Vulnerabilidade identificada antes e não no relatório de incidente

Pentest como evidência para a Circular SUSEP 638/2021: identificação proativa de vulnerabilidades, relatório anual e portais de segurado e corretor.

A Circular SUSEP 638/2021 pede que seguradoras, entidades abertas de previdência, empresas de capitalização e resseguradores locais identifiquem e reduzam vulnerabilidades de forma proativa, e que isso apareça no relatório anual.

Sendo exato sobre a norma: a Circular SUSEP 638/2021 não usa a palavra pentest. Ela exige controles para identificar e reduzir vulnerabilidades de forma proativa (art. 5º, I), um relatório anual que inclua as principais vulnerabilidades encontradas (art. 9º) e a comunicação de incidentes relevantes à SUSEP em até cinco dias úteis (art. 8º). O pentest é a forma mais direta de produzir essa evidência: mostra quais vulnerabilidades existiam, o que foi corrigido e quando. No setor, o risco se concentra onde há muita gente acessando dado sensível: portal do segurado, portal do corretor, APIs de parceiros e o fluxo de sinistro.

O que você recebe

  • Pentest de portais de segurado e corretor, aplicativos e APIs
  • Teste do fluxo de sinistro e das regras que evitam fraude
  • Relatório com as vulnerabilidades encontradas e corrigidas, pronto para o relatório anual
  • Sumário executivo para o diretor responsável por segurança cibernética
  • Reteste com evidência de correção

O que cobrimos

Portais de segurado e corretor

Acesso a apólice, dado de saúde e dado financeiro de outro cliente.

APIs de parceiros

Integrações com corretoras, assistências, bancos e plataformas de venda.

Sinistro e regras de negócio

Abertura, alteração e pagamento de sinistro por caminhos não previstos.

Infraestrutura e nuvem

Perímetro, acessos administrativos e ambientes de terceiros.

Indicado para

  • Seguradoras, EAPCs, empresas de capitalização e resseguradores locais
  • Insurtechs que operam sob regulação da SUSEP
  • Corretoras e parceiros que acessam sistemas da seguradora
  • Times que precisam de evidência técnica para o relatório anual

Como conduzimos

Mapeamento dos acessos

Levantamos quem acessa o quê: segurado, corretor, parceiro e operação.

Teste de portais e APIs

Análise manual de autenticação, autorização e exposição de dados.

Fraude e lógica de sinistro

Tentamos alterar valores, dados bancários e status por caminhos indevidos.

Relatório para o regulador

Achados priorizados, no formato que alimenta o relatório anual.

Reteste

Confirmação das correções com data e evidência.

Perguntas Frequentes

A SUSEP exige pentest?

Não com essa palavra. A Circular SUSEP 638/2021 exige identificar e reduzir vulnerabilidades de forma proativa (art. 5º, I) e um relatório anual com as principais vulnerabilidades encontradas (art. 9º). O relatório de pentest com evidência de correção é a forma mais objetiva de demonstrar as duas coisas.

Quem precisa cumprir a Circular 638?

Seguradoras, entidades abertas de previdência complementar, sociedades de capitalização e resseguradores locais. Os prazos de adequação terminaram em 2022.

Qual o prazo para comunicar incidente à SUSEP?

Incidentes relevantes devem ser comunicados à SUSEP em até cinco dias úteis, conforme o art. 8º da Circular 638/2021. Se houver dado pessoal envolvido, a comunicação à ANPD segue a regra própria da LGPD.

O teste inclui sistemas de corretores e parceiros?

Inclui as integrações e o que está sob responsabilidade da seguradora. Sistemas de terceiros entram no escopo quando o terceiro autoriza, o que é combinado antes do teste.