Todo provedor que entrega internet com ONU ou roteador em comodato tem, dentro da casa de cada assinante, um equipamento que responde pela sua marca. Se esse equipamento sai de fábrica com usuário e senha conhecidos, qualquer pessoa que alcance a interface de gerência pode alterar DNS, abrir portas ou transformar o aparelho em ponto de apoio para outros ataques. A Anatel tratou esse problema de forma direta quando alterou o seu regulamento de segurança cibernética em 2024.

Este guia resume o que a norma exige, o que ela não diz e como um provedor pode produzir evidência técnica para cumprir as obrigações.

A base legal: Resolução 740/2020 e a alteração de 2024

O Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações foi aprovado pela Resolução Anatel nº 740/2020. Em 2024, a Resolução nº 767/2024 alterou o texto, e as mudanças estão em vigor desde 2 de setembro de 2024.

Quem está sujeito à regra geral

Pelo art. 2º, o regulamento se aplica às prestadoras de serviços de telecomunicações de interesse coletivo, exceto as de pequeno porte. Por isso, muitos provedores regionais passaram anos entendendo que o assunto não era com eles.

A alteração de 2024 mudou esse cenário: duas obrigações passaram a valer para prestadoras de qualquer porte.

O que vale para todos os provedores, inclusive os pequenos

Troca da senha padrão dos equipamentos em comodato (arts. 2º-A e 8º)

Equipamentos fornecidos ao assinante em comodato não podem continuar operando com a senha padrão. A norma diz o que deve ser feito, não como. A forma de cumprir é uma decisão técnica do provedor, e algumas escolhas deixam o controle muito mais forte:

• Senha única por equipamento, gerada de forma aleatória, e não derivada de dados previsíveis como número de série ou endereço MAC.
• Gerência remota restrita: interface administrativa fechada para a WAN, ou acessível só a partir da rede de gerência do provedor.
• Provisionamento automatizado, para que a troca não dependa do técnico em campo lembrar de fazer.
• Verificação periódica por amostragem na base instalada, para confirmar que a senha continua trocada depois de reset, troca de firmware ou substituição do aparelho.

Um detalhe que costuma passar despercebido: senha trocada e gerência exposta na internet ainda é um risco. Credencial forte não resolve vulnerabilidade de firmware nem serviço de gerência aberto a qualquer origem.

Aviso à Anatel quando o incidente também vai à ANPD (art. 2º-C)

Quando um incidente precisa ser comunicado à Autoridade Nacional de Proteção de Dados (ANPD), a prestadora, de qualquer porte, também deve avisar a Anatel. Na prática, isso significa que o fluxo de resposta a incidentes precisa prever as duas comunicações, com responsável definido e informações consistentes entre elas.

Provedor pequeno raramente tem esse processo escrito. Vale definir antes do problema quem decide se o incidente envolve dados pessoais, quem redige as comunicações e onde ficam os registros técnicos que sustentam o relato. Se o seu provedor ainda não tem esse fluxo, veja como estruturar a resposta a incidentes.

Avaliação de vulnerabilidades: o que a norma pede de fato

Para as prestadoras alcançadas pela regra geral, o regulamento trata de ciclos de avaliação de vulnerabilidades (art. 10). Essa avaliação deve ser feita por entidade aferidora ou por empresa capacitada e independente, e o resultado é enviado à Anatel (art. 19).

A norma não usa a palavra "pentest"

É importante ser preciso: o texto da resolução fala em avaliação de vulnerabilidades, não em pentest. O teste de intrusão não é a exigência. Ele é uma das formas mais completas de produzir a evidência que a norma pede.

A diferença prática está na profundidade. Um scanner lista versões desatualizadas e portas abertas. Um pentest confirma se a falha é explorável, encadeia achados de baixa severidade que juntos levam a um acesso crítico e mostra o impacto real sobre a operação. Para quem vai enviar o resultado a um regulador, um relatório que separa o que é explorável do que é ruído tem mais valor do que uma lista longa de alertas.

Quem define a periodicidade

O intervalo entre os ciclos não está no texto da resolução. Ele é definido pelo grupo técnico de segurança cibernética da Anatel, o GT-Ciber. Antes de planejar o calendário de avaliações, acompanhe as publicações do GT-Ciber em vez de supor um prazo.

O que significa "independente"

A norma pede empresa capacitada e independente. Uma leitura prudente é evitar que a mesma equipe que opera, configura ou dá suporte à rede seja a que avalia essa rede. A avaliação perde credibilidade quando quem testa também responde pelo que foi testado.

O que testar na operação de um provedor

O escopo varia com a arquitetura, mas alguns ativos aparecem em quase toda operação de telecom e merecem prioridade:

• CPEs em comodato: credenciais, serviços de gerência expostos na WAN, firmware e servidor de autoconfiguração (ACS).
• Rede de gerência: acesso a OLTs, concentradores, roteadores de borda e sistemas de monitoramento, e se ela está de fato separada da rede corporativa.
• Sistemas de gestão e provisionamento: ERP do provedor, sistema de ativação de clientes e integrações entre eles.
• Central do assinante: portal e aplicativo com dados pessoais, faturas e dados de conexão, com teste de autenticação e controle de acesso.
• Acesso remoto de técnicos: VPN, contas compartilhadas e autenticação multifator.
• Serviços expostos: DNS recursivo, servidores de e-mail, painéis administrativos e APIs publicadas.

A parte de rede, borda e gerência cabe num pentest de infraestrutura. Portal do assinante, APIs e sistemas web entram num pentest web.

Como transformar o relatório em evidência

O formato do envio à Anatel deve seguir as orientações do próprio regulador. Do lado técnico, um relatório que sustenta a obrigação tem alguns elementos:

• Identificação da empresa avaliadora e declaração de independência em relação à operação.
• Escopo explícito: quais ativos foram testados, a partir de onde e em que período.
• Metodologia descrita, com separação entre testes automatizados e validação manual.
• Achados com severidade, evidência técnica e recomendação de correção.
• Reteste documentado das correções, para mostrar que o ciclo foi fechado.

Esse mesmo material ajuda em outras frentes de compliance, como questionários de clientes corporativos e due diligence em fusões entre provedores.

Erros comuns

• Achar que pequeno porte isenta de tudo. Troca de senha padrão e aviso à Anatel valem para qualquer porte.
• Tratar a troca de senha como tarefa manual do técnico. Sem automação e verificação, a obrigação vira promessa.
• Esquecer a comunicação dupla. Um incidente comunicado à ANPD sem aviso à Anatel descumpre o art. 2º-C.
• Chutar a periodicidade. Ela vem do GT-Ciber, não do texto da resolução.
• Entregar só saída de scanner. Uma lista de alertas sem validação diz pouco sobre o risco real da operação.

Precisa de uma avaliação independente da sua rede, dos CPEs e da central do assinante? Conheça o nosso pentest para telecom e provedores.

Perguntas Frequentes

Provedor de pequeno porte precisa cumprir o regulamento de segurança cibernética da Anatel?

Em parte. A regra geral do art. 2º exclui as prestadoras de pequeno porte, mas desde a alteração de 2024 todas, de qualquer porte, devem trocar a senha padrão dos equipamentos em comodato e avisar a Anatel quando o incidente também precisar ser comunicado à ANPD.

A Anatel exige pentest?

Não com essa palavra. A norma pede ciclos de avaliação de vulnerabilidades feitos por entidade aferidora ou empresa capacitada e independente, com resultado enviado à Anatel. O pentest é uma forma de produzir essa evidência com validação manual e impacto comprovado.

Com que frequência a avaliação de vulnerabilidades deve ser feita?

A resolução não fixa esse intervalo. A periodicidade é definida pelo GT-Ciber, grupo técnico da Anatel, e o provedor deve acompanhar as publicações do grupo para planejar os ciclos.

Desde quando valem as mudanças da Resolução 767/2024?

As alterações feitas pela Resolução Anatel nº 767/2024 na Resolução 740/2020 estão em vigor desde 2 de setembro de 2024.