Para as equipes de TI, Segurança da Informação e Compliance, isso traz perguntas práticas: quem pode utilizar cada certificado? Onde estão suas chaves privadas? Quais registros permitem investigar uma utilização?
Quando essas respostas dependem de arquivos distribuídos entre computadores, senhas compartilhadas ou informações desatualizadas, a instituição encontra dificuldades para controlar sua identidade digital e avaliar a efetividade das medidas de proteção.
Neste artigo, veja quais requisitos estão relacionados aos certificados digitais, como organizar sua aplicação e de que forma a Redtrust pode apoiar esse trabalho.
O que é a Resolução CMN nº 5.274/2025?
A Resolução CMN nº 5.274, de 18 de dezembro de 2025, altera a Resolução CMN nº 4.893/2021, que disciplina a segurança cibernética e a contratação de serviços de processamento, armazenamento de dados e computação em nuvem.
A atualização detalha controles que incluem autenticação, proteção de redes, rastreabilidade e gestão de certificados.
A norma entrou em vigor na data de sua publicação e estabeleceu 1º de março de 2026 como prazo de adequação para as instituições que já estavam em funcionamento. O trabalho agora envolve manter os controles operacionais e avaliar sua efetividade.
Quais instituições precisam observar essas exigências?
O enquadramento depende da categoria regulatória da instituição. Bancos e cooperativas de crédito estão entre as instituições abrangidas pela Resolução CMN nº 4.893/2021 e suas alterações.
O âmbito dessa resolução exclui administradoras de consórcio, instituições de pagamento, sociedades corretoras de títulos e valores mobiliários, sociedades distribuidoras de títulos e valores mobiliários e sociedades corretoras de câmbio. bcb.gov.br
Para instituições de pagamento e para essas categorias de corretoras e distribuidoras autorizadas pelo Banco Central, a referência de segurança cibernética é a Resolução BCB nº 85/2021, atualizada pela Resolução BCB nº 538/2025.
Por isso, a denominação comercial “fintech” não basta para determinar a norma aplicável. A análise deve considerar a autorização de funcionamento e as atividades da instituição.
O que a CMN 5.274 exige sobre certificados digitais?
O art. 3º, § 12, da Resolução CMN nº 4.893/2021, incluído pela CMN nº 5.274, estabelece quatro requisitos mínimos. A tabela resume seus objetivos:
| Requisito | Objetivo do controle |
|---|---|
| Monitorar certificados e assinaturas digitais | Permitir o acompanhamento das utilizações com rastreabilidade. |
| Proteger as chaves privadas | Controlar o acesso físico e lógico às chaves sob responsabilidade da instituição. |
| Evitar o compartilhamento indevido | Adotar procedimentos e ferramentas contra a distribuição inadequada das chaves privadas. |
| Verificar certificados revogados | Validar tempestivamente a situação de revogação perante as autoridades certificadoras. |
Esses requisitos combinam proteção da credencial e controle de sua utilização. A instituição precisa conectar as regras documentadas aos mecanismos utilizados pelas equipes. Ter uma relação de certificados, por exemplo, ajuda no inventário, mas não demonstra, isoladamente, que os acessos estão limitados ou que as utilizações são monitoradas.
Quer aprofundar o tema? Acesse o guia da Redtrust sobre controle de certificados digitais no setor financeiro.
Como aplicar os controles de certificados na rotina da instituição financeira?
A implementação de um controle adequado deve considerar os processos, a infraestrutura e os riscos da instituição. As medidas abaixo ajudam a transformar os requisitos em atividades que possam ser executadas e verificadas.
1. Relacionar certificados, responsáveis e operações
O levantamento inicial deve identificar quais certificados são utilizados, onde estão armazenados, quem responde por eles e quais atividades dependem de sua disponibilidade.
Em uma instituição financeira, esse mapeamento pode envolver diferentes áreas, como Fiscal, Jurídico, Recursos Humanos e Operações. Para cada uso, é importante conhecer os sistemas envolvidos e as pessoas autorizadas.
Também convém distinguir certificados utilizados em rotinas administrativas daqueles empregados em ambientes transacionais. Essa separação ajuda a avaliar as necessidades de proteção e continuidade de cada contexto.
2. Transformar autorizações em permissões de uso
As permissões devem corresponder às atividades de cada profissional. O acesso necessário para uma rotina fiscal, por exemplo, não deve liberar automaticamente utilizações em outros sistemas.
A instituição pode organizar esse controle definindo:
- Quem aprova o acesso.
- Qual certificado pode ser utilizado.
- Em quais sistemas e condições.
Essas decisões devem estar documentadas na política de uso de certificados digitais e refletidas nos controles técnicos.
3. Proteger a custódia e tratar cópias dispersas
A instituição precisa conhecer os locais em que suas chaves privadas estão armazenadas e controlar quem pode acessá-las.
A centralização pode ajudar a reduzir a distribuição de arquivos entre computadores e usuários. Sua implantação deve considerar a proteção do repositório, os acessos administrativos e a disponibilidade necessária para a operação.
Também é necessário tratar cópias anteriores. Retirar a permissão de um colaborador em uma plataforma não elimina uma cópia que tenha permanecido fora do ambiente controlado.
Veja também os riscos do compartilhamento de certificados digitais.
4. Utilizar os registros para investigar ocorrências
Os registros devem ajudar a responder perguntas concretas: qual usuário estava autenticado? Qual certificado foi utilizado? Quando ocorreu a tentativa? O acesso estava autorizado?
Por exemplo, uma tentativa de uso fora do contexto permitido pode motivar a revisão das permissões ou uma investigação pela equipe responsável.
Conforme a operação, pode ser necessário relacionar os eventos da plataforma de certificados aos registros das aplicações. Essa análise permite compreender melhor o que ocorreu e quais medidas devem ser adotadas.
O artigo sobre auditoria de certificados digitais aprofunda a organização desses controles.
Quais evidências ajudam a avaliar os controles?
A revisão deve relacionar os controles às informações que a equipe consegue apresentar e verificar para cumprir com a normativa. Veja alguns exemplos abaixo que ajudam nessa organização.
| Pergunta de avaliação | Exemplos de evidências |
|---|---|
| Quais certificados estão sob responsabilidade da instituição? | Inventário atualizado, responsáveis e aplicações dependentes. |
| Quem pode utilizar cada certificado? | Permissões configuradas, aprovações e revisões de acesso. |
| Como as chaves privadas são protegidas? | Controles de custódia, restrições administrativas e tratamento de cópias. |
| É possível investigar uma utilização? | Registros de uso e eventos relacionados nas aplicações. |
| O que acontece após um desligamento? | Retirada de permissões e avaliação de eventuais cópias externas. |
| Como são tratados certificados revogados? | Procedimento de verificação e registros de sua execução. |
Existem exigências adicionais para ambientes como Pix e STR?
Sim. A atualização da política também trouxe controles específicos para a comunicação de dados na Rede do Sistema Financeiro Nacional, incluindo ambientes Pix e STR. Entre eles estão medidas de autenticação, isolamento de ambientes e restrições de acesso de prestadores às chaves privadas.
Por isso, a avaliação dos certificados usados em rotinas administrativas deve ser acompanhada de uma análise própria dos ambientes transacionais, considerando arquitetura, integrações e responsabilidades dos fornecedores.
A implantação de uma plataforma de gestão de certificados precisa ter seu escopo definido: quais certificados, aplicações e controles serão atendidos na operação da instituição.
Como a Redtrust apoia a gestão de certificados no setor financeiro?
A Redtrust permite centralizar certificados digitais e administrar seu uso conforme as permissões definidas pela instituição. Seus recursos ajudam as equipes a organizar acessos, acompanhar utilizações e planejar renovações.
Com a plataforma, é possível:
- Centralizar os certificados, reduzindo a necessidade de distribuir arquivos entre colaboradores.
- Definir permissões por usuário ou perfil, conforme as atividades autorizadas.
- Consultar registros de utilização, apoiando auditorias e investigações.
- Retirar acessos individualmente, conforme mudanças de função ou desligamentos.
- Acompanhar vencimentos, com alertas para apoiar o planejamento da renovação.
Essas funcionalidades apoiam os controles de gestão de certificados. A adequação regulatória também depende dos procedimentos internos, das configurações adotadas e dos demais requisitos aplicáveis à instituição.
Conheça a Redtrust para bancos e instituições financeiras e veja como a solução pode se integrar à sua operação.
Sua empresa já cumpre com a CMN 5.274? Veja como a Redtrust pode ajudar.
Perguntas frequentes sobre CMN 5.274 e certificados digitais
Qual é o prazo de adequação à CMN 5.274?
Para as instituições que já estavam em funcionamento quando a norma entrou em vigor, o prazo foi 1º de março de 2026. Após essa data, a atenção deve se concentrar na manutenção dos controles e na correção de eventuais lacunas.
A CMN 5.274 também se aplica as fintechs?
O enquadramento depende da categoria regulatória e da autorização de funcionamento. A instituição deve verificar se está abrangida pela CMN nº 4.893/2021, alterada pela CMN nº 5.274/2025, ou por outra regulamentação, como a BCB nº 85/2021, atualizada pela BCB nº 538/2025.
Contratar uma plataforma de gestão garante conformidade com a CMN 5.274?
Sim, a plataforma pode apoiar os controles de certificados, mas a adequação depende do conjunto de medidas adotadas pela instituição.
