Resolução BCB N° 288

RESOLUÇÃO
BCB Nº 288, DE 24 DE JANEIRO DE 2023

Divulga
o Regulamento de Uso Seguro de Recursos de Computação em Nuvem.

O Comitê
de Governança, Riscos e Controles (GRC) do Banco Central do Brasil, no uso
das suas atribuições, com base no art. 11, parágrafo único, e art. 132, inciso
VII, alínea “a”, do Regimento Interno, anexo à Portaria nº 84.287, de 27 de
fevereiro de 2015, e tendo
em vista o disposto no Voto GRC 71/2023, de 24 de janeiro de 2023,

R E S O L V E :

Art. 1º  Fica divulgado o
Regulamento de Uso Seguro de Recursos de Computação em Nuvem, anexo a esta
Resolução.

Art. 2º  O Presidente do
Comitê de Segurança (Coseg) poderá editar os atos complementares necessários
para o cumprimento do Regulamento de que trata o art. 1º.

Art. 3º  Esta Resolução
entra em vigor em 1º de fevereiro de 2023.

Carolina de Assis Barros
Diretora de Administração

 

REGULAMENTO DE USO SEGURO DE RECURSOS
DE COMPUTAÇÃO EM NUVEM, ANEXO À RESOLUÇÃO BCB Nº 288, DE 24 DE JANEIRO DE 2023

Art. 1º  Este
Regulamento tem como objetivo estabelecer diretrizes para o uso seguro dos
recursos e serviços de computação em nuvem no âmbito do Banco Central do
Brasil.

Art. 2º  Este
Regulamento é regido pelas seguintes normas:

I
- Instrução Normativa nº 5, de 30 de agosto de 2021, do Gabinete de Segurança
Institucional da Presidência da República (GSI/PR);

II
- Política de Segurança da Informação do Banco Central do Brasil (PSIBC), anexa
à Resolução BCB nº 287, de 24 de janeiro de 2023.

Art. 3º  A PSIBC deve
ser observada, no que couber:

I - na contratação e no
uso dos recursos e serviços de computação em nuvem; e

II - nos procedimentos
para término dos contratos de uso dos recursos e serviços de computação em nuvem.

Art. 4º  O uso seguro
dos recursos e serviços de computação em nuvem visa a aprimorar a
disponibilidade, a qualidade e a oferta dos serviços prestados à sociedade e ao
Sistema Financeiro Nacional (SFN), bem como a resiliência cibernética do Banco
Central do Brasil.

Art. 5º  Compete ao
Gestor de Segurança da Informação (GSI):

I - aprovar, conforme proposta pelo Departamento
de Tecnologia da Informação (Deinf), a lista de países nos quais dados e
informações custodiados pelo Banco Central do Brasil poderão ser armazenados em
soluções de computação em nuvem;

II - aprovar, conforme proposto pelo Deinf,
os requisitos criptográficos mínimos para o armazenamento de dados e informações,
custodiados pelo Banco Central do Brasil, em soluções de computação em nuvem;

III - encaminhar para aprovação da Diretoria
Colegiada as minutas de revisão deste Regulamento;

IV - supervisionar a aplicação deste
Regulamento.

Art. 6º  Compete ao Deinf:

I - propor ao GSI a
lista de países nos quais dados e informações custodiados pelo Banco Central do
Brasil poderão ser armazenados em soluções de computação em nuvem, após
avaliação do risco cibernético;

II - propor ao GSI os
requisitos criptográficos mínimos para o armazenamento de dados e informações,
custodiados pelo Banco
Central do Brasil, em soluções de computação em nuvem;

III - submeter ao GSI,
para posterior encaminhamento à Diretoria Colegiada, as minutas de elaboração e
de revisões do Regulamento de Uso Seguro de Recursos de Computação em Nuvem;

IV - definir os
critérios e a periodicidade das atualizações dos procedimentos e dos recursos
computacionais a serem observados pelo provedor de serviço de nuvem;

V - elaborar a matriz de
responsabilidades com as obrigações e as responsabilidades relacionadas ao
gerenciamento e ao uso seguro dos recursos de computação em nuvem.

Art. 7º  Antes de
transferir serviços ou informações para um provedor de serviço de nuvem, o gestor
do serviço ou da informação deverá:

I - realizar a avaliação
de risco observando pelo menos:

a)
os aspectos de proteção de dados e da privacidade, conforme a legislação;

b)
a segurança das informações, especialmente as de acesso restrito;

c)
a criticidade do sistema ou do serviço para o Banco Central do Brasil;

d)
a rotulação da informação ou do dado;

II - definir o modelo de
serviço e de implementação de computação em nuvem que será adotado;

III - definir as medidas
de mitigação de riscos e de custos para a implementação de solução de
computação em nuvem e para possibilidade de crescimento dessa solução;

IV - planejar custos de
migração das informações e dos serviços, nos casos de ingresso e de saída do serviço
de computação em nuvem.

Art. 8º  Além dos
requisitos listados no art. 7º, devem ser observados os demais requisitos dispostos
na Instrução Normativa nº 5, de 2021, do GSI/PR, conforme a matriz de
responsabilidades.

Art. 9º  Este Regulamento
deve ser revisto, no máximo, a cada dois anos ou a qualquer tempo, quando
houver mudança significativa nos requisitos de segurança cibernética ou nos
riscos cibernéticos.

Art. 10.  Os casos
omissos são resolvidos pelo Coseg, sem prejuízo do disposto no Regimento
Interno do Banco Central do Brasil.