrar que a identificação é proativa, porque avaliam os sistemas da mesma forma que um atacante real faria, dentro de regras controladas e com relatório formal.

Art. 8º: comunicação de incidente relevante em até 5 dias úteis

O art. 8º determina que o incidente relevante seja comunicado à SUSEP em até 5 dias úteis. O prazo exige preparo. Nesse período, a empresa precisa reconhecer o incidente, avaliar se ele é relevante, reunir as informações e fazer a comunicação.

Uma gestão de vulnerabilidades organizada ajuda aqui também. Quando a empresa já sabe quais sistemas são críticos, quais falhas estavam em aberto e quem é responsável por cada ativo, a análise do incidente é mais rápida e mais precisa.

Art. 9º: relatório anual

O art. 9º exige um relatório anual com as principais vulnerabilidades e os resultados dos testes do plano de continuidade. Esse é o ponto em que a falta de organização ao longo do ano aparece. Se as avaliações foram pontuais, sem registro consistente, montar o relatório vira um trabalho de reconstrução.

Note que o relatório junta dois temas que costumam ficar em áreas diferentes: vulnerabilidades, normalmente com a segurança da informação, e testes do plano de continuidade, muitas vezes com riscos ou operações. Definir desde o início quem consolida as duas partes evita retrabalho no fim do ano.

Como estruturar a gestão de vulnerabilidades ao longo do ano

A melhor forma de chegar ao relatório anual sem improviso é tratar a gestão de vulnerabilidades como um ciclo contínuo, com registros desde o início.

1. Inventário de ativos e criticidade

Não se protege o que não se conhece. Mantenha uma lista dos sistemas, aplicações, portais de corretores e segurados, APIs e infraestrutura, com responsável e nível de criticidade. Esse inventário define o escopo das avaliações e a prioridade das correções.

2. Calendário de avaliações

Planeje as avaliações para o ano inteiro, e não só às vésperas do relatório. Um calendário típico combina avaliações periódicas dos ambientes mais críticos com testes extras quando há mudanças relevantes, como um novo portal, uma migração de sistema ou uma nova integração com parceiros.

O escopo deve cobrir tanto as aplicações expostas quanto a rede interna. Nossa página de pentest de infraestrutura explica como a avaliação de servidores, redes e ambientes internos é conduzida.

3. Classificação e prazos internos de correção

Cada vulnerabilidade encontrada deve receber uma classificação de risco e um prazo interno de correção definido pela própria empresa, de acordo com sua política. O importante é que a regra exista, seja documentada e seja seguida.

4. Acompanhamento e reteste

Uma vulnerabilidade só deve ser considerada tratada depois de verificada. O reteste confirma a correção e gera a evidência que vai compor o histórico. Quando a correção não é possível no curto prazo, registre a aceitação do risco, a justificativa e as medidas compensatórias.

5. Indicadores para a direção

Acompanhe poucos indicadores, como quantidade de vulnerabilidades críticas abertas, tempo médio de correção e percentual de ativos críticos avaliados no período. Esses números ajudam a direção a entender a evolução e facilitam a redação do relatório anual.

Como organizar o relatório anual

Com o ciclo funcionando, o relatório do art. 9º passa a ser uma consolidação, e não uma corrida de última hora. Uma estrutura prática inclui:

• Escopo do período: quais ambientes foram avaliados e quando.
• Principais vulnerabilidades: as de maior risco, com a situação atual de cada uma (corrigida, em correção ou com risco aceito).
• Evolução: comparação com o período anterior, usando os indicadores definidos.
• Resultados dos testes do plano de continuidade: o que foi testado, o que funcionou e o que precisa ser ajustado.
• Plano de ação: as correções e melhorias previstas para o próximo ciclo.

Os relatórios técnicos das avaliações devem ser guardados como evidência. Eles sustentam o que foi declarado no documento anual. Na página de compliance você encontra como apoiamos a organização dessas evidências.

Integração com a resposta a incidentes

A gestão de vulnerabilidades e a resposta a incidentes se complementam. As falhas encontradas nas avaliações indicam cenários prováveis de incidente, e esses cenários devem estar refletidos no plano de resposta. Com o prazo de 5 dias úteis do art. 8º, vale ter definido antes:

• Os critérios internos para classificar um incidente como relevante.
• Quem decide e quem faz a comunicação à SUSEP.
• Qual empresa apoiará a investigação técnica, com contrato já firmado.

Veja como estruturamos esse apoio na página de resposta a incidentes.

O que pedir ao fornecedor da avaliação

Para que as avaliações sirvam à conformidade com a Circular SUSEP 638/2021, peça ao fornecedor:

• Escopo alinhado ao inventário de ativos críticos, definido por escrito.
• Relatório com classificação de risco padronizada, que permita comparar resultados entre ciclos.
• Resumo executivo que possa alimentar o relatório anual.
• Reteste para confirmar as correções e registrar a evidência.
• Regras de condução que evitem impacto nos sistemas de produção, com janelas acordadas.
• Confidencialidade sobre os dados de segurados e participantes eventualmente acessados.

A LDL Security ajuda seguradoras, entidades de previdência, sociedades de capitalização e resseguradores a transformar avaliações em evidência de conformidade. Conheça nossa página de pentest para seguradoras.

Perguntas Frequentes

A Circular SUSEP 638/2021 obriga a fazer pentest?

A norma não usa a palavra "pentest". Ela exige controles para identificar e reduzir vulnerabilidades de forma proativa (art. 5º, I), e o teste de intrusão é uma forma reconhecida de demonstrar esse cuidado.

Quais empresas precisam seguir a Circular SUSEP 638/2021?

Seguradoras, entidades abertas de previdência complementar, sociedades de capitalização e resseguradores locais.

Qual o prazo para comunicar um incidente à SUSEP?

O art. 8º determina que o incidente relevante seja comunicado à SUSEP em até 5 dias úteis.

O que precisa constar no relatório anual?

Segundo o art. 9º, o relatório anual deve trazer as principais vulnerabilidades e os resultados dos testes do plano de continuidade.