Resolução BCB N° 454

Resolução Nº 454

RESOLUÇÃO
BCB Nº 454, DE 30 DE JANEIRO DE 2025

Dispõe sobre a Estratégia de Uso de Software​ e de Serviços
de Computação em Nuvem do Banco Central do Brasil.

O Comitê de Governança, Riscos e Controles – GRC, com base no
art. 11, caput, inciso XIII, alínea “a”, e no art. 139, caput, inciso
III, alíneas “a” e “e”, do Regimento Interno do Banco Central do Brasil, anexo
à Resolução BCB nº 340, de 21 de setembro de 2023, e tendo em vista o disposto
no Voto 132/2025–GRC, de 30 de janeiro de 2025, na Instrução Normativa nº 5, de
30 de agosto de 2021, do Gabinete de Segurança Institucional da Presidência da
República, e na Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, da Secretaria
de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos,

R E S O
L V E :

Art. 1º  Fica
divulgada, na forma do anexo a esta Resolução, a Estratégia de Uso de Software e de Serviços
de Computação em Nuvem do Banco Central do Brasil.

Art. 2º  Fica
revogada a Resolução BCB nº 288, de 24 de janeiro de 2023.

Art. 3º  Esta Resolução
entra em vigor na data de sua publicação.

GABRIEL MURICCA
GALÍPOLO
Presidente do Banco
Central do Brasil

 

ESTRATÉGIA DE USO DE
SOFTWARE E DE SERVIÇOS DE COMPUTAÇÃO EM NUVEM DO BANCO CENTRAL DO BRASIL, ANEXO
À RESOLUÇÃO
BCB Nº 454, DE 30 DE JANEIRO DE 2025

CAPÍTULO I
OBJETIVOS E PRINCÍPIOS

Art. 1º  A Estratégia de Uso de
Software e de Serviços de Computação em Nuvem do Banco Central do Brasil visa à
utilização racional, segura e eficiente dos recursos computacionais e à
evolução constante de seus serviços, utilizando tecnologias modernas e
inovadoras, e tem os seguintes objetivos:

I - alinhar a
utilização do uso de software e de serviços de computação em nuvem aos objetivos
estratégicos do Banco Central do Brasil;

II - orientar a
contratação e a utilização de software e de serviços de computação em
nuvem;

III - priorizar
soluções que otimizem o uso dos recursos operacionais de serviços de computação
em nuvem;

IV - proporcionar agilidade
para o desenvolvimento de novos projetos e protótipos;

V - ampliar a
capacidade de entrega de soluções de tecnologia da informação e comunicação – TIC;

VI - aprimorar a
disponibilidade, a qualidade e a oferta dos serviços prestados à sociedade e ao
Sistema Financeiro Nacional –
SFN, bem como a resiliência cibernética do Banco Central do Brasil;

VII - prover aos usuários
do Banco Central do Brasil a capacitação contínua em tecnologias de computação
em nuvem; e

VIII - promover a observância,
pelo Banco Central do Brasil, da legislação relativa à segurança da informação e
da Lei nº 13.709, de 14 de agosto de 2018.

Art. 2º  São
princípios da Estratégia de Uso de Software e de Serviços de Computação em
Nuvem:

I - explorar novas
tecnologias disponibilizadas nos serviços de computação em nuvem, buscando
soluções alinhadas aos requisitos de negócio e que melhorem a eficiência de
processos;

II - modernizar as
aplicações, adotando as melhores práticas de utilização de serviços de
computação em nuvem;

III - avaliar a
possibilidade de migração para infraestruturas de nuvem pública, transferindo
as aplicações de sistemas locais para a nuvem;

IV - adotar o modelo
de Integrador de Serviços em Nuvem (Cloud Brokers), de modo limitado a
dois provedores principais de serviços de computação em nuvem; e

V - reduzir a
complexidade do gerenciamento de serviços de provedores de serviços de
computação em nuvem, evitando a pulverização de fornecedores e a migração entre
eles.

Parágrafo único. A homologação
de provedores principais de serviços de computação em nuvem deve ser realizada
a partir de requisitos de confiabilidade, capacidade de inovação, de oferta de
serviços e de presença ou capilaridade nacional e global.

CAPÍTULO II
DEFINIÇÕES

Art. 3º  Para os
efeitos da Estratégia de Uso de Software e de Serviços de Computação em Nuvem,
adotam-se as seguintes definições:

I - aplicação: programa
ou conjunto de programas que tem por objetivo realizar um grupo de funções,
tarefas ou atividades coordenadas para benefício do usuário;

II - carga de
trabalho (workload): conjunto de recursos que compõem uma arquitetura
técnica destinada a suportar um ou mais serviços de TIC;

III - computação em
nuvem: modelo que possibilita o provisionamento e a utilização sob demanda de
recursos e serviços computacionais de qualquer lugar e a qualquer momento, com
acesso por meio de rede a recursos configuráveis (e.g. redes, segurança,
servidores, armazenamento, aplicações e serviços) que podem ser rapidamente
provisionados, utilizados e liberados com o mínimo de esforço em gerenciamento
ou interatividade com o provedor de serviços em nuvem;

IV - cópia de
segurança atualizada: versão recente de um backup dos dados gerada
segundo a periodicidade definida pela política de recuperação do sistema ou do
serviço que utiliza as informações;

V - Financial
Operations – Finops: práticas de gestão financeira concentradas na
otimização de custos e investimentos em serviços de computação em nuvem;

VI - governança de
nuvem: conjunto de processos e políticas destinados a assegurar o uso efetivo e
seguro de serviços de computação em nuvem;

VII - grau de sigilo:
informações e cargas de trabalho que, por sua natureza, são imprescindíveis à segurança
da sociedade ou do Estado, sendo classificadas como ultrassecreta, secreta ou
reservada, nos termos da Lei nº 12.527, de 18 de novembro de 2011;

VIII - Integrador de
Serviços em Nuvem (Cloud brokers): intermediários que facilitam a
integração e gestão de múltiplos provedores de serviços de computação em nuvem;

IX - interoperabilidade:
capacidade de diferentes sistemas e aplicações trocarem e utilizarem
informações entre si de forma eficaz;

X - modelos de
implantação de nuvem: modelos que representam como a computação em nuvem pode
ser organizada com base no controle e no compartilhamento de recursos físicos
ou virtuais, sendo classificada em:

a) nuvem pública;

b) nuvem privada;

c)  nuvem comunitária;
e

d) nuvem híbrida;

XI - multicloud:
uso combinado de serviços de múltiplos provedores de serviços de computação em
nuvem para distribuir recursos e minimizar dependência de um único fornecedor;

XII - plataforma de
gerenciamento de serviços em nuvem (Cloud Management Platform – CMP):
sistema capaz de realizar o provisionamento e a orquestração, a requisição de
serviço, o inventário e a classificação, o monitoramento e a análise, o gerenciamento
de custos e a otimização de carga de trabalho, a migração em nuvem, o backup
e recuperação de desastres, o gerenciamento de segurança, a conformidade e a identidade,
o deployment e a implantação dos recursos nos provedores de serviços de
computação em nuvem;

XIII - portabilidade:
movimentação transparente de aplicações ou de dados entre os diferentes
serviços de computação em nuvem ou para ambientes locais;

XIV - provedor de
serviços em nuvem: empresa que possui infraestrutura de TIC destinada ao
fornecimento de infraestrutura, de plataformas e de aplicativos baseados em
computação em nuvem;

XV - solução de TIC: conjunto
de bens e serviços que apoiam processos de negócio mediante a conjugação de
recursos de TIC, conforme definições constantes no Anexo II da Instrução
Normativa SGD/ME nº 94, de 23 de dezembro de 2022; e

XVI - unidade gestora
do serviço: componente organizacional do Banco Central do Brasil que gerencia o
processo organizacional e define o produto de software associado à sua
execução.

CAPÍTULO III
COMPETÊNCIAS E
ATRIBUIÇÕES

Art. 4º  No âmbito da
Estratégia de Uso de Software e de Serviços de Computação em Nuvem, são
atribuições do Gestor de Segurança da Informação – GSI de que trata o art. 37
do anexo à Resolução BCB nº 287, de 24 de janeiro de 2023:

I - supervisionar a
aplicação da Estratégia de Uso de Software e de Serviços de Computação em
Nuvem;

II - propor ao Comitê
de Governança, Riscos e Controles – GRC a lista de países em que os dados e as
informações custodiadas pelo Banco Central do Brasil poderão ser armazenados em
soluções de computação em nuvem; e

III - propor ao GRC a
revisão da Estratégia de Uso de Software e de Serviços de Computação em Nuvem.

Art. 5º  Compete ao
Departamento de Tecnologia da Informação – Deinf:

I - coordenar a
implementação da Estratégia de Uso de Software e de Serviços de Computação em
Nuvem, assegurando o alinhamento ao Plano Diretor de Tecnologia da Informação e
Comunicação – PDTI vigente e a outras políticas relacionadas;

II - definir e
implementar estratégias de gestão financeira para otimizar os custos e
investimentos em serviços de computação em nuvem;

III - submeter ao GSI
de que trata o art. 37 do anexo à Resolução BCB nº 287, de  24 de janeiro de 2023,
proposta de revisão da Estratégia de Uso de Software e de Serviços de
Computação em Nuvem;

IV - definir os
requisitos criptográficos mínimos para o armazenamento de dados e informações,
custodiados pelo Banco Central do Brasil, em soluções de computação em nuvem;

V - estabelecer as condições
de portabilidade e interoperabilidade entre provedores de serviços de
computação em nuvem;

VI - verificar o
cumprimento dos controles e dos níveis mínimos de serviço definidos, devendo aplicar,
em casos de eventuais desvios, medidas de correção; e

VII - comunicar aos
órgãos competentes os incidentes cibernéticos, conforme sua relevância,
informados pelo provedor de serviços de computação em nuvem.

Art. 6º  Compete à
unidade gestora do serviço ou da informação, em conjunto com o Deinf, como
prévia condição para a transferência de serviços ou
informações para ou de um provedor de serviço em nuvem:

I - realizar a
avaliação de risco cibernético envolvido, observando pelo menos:

a) os aspectos de
proteção de dados e de privacidade;

b) a segurança das
informações, especialmente as de acesso restrito;

c) a criticidade do
sistema ou do serviço para o Banco Central do Brasil; e

d) a rotulação da
informação ou do dado;

II - definir as medidas
de mitigação de riscos e de custos para a implementação de solução de
computação em nuvem e para possibilidade de crescimento dessa solução; e

III - elaborar a Estratégia
de Saída, considerando o disposto no inciso I, de serviços ou de informações do
ambiente de computação em nuvem para o ambiente computacional próprio do Banco
Central Brasil.

Parágrafo único. O
Deinf deverá encaminhar ao Departamento de Riscos Corporativos e Referências
Operacionais – Deris o relatório com a avaliação do risco cibernético e a lista
das medidas de mitigação para a implementação de solução de computação em
nuvem.

CAPÍTULO IV
DIRETRIZES

Seção I
Da identificação das
necessidades de negócio

Art. 7º  O Deinf identificará
as necessidades de negócio para a contratação de software e de serviços
de computação em nuvem, definindo os dados e os serviços que utilizarão preferencialmente
uma ou outra solução.

§ 1º  As iniciativas
que irão utilizar computação em nuvem deverão estabelecer as metas, os
benefícios e os resultados esperados com a adoção da solução, levando em
consideração a linha de base estabelecida.

§ 2º  Enquanto não
estabelecidas as metas para os softwares e os serviços migrados para
ambiente de computação em nuvem, devem ser consideradas aquelas anteriores à mudança.

Seção II
Da seleção dos
modelos adequados

Art. 8º  Os serviços
de computação em nuvem pública, de governo ou híbrida, poderão ser empregados:

I - nos casos em que
a nuvem privada não consiga promover a escalabilidade, a flexibilidade, a agilidade,
a segurança cibernética ou a inovação tecnológica necessárias para atender aos
requisitos técnicos e de negócio; ou

II - para promover a
eficiência de custos e facilidade de gestão e sustentação.

Parágrafo único.  Nas
hipóteses em que os serviços de computação em nuvem sejam necessários apenas
como parte de uma solução, poderá ser adotada a abordagem de nuvem híbrida, mantendo
parte dos recursos em nuvem privada.

Art. 9º  O Banco
Central do Brasil priorizará o modelo mais abrangente de serviços de nuvem que
atenda a suas demandas, tendo em conta os princípios da eficiência operacional,
a melhor relação custo-benefício, a segurança cibernética, a flexibilidade e a
escalabilidade.

§ 1º  A adoção de
serviços do modelo Software como Serviço – SaaS terá prioridade sobre o da
Plataforma como Serviço – PaaS, e ambos sobre o da Infraestrutura como Serviço –
IaaS.

§ 2º  As contratações
do modelo devem preferencialmente adotar prazos longevos, de forma a promover
economia de escala e diminuição de custos administrativos associados.

​Seção III
Da avaliação dos
possíveis fornecedores

Art. 10.  Os estudos
técnicos preliminares à contratação dos serviços de computação em nuvem devem
abranger o levantamento dos possíveis fornecedores aptos ao atendimento dos
requisitos de negócio.

Parágrafo único.  A
avaliação incluirá critérios de segurança cibernética, de conformidade, de disponibilidade,
de suporte técnico, custo de migração, custo de capacitação e de risco do
fornecedor.

Art. 11.  A fim de
assegurar que o uso das plataformas de nuvem ou software contratados
esteja alinhado às melhores práticas de arquitetura e segurança cibernética, na
forma recomendada pelos próprios fornecedores e fabricantes, será avaliada a
necessidade de contratação de suporte técnico especializado.

Parágrafo único.  No
caso de contratação de software, o suporte técnico especializado do
fabricante deve fazer parte da solução.

Seção IV
Das diretrizes de uso
seguro de software e de serviços de computação em nuvem

Art. 12.  Os
provedores de serviços de computação em nuvem deverão possuir:

I - criptografia de
dados em seus ambientes;

II - controles de
segurança cibernética alinhados às melhores práticas de mercado;

III - processo
implementado de atualizações do serviço que mitigue vulnerabilidades conhecidas
dentro de um período compatível com a criticidade de cada vulnerabilidade;

IV - plataforma de
gerenciamento de serviços em nuvem; e

V - capacidade de
resiliência na manutenção do serviço e na recuperação de informações em casos
de desastre.

Art. 13.  Os
fornecedores de Serviços Técnicos de Intermediação para Nuvens Públicas deverão
observar as disposições da Lei nº 13.709, de 14 de agosto de 2018, no
tratamento dos dados pessoais ou sensíveis, em especial quanto à finalidade e à
boa-fé.

Art. 14.  Não poderão
ser tratadas em ambiente de nuvem pública informações e cargas de trabalho
classificadas, conforme a Lei nº 12.527, de 18 de novembro de 2011, em grau de
sigilo, nem documentos preparatórios que possam originar informações que possam
ser classificadas em grau de sigilo.

Art. 15.  As cargas
de trabalho que tratam de informações submetidas à restrição de acesso público em
virtude de seu caráter pessoal ou por estarem abrangidas por outras hipóteses
de sigilo legal poderão ser mantidas em ambiente de nuvem pública.

Art. 16.  O
tratamento de dados e informações do Banco Central do Brasil em serviços de
computação em nuvem deve ocorrer preferencialmente em data centers
localizados em território brasileiro.

Parágrafo único.  O armazenamento
de dados e de informações fora do território brasileiro é possível somente nos
casos em que haja cópia de segurança atualizada armazenada em data centers
localizados em território brasileiro.

CAPÍTULO V
DISPOSIÇÕES GERAIS

Art. 17.  A
Estratégia de Uso de Software e de Serviços de Computação em Nuvem deve estar
alinhada aos seguintes planos e políticas do Banco Central do Brasil,
respeitados seus aspectos específicos:

I - Plano Estratégico
Institucional – PEI;

II - PDTI;

III - Plano de
Contratações Anual – PCA;

IV - Política de
Governança da Informação – PGI; e

V - Política de Segurança
da Informação – PSIBC.

Art. 18.  Os contratos
de software e serviços de computação em nuvem observarão o disposto na Estratégia
de Uso de Software e de Serviços de Computação em Nuvem, abrangendo-se as
seguintes categorias:

I - SaaS;

II - IaaS;

III - PaaS;

IV - licenciamento de
software perpétuo;

V - licenciamento de software
por subscrição ou assinatura;

VI - manutenção de softwares
ou computação em nuvem;

VII - consultoria
especializada em software ou computação em nuvem; e

VIII - serviços de
migração, integração, operação e gestão de recursos de computação em nuvem.

Art. 19.  O Banco
Central do Brasil estabelecerá programa de capacitação contínua de usuários nas
melhores metodologias de trabalho e em novas tecnologias.

Parágrafo único.  A
equipe competente para gerenciar, operar e utilizar os recursos de software
e de serviços em nuvem deve ser capacitada adequadamente.

Art. 20.  A
Estratégia de Uso de Software e de Serviços de Computação em Nuvem deve ser
revista pelo menos a cada dois anos.

Art. 21.  Os casos
omissos e exceções serão resolvidos pelo GSI de que trata o art. 37 do anexo à
Resolução BCB nº 287, de 24 de janeiro de 2023.​