FEBRABAN TECH 2026 | PAINEL - Cibersegurança além da TI: abordagem holística e institucional

[música] Senhoras e senhores, dando continuidade aqui à programação da Arena Fintec do Febrabante Tec 2026, a gente vai ter agora um painel onde a gente vai falar um pouco a respeito de cybersegurança além da TI, a necessidade de uma abordagem holística e institucional. Eh, até um fato curioso, né, até o tema que inspira essa discussão foi um assunto trazido pelo Antônio Marcos que tá aqui, que falou sobre esse assunto num evento que teve de cybersegurança do Febraban no ano passado e a gente achou tão bom a a pauta que a gente resolveu trazer aqui e fazer um painel ao redor disso. Então, para poder compor aqui a mesa, eu gostaria de convidar a participar a Vanessa Fonseca, líder de sábia e segurança Latã da Accentury. Salva de palmas, Vanessa. Fique à vontade que o moderador. Antônio Marco Guimarães, chefe adjunto do Departamento de Regulação do Sistema Financeiro do Banco Central. E a moderação vai ser pela Giane Halab, sócia do Halab Advogados. Cara, salva de pausa. J Palco é seu. >> Pessoal, bom dia, boa tarde, né? já eh primeiro agradecer que vocês estão aqui nos prestigiando e não almoçando. E bom, acho que eh o título, né, do do nosso painel, ele já fala bastante coisa, né, eh cybersegurança além da TI. Eh, eu gosto bastante dessa perspectiva porque até pouco tempo atrás e a gente via, a gente colocava cybersegurança apenas dentro da caixinha de de tecnologia. Eh, mas hoje é muito importante a gente tratar isso eh dentro do mundo corporativo, eh, do ponto de vista institucional. Então, é uma questão eh reputacional, eh é união entre as áreas para tentar compor eh eh esse tema e tentar resolver esses assuntos eh antes que que um ataque, um incidente eh vire uma crise. Então, enfim, eh é um pouco é um pouco sobre isso que a gente vai falar hoje. E é por isso que eu tenho o prazer imenso de moderar esse painel com a Vanessa Fonseca da Excenter, o Antônio Marcos Guimarães representando aqui o Banco Central e eu gostaria de antes de tudo passar a palavra para que eles possam se apresentar um pouco, falar um pouco da atuação deles relacionada ao nosso tema. Obrigada, gente. >> Bom, eh, primeiro, obrigado, Gan. É uma honra estar na presença de painelistas tão qualificados, tão honrados. Eu agradeço também a Febrabão o convite em nome do Banco Central, que é um momento importante de ter essa troca de experiências com o mercado e com a sociedade, né? E eh no Banco Central, o Jane já explicou, sou o chefe adjunto do Departamento de Regulação e cuido de temas relacionados segurança cibernédica, criptoativos, prevenção a fraudes, inteligência artificial. a respeito do tema aqui do painel, eu gostaria de resgatar uma frase que eu ouvi numa reunião em Basilé de uma pessoa que acho que tem tudo a ver com o tema que a gente tá discutindo aqui. Ele disse que eh quanto maior confiança do cliente no sistema financeiro, mais robusta e mais complexa é a infraestrutura que suporta esse sistema. Isso faz muito sentido, porque é exatamente o tema que você colocou, Jeane, de que eh segurança cibernética ela é muito mais do que contratação de tecnologia ou aquisição de software. Segurança benética é construção de confiança. E aí eu queria eh pegar emprestado ou furtar uma frase do presidente Gabriel Gralipa, o presidente do Banco Central, que ele falou na abertura do Febrabante, de quando você fala a questão relação entre segurança e confiança, isso não tem nada a ver com construir uma dicotomia entre segurança e inovação. Não tem nada a ver com isso, até porque esses institutos têm que andar de mão dadas. Não existe inovação se você não garante a segurança. E a segurança cibernética é o suporte para garantir essa segurança dentro do sistema financeiro. Então o que eu gostaria de propor aqui para para Vanessa, para você, G, se a gente pudesse construir um um debate que exatamente que tratasse da questão da governança além do aspecto interno da instituição, mas nas suas relações também com partes relacionadas, com contratação de terceiros e aquisição de software, versionamentos também para atingir essa segurança que eu acho que tem a ver com o tema que a gente tá discutindo aqui. E obrigado. >> Perfeito. Bom, boa tarde a todos. Eu sou Vanessa Fonseca, sou líder da área de cyber security paraa América Latina na Accenter. Quero agradecer demais esse convite. Se vocês deixassem depois da tua da tua abertura, a gente poderia passar o dia todo aqui falando, porque tem muito assunto importante para tratar. Eh, acho que um tema super importante e que para mim e já é pacificado é que de fato segurança não é um tema de TI apenas. Já foi, não é, né? A gente tá falando de continuidade de negócio, a gente tá falando de risco pros negócios, né? Como segurança é um acelerador, concordo 300% que sem segurança não tem inovação, né? Então, realmente caminham juntos. Eh, eu acho que um fato super importante pra gente colocar na discussão hoje eh sobre a o aumento vertiginoso de ataques cibernéticos no setor financeiro neste ano corrente, né? Assim, aqui nacent a gente tem uma experiência grande em trabalhar em grandes, em resposta de grandes incidentes e até o ano passado, eu diria que assim bem pulverizado nas indústrias, com exceção do setor financeiro, seja pela maturidade, seja por uma série de de elementos que até então tornavam esse setor um pouco menos visado ou um pouco mais robusto e capaz de de enfrentar esse tipo de incidente. No ano 2026, isso mudou radicalmente. A gente vê assim um crescimento eh gigantesco habilitado por IA, ataques habilitados por IA e e além associado a técnicas muito rudimentares e simples. Então a gente tem aqui de fato essa dicotomia e o setor financeiro no spotlight desse tema. >> É. E e hoje, rapidamente, um incidente cibernético, ele deixa de ser um problema técnico para ele ser um problema eh de continuidade do negócio, né? Então, acho que isso é uma é é um tema que a gente precisa a a as empresas precisam parar de tratar eh como uma teoria, porque eu acho que isso já é uma teoria eh bastante difundida nas empresas, mas a prática talvez ainda não, né? Eu acho que trazendo um pouco de de como que na prática como que que os conselhos, como que a governança da empresa, como que a relação com parceiros, ela eh ela pode eh melhorar e otimizar para evitar esse tipo de de risco cibernético ou o que que elas podem fazer num num momento que se é identificado algum tipo de falha. ou algum tipo de ataque. Bom, eu começo aqui com a com a Vanessa. Na verdade, eu quero ouvir os dois, mas deixo primeiro com a Vanessa. Nós temos que a cybersegurança tornou-se um tema de continuidade do negócio, risco reputacional, estabilidade institucional. O que que precisa mudar na governança para que os conselhos, a liderança, o risco e as operações assumam responsabilidades claras sobre isso? Eu eu gosto bastante desse tema. Eh, e eu acho que a gente volta, né, para desde do do começo da minha fala aqui, sair da área técnica, como que a gente consegue com que porque também eh eh cachorro de dois donos morre de fome, como que a gente faz se a gente, como que a gente coloca cada uma da da das responsabilidades dentro de das diversas áreas da empresa, inclusive considerando a contratação de parceiros? Tian, tem acho que pelo menos uns 10 anos que eu falo sobre esse tema, né? Não tem uma resposta fácil. Como é que resolve? Eu acho que é comunicação. Existe um abismo entre o time técnico eh para fazer uma tradução de negócio paraa alta liderança, pros conselhos. E eu vivo isso diariamente. A gente tá agora trabalhando num projeto em que eu passei, talvez o último mês tentando criar formas de como fazer uma comunicação para quem realmente importa, que é a liderança, que é o conselho. E é isso, como é que você traduz um risco em algo que pode paralisar o teu negócio? Então, quando você começa a entender o que que que é mais crítico nessa empresa, né, para essa audiência, quando você captura a resposta e conecta, né, com o risco de de de saber de segurança, eu acho que já é um bom começo. Existe uma dificuldade tremenda. É uma área que historicamente eh fica muito fechada, né? Você começou falando, né, da tecnicidade que que vem junto. Um executivo que não é dessa área tem muita dificuldade em navegar por esse tema, então o mais fácil é transferir. Ah, fala com o meu CIO, fala com o meu SISO, eles eles sabem bem o que tá acontecendo. E não é sobre isso. Eu quero falar com o CEO, com quem, né, responde pelo negócio. Então eu acho que é isso, é uma dificuldade tremenda, mas a grande oportunidade tá aí em você entender o que que é mais crítico, mais crítico pro negócio, endereçar aquela dor. Então esse sistema mais crítico, quanto tempo esse sistema pode ficar inoperante no caso de um ataque? Ele provavelmente não vai saber a resposta. Então construir e e nesse nesse trabalho que a gente foi fazendo é OK, o CEO não sabe, o conselho não sabe, quem que sabe? Ah, vamos falar com o dono do negócio. Aí você vai falar com o dono do negócio, ele fala assim: "10 minutos". Que que você faz em 10 minutos? Nada, né? Nem para você contar a história inteira você consegue fazer em 10 minutos. >> Para trabalhar a resiliência, né? trabalhar resiliência, trabalhar o entendimento de que é uma corresponsabilidade da área técnica com alta liderança e com o negócio. >> Perfeito. Assim, não é cachorro de, né, de de dois donos mor de fome, mas nesse caso a responsabilidade ela tem que ser compartilhada para ela poder ser efetiva. >> Perfeito, Antônio. >> Eh, eu acho que fui muito feliz a fala da Vanessa. Eu suporto 100% o que ela disse. Tá muito conectado com a visão que eu tenho também. E e que colocando em outras palavras, se me permite, Vanessa, assim, da perspectiva do regulador, eh, essa questão, de novo, Vanesso, colocou muito bem, tem a ver com a inserção da segurança cibernética necessariamente no processo decisório da instituição. E como é que faz isso? É você garantir que a auto administração distribua as responsabilidades de forma adequada. E para isso ela tem que decidir antes, coordenar durante o incidente cibernético e aprender depois. Como é que a gente faz isso? é envolvendo, como você colocou muito bem autoadministração, para apontar, ainda que não seja obviamente o próprio CEO, mas apontar quem é o responsável por identificar o o incidente cibernético, quem é responsável por avaliar a gravidade do incidente cibernético e quem deve ou não acionar determinados protocolos pré-estabelecidos. Isso é muito importante porque se conecta a outra questão que é, como você bem colocou, Giane, na contratação, não só quando você tá olhando internamente só paraa tua tecnologia, mas a sua relação com outros, com terceiros, o chamado third pares, né? Quando você faz essa contratação, você tem que lembrar que contratar tecnologia não implica delegar responsabilidades. Muitos ao ouvir essa frase vão pensar: "Mas isso é óbvio". Mas não é. Aqui no Brasil, especificamente, eu percebo muitas vezes que a pessoa tem uma visão de responsabilidade só com uma preocupação no aspecto lícito penal, seja doloso ou culposo. Culposo na característica, por exemplo, a preocupação do comportamento negligente por parte do contratado, que pode afetar eh a imagem da empresa contratante. Mas não é só isso. Tem questões que, como a Vanessa colocou, que são muito mais sutis e que são relevantes pro interesse público. Vou dar um exemplo aqui. Quando você contrata alguém no exterior, por exemplo, o contratado, o contratado pode definir a geografia da da infraestrutura que tá sendo montada. Isso afeta a latência do serviço. Você pode dizer: "Olha, se eu tô contratando para um serviço administrativo, de fato, a latência não é um ponto muito relevante, mas quando você regulado tem que atender regulação para para cumprir serviços de criticidade elevada, como exemplo Pix ou Open Finance", você passa a ter um interesse público nessa contratação. Então, tem tudo a ver com a questão que a Vanessa bem colocou e a questão que você falou sobre a visão e a responsabilidade do terceiro e a sua que não pode ser delegado. Eu acho que é isso. É, e os ataques eh eles exploram cada vez mais essa essa fragilidade, digamos, que é esse envolvimento de terceiros, né? Então, a gente tem terceiros, identidades, engenharia social, nós temos um um compêndio de de coisas que corroboram para que para que esse ataque ele não seja ele não considere apenas o que tá ali dentro da empresa, né? E, e aí, Vanessa, eu coloco para você eh o que que você sugere e recomenda para que a instituição ela ela assuma para que ela consiga eh tentar resolver essas questões envolvendo essas parcerias e esses terceiros? >> Bom, maior jargão aqui de segurança, né? Fazer o básico bem feito. >> Acho que começa por aí, >> né? a gente vê de novo. Eh, eu eu acho que nada melhor do que você usar caso concreto para você aprender, né, com os erros que foram cometidos antes. Então, o que a gente vê, e eu tô falando de grandes empresas, tá? Não tô falando de de empresas que ainda estão com uma maturidade baixa, grandes empresas que falham no básico e esses ataques geralmente exploram vulnerabilidades básicas. E aí você falou de terceiros, você falou, né, de capital humano. Eh, de fato, esse ano, eu falei, né, desse ano, eh, de um aumento exponencial de ataques no setor financeiro. Quase todos eles, se não todos, envolveram um terceiro e um insider. Ou seja, a gente tá falando exatamente desse tema que vocês trouxeram. Então, o Insider é uma dificuldade tremenda pra empresa, né? porque não tem uma tecnologia, não tem eh algo que você consiga prever e evitar. Então eu acho que aqui o conhecimento, o treinamento, você garantir que as pessoas entendam quais são os limites, né, da sua responsabilidade como um funcionário da empresa, ajuda, não é uma bala de prata, infelizmente. e garantir que você tenha uma arquitetura de segurança muito robusta e muito e é e de novo indo pro básico, fazer o básico bem feito para garantir que esses terceiros, ainda que legitimamente, né, prestando um serviço adequado e correto, tenham seus limites de acesso. Você falou de identidade. Identidade para mim é talvez o tema mais eh relevante para tudo que a gente vai discutir aqui. Então você ter um processo de governança de identidade bem feito, você eh faz com que terceiros que eventualmente estejam conectados no teu ambiente tenham suas limitações e não possam cruzar determinadas linhas. Como eu falei, dá pra gente falar o dia inteiro aqui, mas eu acho que esse tema de pessoas é é um elo muito muito importante para ser considerado nessa equação. >> Dá uma tese de doutorado, né, Verício? dá uma tese de doutorado. >> É, e a gente tem inteligência artificial que ela vem do mesmo jeito que ela ela ajuda a a prever instabilidades, comportamentos irregulares, mas ela também aumenta a a a capilaridade, a facilidade desses ataques também, né? Então, coisas que vem de fora, mesmo que às vezes dentro de casa você esteja redondo, se você não tiver uma arquitetura operacional envolvendo esses eh eh os parceiros, os terceiros, eh realmente fica bastante complicado e você fica pela metade, né? E você e eh se tentar eh se proteger e criar uma governança contra eh ataque cibernético parcial não não resolve de nada, né? Meia segurança não não resolve. Eh, Antônio, do lado indo pra parte de de regulação, né? E é uma coisa que é interessante, a gente já vem vendo isso no nos últimos anos, né? Como a gente viu a publicação em 2021, por exemplo, de de resolução do Banco Central para contratação de de eh provedores de processamento de dados, eh, para contratação de de nuvem, de serviços de nuvem. e etc. A gente vê essa a preocupação do do regulador com isso, né? Então, tentando eh eh imputar obrigações regulatórias para dentro da empresa, justamente para deixar claro o que parece óbvio, mas não é de que a você não vai eh eh jogar para terceiro a a responsabilidade eh com relação a esses serviços que são inerentes a ao que você tá prestando quando a gente tá falando de de um ambiente regulado. É, Antônio, as regras recentes do Banco Central vem reforçando requisitos relacionados à segurança cibernética, autenticação, rastreabilidade, desenvolvimento seguro e gestão de terceiros. Na visão do do regulador, quais mudanças de comportamento e e medidas eh buscam estimular essa prática? O que, o que que vocês esperam das empresas do ponto de vista concreto que elas precisam implementar para trazer essa melhoria para dentro de casa? Eh, eu eu entendo que você a sua pergunta relacionada a questão de desafios também que tem que ser superados, né, perspectiva privada e também com participação do regulador. Seria isso. Então, eh, >> eu iniciaria aproveitar sua pergunta, eh, Giane, até para, em termos de transparência, aproveitar o evento aqui, que nós estamos, inclusive preocupados com a possibilidade de construção de um arcabolso de segurança para riscos que ainda vão surgir no futuro. O exemplo claro aqui disso que já tá no debate internacional é a criptografia pós-quântica, por exemplo. Pode parecer algo etéreo, mas no cenário internacional já há um certo consenso de que até 2040, 2050 nós poderemos estar eh evidenciando ou tendo a experiência de ataques reais utilizando a computação quântica. Então, o Banco Central, por exemplo, e a gente acha que o mercado privado, a gente vai chamar talvez agora este ano para o debate, lógico, paraa construção de forma paulatina, a construção de modelos que são caracterizados como eh eh quantum safe, algoritmos quantum safe, ou seja, que você tenha um preparo de acordo com padrões internacionais. já estão surgindo alguns, por exemplo, nicho nos Estados Unidos para fazer essa construção. E agora, voltando pro presente, vamos dizer assim, no curto prazo, uma questão que eu acho que também que é importante superarmos, que também tá no debate internacional, principalmente no contexto dos bricks, que o Banco Central do Brasil foi presidente 2025, é você conseguir integrar a a segurança benética em todas as cadeias tecnológicas da instituição. Por que que eu digo isso? Nós, eh, tradicionalmente nós nos concentramos muito nas conexões por meios de API, mas é importante entender que nós no no Brasil temos um sistema financeiro muito interconectado e é importante que você traga o mesmo grau de segurança independentemente da tecnologia. Então nós temos, por exemplo, que levar mesmo aperfeiamento, aperfeiçoamento que houve com as APIs também para conexões com sistemas de mensageria ou conexões diretas com bancos de dados, que tem uma relação também com a questão da relação contratual que você tem com terceiro que vai prestar o serviço. Então eu colocaria como pontos necessários de aprimoramento, desenvolvimento essa questão imediata de ampliar a segurança para toda a cadeia tecnológica, não apenas para API, que é algo que a gente pretende melhorar no debate com o mercado como meio regulatório e também uma visão um pouco pro futuro, que é trabalhar, começar a preparar a segurança para algo que está por vir, que é a criptografia pós-qua. >> Uau, bacana. Legal tá olhando para isso, né? E a gente vê a a evolução e realmente esse esse olhar ele parece um olhar futurista, né? Mas essas coisas evoluem numa rapidez eh gigantesca e e a gente tem que tentar inverter a lógica de que o fraudador sempre tá um passo à frente. A gente precisa fazer essa coisa. É isso. Perfeito. >> Perfeito. Muito bom. Eh, >> você falou só um comentário, você falou muito de, né, de algo que parece muito futurista. A gente já tem vários bancos, clientes trabalhando com Quantum Security. Então isso já é real, já é algo que ainda numa fase talvez exploratória de preparação, mas é algo presente já não é algo que vai acontecer, né? Você falou, você jogou ali 5 anos pra frente, mas eu acho que isso eh eh demanda uma preparação e entendimento gigante. Então, os bancos já estão se movimentando para isso. >> E essa observação vinda da Accentro é super importante. >> É, e eu gostaria de colocar como que vocês acham que que as instituições eh brasileiras estão com relação a isso dentro da da do contexto global? >> Olha, o setor financeiro brasileiro, eu acho que é é assim é uma referência, né? quando a gente, você falou do Pix e eu converso com vários pares meus de outros países e e de fato assim a gente tá eh muito em linha com outros com outras eh geografias importantes. E de novo, quantum sequirt é um tema que tá super em voga no Brasil, então eu pego muita experiência dos meus colegas da Europa, né, para trazer eh credencial para cá. E eu vejo que a gente tá assim numa aceleração grande, o segmento financeiro de fato eh já se preparando para isso, com muita eh responsabilidade, né? Acho que é e segurança deixou de ser algo, acho que o setor financeiro puxando muito isso, deixou de ser algo eh eh como uma linha de despesa, mas como uma visão realmente de risco e uma visão de inovação. Então eu acho que assim, o Brasil não deixa nada a desejar pros demais pras demais geografias no sentido no setor financeiro. Não, não tenho dúvida disso. Bom, ai, ela amplia, né, amplia as possibilidades de de fakes, de automação de ataques, engenharia social. Eh, como evitar a corrida puramente tecnológica e garantir que pessoas, processos e controles acompanhem essa essa evolução. Então, que avanço desafios vocês já observam dentro desse equilíbrio? Bom, de novo é outro tema que dá pra gente passar três dias aqui, nos três dias da Febrabant a gente podia falar disso. O que a gente vê e de fato assim a a as organizações criminosas numa evolução eh muito eh mais eh rápida do que o setor regulado, né, do que as pessoas de bem. Então eles usam realmente a IA para potencializar, então algo, um ataque que antes levava quro semanas, hoje leva 2 horas. para ser concluído, né? Então é uma preocupação grande. Há um mês atrás teve e esse é um é um um tema importante pra gente estudar, né, o que que tá acontecendo em termos de ataques usando Iá. >> Há um mês atrás, uma campanha maliciosa nos Estados Unidos com foco em head funds. E o que que eles fizeram? Eles associaram engenharia social, algo muito muito básico, com fishing, que é o fishing com voz. focando em Service Desk, identificaram ali o modus operand e eles conseguiram atacar quatro dos grandes maiores head funds usando essa mesma técnica. Então é isso a IA impulsionando os ataques. Se você me perguntar um ataque muito sofisticado, zero zero sofisticado. Engenharia social, entendendo como é que, né, a linguagem e a forma como um service DEK atende as suas seus funcionários. E foi tão simples quanto isso. Então, quatro red funds de grandíssimo porte foram atacados com técnicas básicas impulsionado por IA. Então isso só mostra que assim, e a gente tá falando o setor financeiro nos Estados Unidos, né, que teoricamente tem um nível de maturidade eh muito robusta e tá sendo vítima desse tipo de situação. Então quando você pergunta o que pode ser ser feito para ser evitado, talvez evitado nada, mas de novo, a gente tá falando de pessoas, né? É human. Não adianta você falar de Iá por iá, tecnologia pura. Você tem que ter pessoas que entendam, né, como usar, tem que ter uma metodologia, tem que ter uma governança para se usar. Então, neste caso, pessoas treinadas que saberam distinguir, né, algum tipo de pergunta de um Iá, né, que cruza um pouco a linha do do normal, já é importante. Então, um treinamento ajudaria ou talvez, né, assim, para pessoas que tenham um pouco mais de familiaridade com o tema, se blindar e se proteger de um ataque como esse, que não tem de novo nada de ciência de foguete. algo bem básico. >> Eu faço minhas palavras da Vanessa e é interessante observar conectado com que a Vanessa muito bem colocou, porque com advento dos cyber capable models, com a inteligência artificial você tem um lado de cotombo. Você tanto pode usar a inteligência artificial com esses cyber capable models para aperfeiçoar seus os sistemas de segurança cibernética, como pode utilizar também para encontrar falhas para facilitar o ataque cibernético. Então, dentro da da sua pergunta, Giane, eh o que nós temos feito da perspectiva do Banco Central é tentar fazer uma construção preventiva para que essa tecnologia absorva bem as governanças de melhores práticas. Como é que a gente tem feito isso? Primeiro, a gente tem buscado entender a fundo como é que o sistema financeiro usa e as fragilidades eventuais que possam ser encontradas no uso da IA. A gente fez isso por meio inicialmente de uma pesquisa muito robusta em 2025 sobre contemplando uma amostra de mais de 90% dos ativos do sistema financeiro. Essa pesquisa foi publicada no relatório de estabilidade financeira recente e nós estamos utilizando essas informações, esses dados para eh construção de um relatório de análise de impacto regulatório que nós pretendemos publicar no contexto de um projeto corporativo que estemos eh já em andamento no Banco Central eh mais ou menos no até o final do primeiro trimestre de 2027. E dessa dessa publicação do relatório de AR, eu entendo que conectado com os debates que estão tendo nos outros órgãos de governo federal, com cenário internacional e também eh acompanhando o projeto de lei no Congresso Nacional, que é o projeto de lei 2308, que já foi aprovado no Senado, que seria o marco legal de inteligência artificial no Brasil, na entendo que nós nesse momento podemos começar a ter uma certo grau de maturidade para começar a discutir de fato uma construção regulatória paraa governança de inteligência artificial no Brasil. Então, seria uma construção preventiva, paulatina, de forma madura para não haver precipitação. >> Mas você entende que a gente precisa ter mais normas, leis, eh, regras ou você entende que o acabo regulatório hoje ele é suficiente? Essa pergunta é boa porque é é exatamente para chegar na resposta que você colocou muito bem agora a pergunta é que a gente tá fazendo um relatório de análise de impacto regulatório, porque a análise de impacto regulatório não implica, como muitas vezes erroneamente as pessoas pensam, necessariamente que você vai construir uma regulação. Um dos aspectos que obrigatoriamente se analisa no AIR é se é pertinente e necessário que haja uma intervenção regulatória. E isso é uma questão que a gente nessa construção a gente vai avaliar e e quando chegar essa conclusão nós vamos compartilhar da transparência pro mercado para ter o debate com a sociedade, né, da transparência do Banco Central com a sociedade, inclusive para avaliar esse questionamento que você fez. É necessário regular ou não? Isso é um ponto que nós estamos contemplando também a partir dos dados que colhemos com o mercado financeiro. >> Ah, tô curiosa para ver o resultado análise. Vai ser bacana. Mas deixa eu só fazer uma um parêntese aqui que eu vejo, eu trabalho com todos os segmentos e o setor financeiro, muito por conta das eh exigências que o Banco Central vem fazendo em relação à cybersegurança, tão muito mais e assim, pelo bem ou pelo mal, mas estão muito mais eh eh avaliando apetite de risco. Então essa essa regulação eh eu vejo como um super avanço, né? se elas estão fazendo porque é uma obrigação ou não, acho que é um outro tema, mas assim, sobe a barra, a a maturidade obrigatoriamente aumenta por conta dessas demandas e dessas dessa desse arcaboço que o Banco Central vem frequentemente trabalhando e subindo a barra. Então eu sou eu sou muito a favor e acho que é realmente um diferencial aqui quando você compara com outras indústrias. >> Nós estamos chegando aqui ao final. Mas eu gostaria de de propor um desafio, que eu sei que é um desafio, do mesmo jeito que é um desafio a gente falar 25 minutos sobre esse tema, né? Mas se se vocês tivessem que eleger uma capacidade e eh qual é a capacidade que vocês entendem eh como mais decisiva para para garantir, aumentar a a resiliência cibernética do sistema financeiro nos próximos anos? Já dei spoiler, né? Para mim, identidade, gestão de identidade é assim chave para tudo que vem a reboque disso. Então, a gente tá falando de um purple team, a gente tá falando de um incidente bem respondido ou subindo, né, o nível de proteção. Tudo passa por identidade. Quando a gente fala de zero trust, a gente tá falando de uma governança robusta de identidade. Então, para mim esse é o tema. Continua sendo o tema da vez. E quão mais quanto mais robusta a tua tua prática de gestão de identidade e acesso, provavelmente menores as suas chances de sofrer um ataque cibernético. >> Eh, eu diria, Giane, que se fosse escolher uma capacidade, eu escolheria a capacidade de compartilhar e coordenar a resposta a incidentes cibernéticos. Nós temos isso regulado pela resolução seminê 4893 e resolução BCB 85 numa perspectiva bilateral, né? uma perspectiva vertical, que é a obrigação que o regulado tem de reportar o Banco Central os incidentes, e uma perspectiva horizontal que a norma também obriga as instituições de se organizarem para compartilhar essas informações para aprendizado. Mas tem um terceiro, uma terceira dimensão que poucos conhecem que ela tá disposta no decreto 10738 de 2021, que é obrigatoriedade que vem pros órgãos federais de eh no âmbito seu da sua competência legal levar à rede federal de gestão de incidentes cibernéticas informações que são relevantes de âmbito nacional. Isso é um trabalho inclusive que a gente tá fazendo e é uma capacidade que eu entendo que tem que ser bem construída, inclusive da perspectiva do regulador para aprimorar, para colocar o Brasil num posicionamento relevante sobre esse tema. >> Maravilha, Antônio. Vanessa, um prazer, pessoal. Muito obrigada pelo tempo de vocês. Eu sou Gian Rab. >> [aplausos] >> Obrigado. Obrigado. [música]