Cooperativa de crédito é instituição autorizada a funcionar pelo Banco Central e, por isso, segue a Resolução CMN 4.893/2021. Desde a alteração feita pela CMN 5.274/2025, isso inclui teste de intrusão ao menos uma vez por ano, feito por empresa ou profissional independente, com resultado documentado e plano de ação, seja a cooperativa grande ou pequena.
Sendo exato sobre a norma: cooperativa de crédito segue a Resolução CMN 4.893/2021, que vale para as instituições autorizadas pelo Banco Central, menos administradoras de consórcio, instituições de pagamento, corretoras, distribuidoras e corretoras de câmbio (art. 1º). A Resolução BCB 538/2025, que costuma aparecer junto, não se aplica a cooperativas: ela altera a BCB 85, que tem outro alcance (instituições de pagamento, corretoras e distribuidoras, entre outras). Foi a CMN 5.274/2025 que pôs os testes de intrusão entre os controles mínimos (art. 3º, § 8º, IV) e exigiu que sejam anuais, independentes e documentados com plano de ação (art. 22-A). Os resultados entram no relatório anual apresentado ao conselho de administração, ou à diretoria, até 31 de março (art. 8º) e ficam à disposição do Banco Central por cinco anos (art. 23). Não há regra diferente por segmento: a classificação de S1 a S5 da Resolução 4.553/2017 serve à regulação prudencial, e a 4.893 só pede política compatível com porte, perfil de risco e modelo de negócio (art. 2º, § 1º). A norma permite política única para o sistema cooperativo (art. 2º, § 2º), mas não diz que o teste de sistemas compartilhados cobre a rede e os sistemas de cada singular. Por isso, o escopo começa separando o que é da central ou da confederação e o que é da cooperativa.
O que você recebe
- Pentest externo e interno, com teste de segmentação entre a rede das agências e o ambiente de produção
- Teste do aplicativo, do internet banking e das APIs usados pelos associados
- Verificação dos controles que a CMN 5.274 detalha: MFA no acesso externo, troca de senhas padrão, regras de firewall e conexões fora do horário
- Verificação do isolamento do ambiente Pix e STR quando a cooperativa se comunica diretamente pela RSFN (art. 3º-A)
- Relatório com plano de ação para cada vulnerabilidade, pronto para o relatório anual e para o diretor responsável
- Reteste com evidência de correção, para guardar por cinco anos
O que cobrimos
Agências e rede corporativa
Segmentação, estações de atendimento, Wi-Fi e acesso de terceirizados à rede.
Canais do associado
Aplicativo, internet banking, APIs e abertura de conta, inclusive o que vem do sistema cooperativo.
Acesso remoto e identidade
VPN, MFA para acesso externo, contas privilegiadas e senhas padrão de equipamentos.
Integrações e certificados
Interfaces com a central, a confederação e fornecedores de TI, e a guarda de certificados digitais.
Indicado para
- Cooperativas singulares de crédito plenas, clássicas e de capital e empréstimo
- Cooperativas centrais e confederações que supervisionam as filiadas
- Cooperativas que adotam a política única do sistema e precisam saber o que o teste da central cobre
- Diretores responsáveis pela política de segurança cibernética que precisam de evidência para o relatório anual
Como conduzimos
Mapa de responsabilidades
Separamos o que é da singular, da central, da confederação e de fornecedores, para o escopo não deixar buraco.
Teste externo e dos canais
Perímetro, aplicativo, internet banking e APIs, com foco em autenticação e autorização.
Teste interno e de segmentação
Partindo de uma estação de agência, verificamos até onde um invasor chega na rede.
Relatório e plano de ação
Achados documentados com plano de correção, no formato que o art. 22-A pede.
Reteste
Confirmação das correções com data e evidência.
Perguntas Frequentes
Cooperativa de crédito é obrigada a fazer pentest?
Sim. A Resolução CMN 4.893/2021, que vale para cooperativas de crédito, passou a exigir com a CMN 5.274/2025 testes de intrusão com periodicidade mínima anual, feitos com independência e imparcialidade por pessoa ou empresa especializada contratada para isso, com os resultados documentados e plano de ação para as vulnerabilidades encontradas (art. 22-A).
A Resolução BCB 538 vale para cooperativas?
Não. A BCB 538/2025 altera a Resolução BCB 85, que se aplica a instituições de pagamento, corretoras e distribuidoras de títulos e valores mobiliários, corretoras de câmbio e prestadoras de serviços de ativos virtuais. Para cooperativas, a regra equivalente é a CMN 5.274/2025, que alterou a CMN 4.893 e trouxe a mesma exigência de teste anual independente.
Cooperativa do segmento S4 ou S5 tem regra mais leve?
Não para o teste. A segmentação de S1 a S5 (Resolução 4.553/2017) serve à aplicação proporcional da regulação prudencial. A CMN 4.893 não cria exceção por segmento: pede que a política seja compatível com porte, perfil de risco e modelo de negócio, o que muda o tamanho do escopo, mas não dispensa o teste anual.
Se a central faz o pentest dos sistemas compartilhados, a singular está coberta?
Depende do escopo. A norma permite política de segurança cibernética única para o sistema cooperativo (art. 2º, § 2º), mas não diz que o teste de sistemas compartilhados cobre a rede das agências, os acessos e os sistemas próprios da singular. Vale conferir no relatório da central o que foi testado e completar o que ficou de fora.
Qual era o prazo para se adequar?
As instituições que já funcionavam tinham até 1º de março de 2026 (art. 2º da CMN 5.274/2025). A documentação dos testes e dos planos de ação precisa ficar à disposição do Banco Central por cinco anos, contados da execução do teste (art. 23).
O teste feito pela equipe da própria cooperativa vale?
Pode continuar existindo, mas não substitui o requisito. O art. 22-A pede teste feito com independência por pessoa ou empresa especializada contratada para essa finalidade, sem prejuízo dos testes feitos pelas equipes da própria instituição.