A Circular SUSEP 638/2021 pede que seguradoras, entidades abertas de previdência, empresas de capitalização e resseguradores locais identifiquem e reduzam vulnerabilidades de forma proativa, e que isso apareça no relatório anual.
Sendo exato sobre a norma: a Circular SUSEP 638/2021 não usa a palavra pentest. Ela exige controles para identificar e reduzir vulnerabilidades de forma proativa (art. 5º, I), um relatório anual que inclua as principais vulnerabilidades encontradas (art. 9º) e a comunicação de incidentes relevantes à SUSEP em até cinco dias úteis (art. 8º). O pentest é a forma mais direta de produzir essa evidência: mostra quais vulnerabilidades existiam, o que foi corrigido e quando. No setor, o risco se concentra onde há muita gente acessando dado sensível: portal do segurado, portal do corretor, APIs de parceiros e o fluxo de sinistro.
O que você recebe
- Pentest de portais de segurado e corretor, aplicativos e APIs
- Teste do fluxo de sinistro e das regras que evitam fraude
- Relatório com as vulnerabilidades encontradas e corrigidas, pronto para o relatório anual
- Sumário executivo para o diretor responsável por segurança cibernética
- Reteste com evidência de correção
O que cobrimos
Portais de segurado e corretor
Acesso a apólice, dado de saúde e dado financeiro de outro cliente.
APIs de parceiros
Integrações com corretoras, assistências, bancos e plataformas de venda.
Sinistro e regras de negócio
Abertura, alteração e pagamento de sinistro por caminhos não previstos.
Infraestrutura e nuvem
Perímetro, acessos administrativos e ambientes de terceiros.
Indicado para
- Seguradoras, EAPCs, empresas de capitalização e resseguradores locais
- Insurtechs que operam sob regulação da SUSEP
- Corretoras e parceiros que acessam sistemas da seguradora
- Times que precisam de evidência técnica para o relatório anual
Como conduzimos
Mapeamento dos acessos
Levantamos quem acessa o quê: segurado, corretor, parceiro e operação.
Teste de portais e APIs
Análise manual de autenticação, autorização e exposição de dados.
Fraude e lógica de sinistro
Tentamos alterar valores, dados bancários e status por caminhos indevidos.
Relatório para o regulador
Achados priorizados, no formato que alimenta o relatório anual.
Reteste
Confirmação das correções com data e evidência.
Perguntas Frequentes
A SUSEP exige pentest?
Não com essa palavra. A Circular SUSEP 638/2021 exige identificar e reduzir vulnerabilidades de forma proativa (art. 5º, I) e um relatório anual com as principais vulnerabilidades encontradas (art. 9º). O relatório de pentest com evidência de correção é a forma mais objetiva de demonstrar as duas coisas.
Quem precisa cumprir a Circular 638?
Seguradoras, entidades abertas de previdência complementar, sociedades de capitalização e resseguradores locais. Os prazos de adequação terminaram em 2022.
Qual o prazo para comunicar incidente à SUSEP?
Incidentes relevantes devem ser comunicados à SUSEP em até cinco dias úteis, conforme o art. 8º da Circular 638/2021. Se houver dado pessoal envolvido, a comunicação à ANPD segue a regra própria da LGPD.
O teste inclui sistemas de corretores e parceiros?
Inclui as integrações e o que está sob responsabilidade da seguradora. Sistemas de terceiros entram no escopo quando o terceiro autoriza, o que é combinado antes do teste.