rodado/pet16704

Fork 0

Files

T

rodado fa0b0cd7d2 chore: add raw ocr corpus for parte1/parte2 (originals/)

2026-09-13 13:53:22 +02:00

125 KiB

Raw Permalink Blame History

Projeto Vertice

Minuta de Relatório Executivo de Due Diligence ("aspectos preliminares DD Cibernética").

17 março 2025 Minuta

Estritamente Privado e Confidencial

Mensagem importante a pessoas não autorizadas a ter acesso a este relatório preliminar

Qualquer pessoa ou organização que não for o destinatário deste relatório ou que não tenha assinado e entregue à PricewaterhouseCoopers Serviços Corporativos & Recovery Ltda. uma Carta de Acesso ao Relatório para um não cliente ou mesmo uma Carta de Assunção de Responsabilidade não está autorizada a acessar este relatório. Caso alguma pessoa ou organização não autorizada obtenha acesso e leia este relatório, essa pessoa ou organização aceita e concorda com os seguintes termos:

O leitor deste relatório entende que o trabalho efetuado pela PricewaterhouseCoopers Serviços Corporativos & Recovery Ltda. foi feito de acordo com instruções dadas pelo destinatário e foi efetuado exclusivamente para benefício e uso deste.
O leitor deste relatório aceita que este foi preparado sob as instruções de nosso cliente destinatário e pode não incluir todos os procedimentos considerados necessários para os propósitos do leitor.
O leitor concorda que a PricewaterhouseCoopers Serviços Corporativos & Recovery Ltda., seus sócios, empregados ou agentes não devem nem aceitam nenhum tipo de responsabilidade em relação ao leitor, seja formal, seja tacitamente (incluindo, mas não se limitando à negligência e à quebra de dever estatutário), tampouco poderá ser responsabilizada por perdas, danos e/ou despesas de qualquer espécie, causadas pelo uso que o leitor fizer deste relatório, ou que seja de outra forma auferida em razão da obtenção pelo leitor do acesso a este relatório. Adicionalmente, o leitor ainda concorda que este relatório não poderá ser citado nem referido, em todo ou em parte, em qualquer prospecto, registro de emissão de títulos, circular de oferta de títulos, registro público, contrato de empréstimo ou financiamento ou outros contratos e documentos, bem como concorda que este relatório não poderá ser distribuído sem a prévia autorização formal (por escrito) da PricewaterhouseCoopers Serviços Corporativos & Recovery Ltda.

Estritamente Privado e Confidencial PwC Projeto Vertice Minuta

17 março 2025

Status da Minuta Nosso trabalho não está completo e, desta forma, esta minuta de relatório ("aspectos preliminares DD Cibernética") pode não

apresentar os resultados ou considerações finais. Os seguintes assuntos apresentados em nossa carta de contratação, ou em qualquer outra forma acordada a serem analisados, permanecem pendentes:

Completar nossos procedimentos de revisão interna;
Recebimento de outras documentações pendentes, listadas no anexo desta minuta;
Acesso aos auditores independentes e revisão dos papéis de trabalho de auditoria relativos ao exercício findo em dez/23 e ao semestre findo em jun/24 do Banco Master e do Will CFI; e
Balancetes contábeis ajustados para dez-24 que reconciliem com o pro-forma.

Como este documento representa trabalho em andamento, nós não assumimos qualquer responsabilidade com relação ao caráter definitivo dessas informações preliminares. Os resultados finais dos nossos Serviços estarão contidos na versão final do nosso relatório

Projeto Vertice Estritamente Privado e Confidencial

17 março 2025

Sr. Paulo Henrique Costa e Sra. Cristiane Bukowitz BRB - Banco De Brasília S.A.

pwc

Centro Empresarial CNC - ST SAUN, Quadra 5, Lote C, Blocos B e C - Brasília -DF CEP 70.091-900

17 de março de 2025 Prezados Senhores: Conforme sua solicitação, efetuamos análises de determinadas informações históricas e de certos dados financeiros, operacionais e outros do

Banco Master S.A. ("Banco Master" ou "BM"), Banco Master de Investimentos S.A. ("BMI"), Banco Master Múltiplo S.A. ("BMM"), Maxinvest Securitizadora de Créditos Financeiros S.A. ("Securatizadora"), Will Holding Financeira Ltda. ("Will Holding"), Will Financeira S.A. Crédito, Financiamento e Investimento ("Will CFI") e Will Produtos Ltda. (Will Produtos), doravante denominadas "Instituições",

exclusivamente com a finalidade de auxiliá-los em seu processo de avaliação das Instituições. De acordo com suas instruções, nossos serviços foram limitados aos procedimentos descritos em nossa carta-proposta de 17 de fevereiro de 2025, detalhados no Anexo 1 deste relatório, e este documento abrange os seguintes entregáveis, também detalhados em referida carta-proposta: - 4.1 Relatório Executivo: Due Dilligence Cibernética As informações relativas às operações, saldos contábeis e procedimentos operacionais e contábeis adotados pelas Instituições, conforme descritas nesta minuta de relatório, foram obtidas por meio de discussões com a administração e certos funcionários das Instituições, e observações e análises efetuadas durante o curso de nossos trabalhos, conduzidos durante o período de 18 de fevereiro à 07 de março de 2025. Nossos trabalhos foram efetuados de acordo com as orientações aplicáveis a serviços de assessoria em transações, conforme estabelecido pelo Comunicado Técnico IBRACON No. 08/2012. Considerando que o escopo de nossos trabalhos não se constituiu em um exame ou uma revisão limitada efetuados de acordo com as normas de auditoria ou um exame de controles internos ou qualquer outro trabalho de atestação ou procedimentos previamente acordados, não emitimos opinião ou qualquer tipo de asseguração sobre as demonstrações financeiras das Instituições, sobre qualquer outra informação ou sobre o desenho ou a efetividade dos sistemas de controles operacionais e internos das Instituições.

Pricewaterhousecoopers Servicos Corporativos & Recovery Ltda

Setor Hoteleiro Sul, Quadra 06, S/N, Conj A, Bloco C, Sala 801, Asa Sul, CEP 70.322- 915, Brasília - DF

Projeto Vertice Estritamente Privado e Confidencial

17 março 2025

pwc

Nosso trabalho foi feito com base em informações fornecidas pela administração das Instituições e na premissa de que essas informações são verdadeiras e completas. Essas informações não foram sujeitas a testes ou verificações, exceto quando expressamente definido no escopo de nossos trabalhos. Não nos responsabilizamos pela natureza, extensão, suficiência ou adequação dos procedimentos por nós aplicados seja para os fins para os quais esta minuta de relatório foi solicitada ou para qualquer outro propósito. A suficiência dos procedimentos por nós aplicados é de exclusiva responsabilidade do BRB - Banco De Brasília S.A., assim como qualquer decisão com relação à transação proposta. Caso tivéssemos sido solicitados a efetuar procedimentos adicionais, outros assuntos poderiam ter sido detectados que teriam sido reportados a V.Sas. Esta minuta de relatório destina-se exclusivamente ao BRB - Banco De Brasília S.A.. Nossa minuta de relatório, ou partes dela, não deve ser discutida com ou distribuída a terceiros que não sejam membros da administração do BRB - Banco De Brasília S.A. ou seus assessores jurídicos nessa transação. Adicionalmente, não deve ser referida ou citada, integralmente ou em parte, em qualquer prospecto, publicação, informação financeira, demonstração financeira, documento de registro ou oferta pública, contratos de empréstimo ou qualquer outro contrato ou documento, sem a nossa expressa aprovação prévia, o que pode requerer que apliquemos procedimentos adicionais. Apreciamos a oportunidade de assessorar V.Sas. em conexão com a sua avaliação das Instituições. Caso necessitem de maiores esclarecimentos acerca das informações contidas nesta minuta de relatório ou outras informações adicionais, teremos prazer em estender nossos trabalhos conforme V.Sas. julgarem necessário. Atenciosamente,

Lindomar Schmoller

[DRAFT]

Projeto Vertice Estritamente Privado e Confidencial

17 março 2025

Entregável 4.1 DD Cibernética

Projeto Vertice PwC

Estritamente Privado e Confidencial 17 março 2025 Minuta 75

Instituição: Will CFI Organograma de Segurança da Informação: O organograma de Segurança

da Informação do Will CFI está subordinado ao CTO e é composto por três áreas primárias:

Cyber

Security Assurance, Security Operations e Security Engineering. A empresa 9Net atua em ITOps Tema: Organização e Arquitetura de Cibersegurança sob a gestão de Cyber Identity. Não há um CISO definido e não foi observada uma matriz RACI

detalhada. A Política de Segurança da Informação não detalha todas as atividades de segurança mencionadas no organograma. .

Descrição Evidências:

A instituição Will CFI possui um organograma das áreas que demonstra a subordinação da Segurança da • Organograma de SI; Informação à função do CTO e demais áreas sob sua responsabilidade. • Política de Segurança da Informação. A instituição possui uma área de Cyber Sec composta por três áreas primárias que integram o organograma da Segurança da Informação:

•	Security Assurance: Composta pelas áreas secundárias Cyber Risks e Cyber Governance, responsáveis por riscos, conformidade, maturidade, continuidade e conscientização.	Organograma
•	Security Operations: Composta pelas áreas secundárias SOC & CSIRT, CloudSec Sec Ops e Cyber Identity, responsáveis por segurança de rede, segurança de cloud, segurança na infraestrutura, governança

de acessos, ferramentas de segurança, monitoramento, resposta a incidentes, threat intelligence, etc. cyber sec

Security Engineering: Composta pelas áreas secundárias Red Team e Sec Engineering, responsáveis por desenvolvimento seguro, segurança de aplicações, testes de intrusão, etc. secumry

(

A área de Segurança da Informação também conta com a atuação de um terceiro (empresa 9Net) na função de ITOps, responsável pela operação, concessão e revogação de acessos a nível de sistemas. Este terceiro está Cyber Risks. Governance e Red Team

[Cyber socacsmr J CloudSec Secops | secEngineering

sob a gestão do "círculo" de Cyber Identity, que integra o pilar de Security Operations. Devido a estrutura da área, não há uma figura de CISO (Chief Information Security Officer) definida. Atualmente, a função de CTO é responsável por todas as áreas descritas acima. A área não possui uma matriz RACI que defina os papéis e responsabilidades em termos de atividades. Entretanto, a empresa considera o detalhamento das áreas na formalização da Política de Segurança da Informação, que, no entanto, não especifica todas as atividades de segurança mencionadas no organograma, nem a função de cada área para essas atividades.

Organograma da área de Segurança da Informação da instituição

Instituição: Will CFI Arquitetura de Segurança da Informação: A Will CFI possui uma arquitetura

de defesa em profundidade que inclui segurança de dados, aplicações, endpoints, rede, perímetro,

Cyber

nuvem, monitoramento e resposta, e governança de segurança. As tecnologias utilizadas incluem Tema: Organização e Arquitetura de Cibersegurança Firewalls, criptografia de disco, SSO, EDR, gestão de vulnerabilidades, SIEM, e segurança em

nuvem, entre outras. .

Descrição

De acordo com as informações fornecidas pela Will CFI, a instituição possui uma arquitetura de defesa em profundidade para apoiar no monitoramento e segurança de seu ambiente, sendo elas

Data Security (DLP e Drive Encryption), Application Security (WAF, Static App Testing, Mobile Security e SSO), Endpoint Security (NGAV/EDR, Patch Management, Vul. Scanning e DLP), Network Security (Firewall, DLP e Vul. Scanning), Perimeter Security (WAF e Firewall), Cloud Security (Security Posture), Monitoring & Response (SOC, CSIRT, SIEM e Threat Intell) e Security Governance (IAM, Security Awareness, Training e Data Protection).

Evidências:

Arquitetura - Pilha de Segurança. Arquitetura

WILL DEFENSE DEPTH

‘CLOUD SECURITY.

As tecnologias que compõem este escopo são: Firewall (Fortinet Fortigate e Cloudflare WAF), RIMETER SECURITY Criptografia de disco (Windows BitLocker e Apple Filevault Encryption), Jumpcloud (IDM SSO), jumpcloud..

TINET A

Github (Repositório seguro de código fonte), DexGuard (Testes de segurança em aplicações), splunk>

Crowdstrike (EDR), Qualys (Gestão de Vulnerabilidades), KnowBe4 (Treinamentos em |

Segurança), Splunk (SIEM), Apura (Pentest em aplicações externas), Nestkope (Plataforma de 3 @

Qualys

soluções de segurança em nuvem) e serviços de segurança na gestão do ambiente AWS (AWS KnewBe4 il, IAM, Amazon GuardDuty, AWS Secrets Manager e Security Hub). LA wo

jumpeloud. @ H

Qualys A netskope

APPLICATION

SECURITY

netskope 3

jumpcloud.

J DATA SECURITY

A netskope splunk>

Arquitetura de segurança da Will CFI, no conceito de Defesa em Profundidade (Defense-in-Depth)

Instituição: Will CFI Conscientização e Treinamento: A área de Cyber Governance do Will CFI realiza

treinamentos obrigatórios de Segurança da Informação via KnowBe4, com provas para avaliar o

Cyber

conhecimento. A média de interação nos treinamentos é de 90%. Além disso, há campanhas de Tema: Organização e Arquitetura de Cibersegurança phishing e pílulas de conhecimento frequentes para conscientização. A instituição possui uma

política específica de Segurança da Informação, mas não apresentou uma política detalhada sobre a execução dos treinamentos até 14/03/2025. .

Descrição Foi informado que a área possui uma política específica com diretrizes para os treinamentos de

segurança da informação, a qual foi solicitada. A Política de Segurança da Informação apresenta Com base nas informações obtidas em reunião com a equipe de Segurança da Informação da Will

os papéis e responsabilidades e demonstra temas relacionados aos treinamentos de segurança. CFI, foi informado que a área de Cyber Governance é responsável pelos treinamentos focados em Segurança da Informação. Esses treinamentos são obrigatórios e realizados através da plataforma A política de treinamento em segurança da informação foi solicitada. Entretanto, até o momento da KnowBe4, onde os colaboradores completam os cursos. Em alguns casos, é necessário realizar conclusão deste relatório, o documento não foi recebido para análise. uma prova ao final de cada treinamento para avaliar o conhecimento adquirido. O desempenho é

Evidências:

monitorado na própria plataforma, e os últimos indicadores mostram que a média de interação com

os treinamentos está em torno de 90% do público geral da instituição.	•	Política de Segurança da Informação;
Além dos treinamentos, conforme informado pela Will CFI, a instituição possui um programa de conscientização que abrange as seguintes ações:	•	Evidência dos treinamentos na plataforma KnowBe4 e as métricas de conclusão.

Campanhas de Phishing: De acordo com as informações obtidas em reunião com a área de Sens on 97%
@

0812024

Segurança da Informação, foi informado que há a realização de testes de phishing ao longo do ano, com o objetivo de orientar colaboradores como se portarem contra um phishing; Todos page

= 99%

os 2

CR. Fundamentos da

Pílulas de conhecimento: São realizadas comunicações frequentes e alertas orientativos aos @ funcionários da Will CFI referente ao tema de Segurança da Informação nos principais canais de comunicação da instituição, como e-mail e Slack. A área traz dicas e cuidados no dia a dia em relação a segurança de dispositivos, acessos e demais temas. 2 Pi.

C2. Fundamentos da sequranca cloernétca: Documentos sequos

[oid 2. de -

SGON 10 motes

2+ CR para para sore SGN (Parte whers

Treinamentos de Segurança da Informação na plataforma KnowBe4, com assuntos, público alvo e percentual de realização do treinamento

Instituição: Will CFI Cyber Tema: Organização e Arquitetura de Cibersegurança

Descrição

De acordo com as informações obtidas durante a reunião com a área de Segurança da Informação, foi informado que as documentações de Segurança da Informação são gerenciadas pela equipe de Cyber Governance. Conforme a Política de Gestão de Documentos, todas as documentações devem passar pela revisão do gestor da área responsável. Documentos de nível de política e regulatórios também precisam da análise e aprovação da área de Compliance. Após esse processo, as documentações são publicadas no sistema de documentos da instituição. Durante as análises realizadas pela PwC, foram fornecidas as seguintes documentações:

Procedimento de Resposta a Incidentes- tem como objetivo estabelecer e organizar recursos, ações e procedimentos necessários para reconhecer e responder um incidente de segurança cibernética.
Política de Classificação da Informação- tem como objetivo estabelecer diretrizes para classificar os dados e informações da instituição de acordo com sua importância e criticidade à operação.
Política de Segurança da Informação - visa criar padrões e controles de Segurança e boas práticas a serem adotadas, e reduzir a possibilidade de falhas, danos e/ou prejuízos que possam comprometer a confidencialidade, integridade e disponibilidade das informações.
Política de Gestão de Incidentes - visa traçar as diretrizes para o gerenciamento de incidentes e para a retomada da operação normal do ambiente tecnológico da Will CFI.
Política de Gestão de Ativos - tem como objetivo garantir a visibilidade e responsabilidade sobre os ativos de TI da instituição.
Plano de Resposta a Incidentes de Segurança da Informação - tem como objetivo definir as etapas necessárias para responder um incidente de segurança da informação na instituição.

Projeto Vertice PwC

Política de Segurança da Informação: A área de Cyber Governance do Will CFI

gerencia as documentações de Segurança da Informação, que passam por revisão e aprovação do gestor responsável e da área de Compliance. As documentações incluem políticas e procedimentos para resposta a incidentes, classificação da informação, segurança da informação, gestão de incidentes, gestão de ativos, continuidade de negócios, avaliação de fornecedores, gestão de vulnerabilidades e gestão de acessos. A Política de Gestão de Documentos exige revisões anuais, entretanto foram observadas documentações com o prazo de revisão expirado. .

Política de Continuidade de Negócios - estabelece diretrizes para garantir a continuidade de negócios em casos de interrupções parciais ou totais.
Procedimento de Avaliação de Fornecedores - determina diretrizes para classificação e avaliação de fornecedores e prestadores de serviço relevantes.
Procedimento de Gestão de Vulnerabilidades - apresentação de diretrizes necessárias para cumprimento de todas as etapas do processo de gestão de vulnerabilidades.
Procedimento de Gestão de Acessos - visa estabelecer e monitorar controles no processo e monitoramento da gestão de acesso na instituição Nestas políticas constam controles e procedimentos que visam criar rotinas e proteger a segurança das informações, diretrizes e responsabilidades da equipe de Segurança da Informação. A Política de Gestão de Documentos da instituição determina que toda documentação seja revisada no mínimo anualmente ou conforme determinado por legislação vigente. Observou-se, entretanto, que a Política de Classificação da Informação, a Política de Gestão de Ativos, o Procedimento de Avaliação de Fornecedores e o Procedimento de Gestão de Documentos encontram-se com o prazo de revisão expirado. As demais documentações apresentam conformidade com os prazos de revisão definidos em política.

Evidências:

Política de Continuidade de Negócios
Procedimento de Resposta a Incidentes
Política de Classificação da Informação
Política de Segurança da Informação
Política de Gestão de Incidentes
Política de Gestão de Ativos

Estritamente Privado e Confidencial Minuta

Plano de Resposta a Incidentes
Procedimento de Avaliação de Fornecedores
Procedimento de Gestão de Documentos
Procedimento de Gestão de Acessos
Procedimento de Gestão de Vulnerabilidades

17 março 2025

Instituição: Will CFI Cyber Tema: Resiliência Cibernética

Descrição

De acordo com a documentação fornecida, a Will CFI possui um procedimento que trata o processo de gestão de incidentes em 7 macro fases:

Registro do incidente e triagem - trata a respeito da identificação do incidente e da análise preliminar com a coleta de informações iniciais;
Classificação do incidente - onde os incidentes são classificados de acordo com a metodologia adotada pela instituição, as quais podem ser: incidentes de tecnologia (relacionados a mal funcionamento de ativos) e incidentes de segurança (relacionados a violação dos princípios de integridade, confidencialidade e disponibilidade da informação e que causam interrupções de sistemas);
Definição de Criticidade do incidente - onde são classificados como Critico, Alto, Médio ou Baixo;
Definição da situação do incidente - relacionados a atividades de acompanhamento da evolução do incidente e de suas atividades de resposta;
Preservação de evidências do incidente de segurança - onde são requeridas tomadas de ação em relação ao isolamento do ativo afetado e da guarda de evidências de todos os artefatos coletados e atividades realizadas, que possam ser utilizados para definição de cadeia de custódia;
Mitigação do incidente - que envolve as atividades de preparação, detecção, contenção, notificação, investigação, erradicação, recuperação e avaliação da causa raiz e
Encerramento do incidente - para formalizar seu encerramento e levantar as lições aprendidas. A instituição passou a registrar seus incidentes, de forma centralizada, a partir do ano de 2023, pela ferramenta Freshservice.

Resposta a Incidentes Cibernéticos: O Will CFI possui um procedimento de

resposta a incidentes em sete fases: registro e triagem, classificação, definição de criticidade, definição da situação, preservação de evidências, mitigação e encerramento. A gestão centralizada dos incidentes é feita pelo time de SOC & CSIRT, utilizando as ferramentas Freshservice e IncidentIO integradas ao Slack. A equipe de SOC & CSIRT gerencia todas as etapas e possui playbooks documentados e um procedimento de forense digital para investigação e armazenamento de evidências. . Atualmente, a equipe de segurança da informação centraliza seus chamados através da ferramenta IncidentIO, que possui integração com o Slack para centralizar todas as tratativas de incidentes relacionados à segurança da informação. Os canais de comunicação abertos no Slack são acessíveis somente pelos pontos focais na resolução do incidente, são encerrados e arquivados assim que a resposta ao incidente é concluída. Todo o processo de resposta de incidentes é gerenciado pela equipe de SOC & CSIRT do Will CFI, responsável por todas as etapas da resposta e gerenciamento das tratativas dos incidentes, desde a triagem até o encerramento; esta equipe também deve acionar demais envolvidos que atuarão com a área de segurança da informação, para resolução do incidente. A área de SOC & CSIRT, responsável pelo processo, possui playbooks documentados para análise dos incidentes, assim como os casos de uso que são configurados na ferramenta de correlacionamento de eventos (SIEM Splunk). Também foi informado que, para corroborar o procedimento de resposta a incidentes, a área possui um procedimento para forense digital, nos casos em que se identifique necessário a investigação e armazenamento de evidências. O documento recebido pela instituição corrobora este entendimento, mas o mesmo limita-se à diretrizes sobre os cenários em que a forense digital deve ser acionada, e quais os objetivos da mesma. Entretanto, não há detalhamento das atividades realizadas pela área de SOC & CSIRT para identificação resolução de incidentes. Conforme informado pela instituição, não houveram incidentes críticos no ambiente da Will CFI considerando os anos de 2022, 2023 e 2024 solicitados para análise.

Evidências:

Procedimento de Resposta a Incidentes
Playbooks desenvolvidos para resposta a incidentes (print do repositório apresentado em reunião)
Plano de forense digital

Instituição: Will CFI Monitoramento de Segurança: A Will CFI possui um serviço de SOC 5x2,

gerenciado pela área de SOC & CSIRT, que monitora incidentes e alertas de segurança. A equipe

Cyber

de SOC & CSIRT recebe, analisa e classifica os incidentes, utilizando playbooks orientativos, e Tema: Resiliência Cibernética determina a criticidade antes de encaminhá-los ao segundo nível para tratamento. Todos os

incidentes são formalizados em ferramentas como Freshservice e IncidentIO. O tempo de resposta depende da situação, gravidade e disponibilidade de recursos.

Descrição		Evidências:
De acordo com as informações fornecidas pela instituição, a Will CFI dispõe de um serviço de SOC 5x2, gerenciado pela área de SOC & CSIRT, responsável pelo monitoramento de incidentes e	•	Procedimento de Gestão de Incidentes
alertas de segurança. A equipe conta com ferramentas de automação em suas camadas de	•	Evidência dos playbooks e casos de uso desenvolvidos pelo time de SOC & CSIRT
proteção para contenção de incidentes que funcionam 24x7 no ambiente. Como o regime de trabalho atual dos analistas é de segunda à sexta-feira no horário comercial, a equipe do SOC é	Conflu	+ Eaupes Ape

Advanced Response, sutorzado

responsável por analisar e responder os incidentes que foram identificados fora do expediente @ Mrioring, Operations, an. apenas no próximo dia útil (segunda-feira). É válido ressaltar que este formato de monitoramento ®

Acesso nao autorizado

está em discussão para migração de 24x7, sem uma data definida ainda.

oD A área de SOC & CSIRT recebe e analisa os registros de incidentes de Segurança da Informação

relatados pelos usuários ou pela área responsável pelo sistema. Incidentes também podem ser

sumArio

identificados por alertas gerados pela ferramenta de SIEM e monitorados pelo time de SOC &

CSIRT.

Quando Utizar

das

Resumo etapas,

A equipe de resposta ao incidente de primeiro nível classifica os incidentes utilizando playbooks

® - 2

orientativos para análise das informações e evidências. A criticidade é determinada com base nas N86 Autorizado

500 de Sequranca

informações analisadas, e o incidente é encaminhado ao segundo nível, responsável pelo a

tratamento efetivo do incidente e pela convocação das demais áreas conforme necessário, de acordo com a etapa do ciclo de resposta ao incidente. Todos os incidentes são formalizados em ferramenta de chamado (Freshservice/IncidentIO). or

£3 incidents etpas

Pés

Conforme o Procedimento de Gestão de Incidentes, o período previsto para resolução dependerá da

Documentos

situação, gravidade e disponibilidade de recursos.

Repositório de documentos da instituição, onde são publicados os playbooks para as atividades de monitoramento

Instituição: Will CFI Plano de Recuperação: Os dados da Will CFI são armazenados em nuvem usando

Amazon RDS, com backups gerenciados via terraform e retenção de 7 dias. Backups dos clusters

Cyber

Kubernetes são feitos com velero, mantendo o SLO dentro do esperado. Não há procedimento Tema: Resiliência Cibernética formalizado para testes de restore dos dados. A Política de Continuidade de Negócios detalha

diretrizes gerais, mas não define detalhes técnicos como RPO e RTO.

Descrição

Conforme informações da área de Segurança da Informação da Will CFI, os dados são armazenados na nuvem utilizando o serviço de banco de dados relacionais da AWS (Amazon RDS), com backups gerenciados por Infraestrutura como Código (IaC) através da solução Terraform. Evidências confirmam a existência de scripts para realizar backups dos bancos de dados com retenção de 7 dias, normalmente entre 6 e 7 horas da manhã. Foram apresentadas evidências das configurações de backup dos clusters Kubernetes onde os bancos de dados são hospedados. O backup do cluster é gerenciado pela solução Velero, de acordo com as evidências apresentadas, observou-se que a ferramenta considera um SLO (Service Level Objective) com tempo máximo de 1h40min. Com isso, verificou-se que, na janela de 1 semana apresentada, o backup foi realizado dentro do nível de serviço esperado.

Tempo satisfatório para isolar a máquina infectada;
Atraso no bloqueio da credencial afetada;
Atraso na identificação da extensão do ataque;
Bloqueio de demais usuários afetados realizados gradualmente, não há atualmente

solução que automatize este procedimento;

Exposição do Google Drive devido à indisponibilidade por um longo período do Google

Workspace;

Tempo satisfatório de acionamento da liderança para atuação no incidente;
Ausência de comunicação com o controlador da ocorrência do incidente (Banco Master).

Apesar da instituição informar executar estes procedimentos de realização de backup, não foi informado a existência de procedimentos para testes de restauração dos dados. Além disso, a instituição não possui um procedimento documentado com diretrizes para execução backup e teste de restauração de dados.

Evidências:

•Política de Continuidade de Negócios

•Evidência das configurações no banco de dados RDS e nos clusters EKS. A análise da Política de Continuidade de Negócios revelou que o documento detalha diretrizes gerais para a construção dos planos de continuidade operacional, recuperação de desastres e testes de continuidade de negócios. No entanto, não define detalhes técnicos do processo, como a relação de sistemas abordados, pontos de recuperação (RPO) e tempo de recuperação (RTO) dos dados.

A Will CFI também compartilhou o relatório do simulado de continuidade de negócios considerando um incidente de ransomware, realizado em novembro de 2024. No simulado, foram envolvidas as áreas de segurança da informação (Cyber Risks, SOC & CSIRT, SecOps, CloudSec, Cyber Identity) além das áreas do Jurídico, Comunicação Interna e Externa e Compliance. O simulado durou cerca de 2 horas, sendo as principais observações:

Projeto Vertice PwC

Estritamente Privado e Confidencial Minuta

17 março 2025

Política de Backup configurada no Terraform, com retenção de 7 dias e janela

de 06:00 às 07:00

Instituição: Will CFI Gestão de Acesso e Identidade: As solicitações de acesso na Will CFI são feitas via

Freshservice, aprovadas por gestores e "owners" de sistemas. O RH compartilha dados de novos

Cyber

colaboradores para criação de usuários e acessos. A revisão de acessos ocorre anualmente ou após Tema: Gestão de Acessos mudanças na estrutura de cargos. Senhas devem ser trocadas a cada 180 dias, com requisitos

específicos. A gestão de acessos privilegiados é feita pelo cofre de senhas Teleport, e o uso de MFA é reforçado para segurança adicional.

Descrição

De acordo com as informações fornecidas pela instituição, foi identificado um processo de gestão de acessos e identidade em que as solicitações de acesso devem ser realizadas via sistema/chamado na ferramenta de Service Desk (Fresh Service) e submetidas à aprovação dos gestores dos solicitantes. Quando aplicável, o "Owner" do sistema e/ou do perfil solicitado também deve aprovar. Para as solicitações iniciais, o gestor do colaborador deve registrar a solicitação dos acessos devidos e posteriormente, os demais acessos devem ser solicitados pelo o próprio usuário, sendo necessária a aprovação do seu gestor. Quando há o ingresso de um novo colaborador, o RH compartilha os dados com a Segurança da Informação e ITOps, que são responsáveis por validar as solicitações e criar o usuário e os acessos básicos, respectivamente. Para sistemas e diretórios, os acessos são concedidos via SSO quando há integração habilitada. Quando não há integração disponível, os acessos devem ser provisionados manualmente em cada sistema. A atividade de provisionar os acessos é realizada, após as devidas aprovações, pela área de ITOps. A instituição apresentou o mapa de integração dos sistemas, listando um total de 90 sistemas mapeados, dos quais apenas 18 estão integrados ao JumpCloud SSO. Além disso, 5 sistemas não estão integrados devido à incompatibilidade ou previsão de descontinuidade da solução na instituição. Os demais sistemas estão em avaliação de compatibilidade/viabilidade. As diretrizes de gestão de acessos são aplicáveis também para as contas de usuários terceiros, com a observação de que o gestor contratante deve ser o responsável por realizar a solicitação de criação e revogação de acesso. Caso o terceiro não utilize um ativo gerenciado pela Will CFI, deve ser configurada uma VPN S2S (site-to-site) para que ele possa acessar o ambiente da instituição, sendo concedidos apenas os acessos necessários para a execução de suas atividades. Em casos de transferência de áreas ou alterações de cargos, os acessos anteriores devem ser revogados mediante comunicação do RH à equipe de Segurança da Informação; o usuário deve registrar um novo chamado para solicitar os novos acessos.

Projeto Vertice PwC

A periodicidade máxima para troca das senhas de conta de usuário é de 180 dias, mantendo-se o histórico das últimas 6 senhas e tendo como requisito ao menos uma letra minúscula, uma letra maiúscula, números e caracteres especiais. A política recomenda evitar o uso de palavras conhecidas e informações pessoais na senha, como datas de aniversário, nome, sobrenome, entre outros dados. A revisão deve ocorrer anualmente ou sempre que houver mudanças significativas na estrutura de cargos da instituição. O RH deve encaminhar a lista de colaboradores ativos para que a área de Segurança da Informação revise os acessos ativos nos sistemas. Se forem identificadas irregularidades, o gestor do colaborador deve ser acionado para justificar os acessos de colaboradores sob sua gestão e, se necessário, os acessos devem ser revogados. Não foram identificadas matrizes de riscos de acessos (SOD - Segregação de Funções e SAT - Acessos Críticos) nesta etapa de revisão dos acessos. A revogação dos acessos ocorre com o desligamento do colaborador ou encerramento do contrato do terceiro, no qual a área de RH (ou o gestor responsável pelo contrato, no caso de terceiros) notifica a Segurança da Informação para que os bloqueios sejam realizados. A área de ITOps realiza o bloqueio dos acessos via SSO para os sistemas que possuem integração e individual e manualmente, para os sistemas não integrados. Para gestão dos acessos privilegiados, é utilizado o cofre de senhas Teleport, atualmente implementado para gerenciar os acessos privilegiados aos bancos de dados e clusters EKS. Em relatório extraído do Teleport, observa-se que os acessos são concedidos primariamente aos bancos de dados Amazon RDS, com outros acessos pontuais ao Kubernetes e ao banco de dados via SSH. A instituição também utiliza MFA como fator adicional de segurança ao acessar o ambiente e sistemas da Will CFI. A solução de MFA é a mesma da ferramenta de SSO (JumpCloud), e todos os sistemas integrados possuem a exigibilidade do MFA habilitada automaticamente.

Evidências:

Procedimento de Gestão de Acesso
Evidência dos acessos realizados via Teleport

Estritamente Privado e Confidencial 17 março 2025 Minuta

Instituição: Will CFI Gestão de Acesso Físico: A gestão de acesso físico na sede da Will CFI em Pinheiros, São

Paulo, é gerenciada pela área de Facilities do condomínio, utilizando reconhecimento facial e biometria.

Cyber

Colaboradores e terceiros cadastrados têm acesso liberado sem revalidação. Visitantes e terceiros não Tema: Gestão de Acessos cadastrados precisam passar pelo processo de cadastro e biometria, com acesso limitado a um dia. Não

há procedimento formalizado para a gestão de acessos físicos, e informações sobre o coworking em Vitória (ES) são limitadas. .

Descrição

Conforme informado pela instituição, a gestão de acesso físico é realizada pela área de Facilities do condomínio, sede em Pinheiros, São Paulo. O cadastro biométrico deve ser efetuado na recepção, onde é capturada uma foto para habilitar o reconhecimento facial. Este cadastro é necessário para a liberação de entrada no andar da Will CFI.

A recepção predial mantém uma lista de todos os colaboradores e terceiros autorizados a acessar o ambiente sem revalidação, uma vez que seus acessos já foram validados. Para visitantes ou terceiros não cadastrados, é necessário passar pelo processo de cadastro e biometria mencionado anteriormente. Nestes casos, o acesso é liberado apenas por tempo determinado no dia, permitindo uma única entrada e saída, sem possibilidade de retorno após a saída do prédio. Foi informado durante a reunião que a instituição utiliza um ambiente de coworking em Vitória (ES); no entanto, não foram coletadas informações adicionais sobre a gestão de acessos físicos nesse local. Atualmente, não há um procedimento formalizado com diretrizes de segurança para os acessos físicos da instituição.

Evidências:

Não há evidências disponibilizadas para o processo de gestão de acesso físico, foi solicitada a Política de Acesso Físico.

Instituição: Will CFI Cyber Tema: Gestão de Vulnerabilidades e Patches

Descrição

De acordo com as informações fornecidas pela instituição, as vulnerabilidades podem ser identificadas por meio de notificações de relatórios do AWS Spectro e comunicadas ao time de Cyber Governance. Além disso, podem ser detectadas através de incidentes identificados pelo time de SOC & CSIRT, onde uma vulnerabilidade tenha sido explorada, ou pelos resultados dos processos de pentest realizados pela área de Red Team, que podem ser solicitados sob demanda pelas áreas de negócio responsáveis pelas aplicações ou pelo time de gestão de riscos. A avaliação externa de vulnerabilidades também é realizada por meio de feeds de inteligência de ameaças e relatórios de pentest executados por parceiros independentes nas aplicações expostas.

Todos esses inputs são centralizados na área de Segurança da Informação que, por meio de sua área secundária Cyber Governance, identifica essas vulnerabilidades e as transforma em riscos cibernéticos, que são acompanhados, em conjunto com os responsáveis pelos ativos, para correção.

Anualmente, a área de Segurança da Informação elabora um roadmap com todas as áreas de negócio para levantamento de informações consideradas na análise de impacto no negócio da Will CFI. Após essa análise, se identificada a necessidade de realizar um pentest, a equipe solicita a execução à equipe de Red Team. O acompanhamento da resolução dos riscos é realizado mensalmente na reunião de auditoria Willsafe, envolvendo todas as gerências e diretorias das áreas, para discussão e definição de planos de ação para mitigação dos riscos cibernéticos. Conforme documentado no procedimento de gestão de vulnerabilidades, a priorização das vulnerabilidades é realizada utilizando-se da metodologia CVSS (Common Vulnerability Scoring System).

Gestão de Vulnerabilidades: As vulnerabilidades na Will CFI são identificadas por

relatórios do AWS Spectro, incidentes do SOC & CSIRT, pentests do Red Team, e avaliações externas. A área de Cyber Governance centraliza essas informações, transformando-as em riscos cibernéticos no entanto, na matriz não apresenta o prazo de correção. Anualmente, a Segurança da Informação realiza um roadmap com as áreas de negócio para análise de impacto. A resolução dos riscos é acompanhada mensalmente na reunião de auditoria Willsafe, envolvendo gerências e diretorias. . As ações de correção de vulnerabilidades identificadas são classificadas em (1) remediação ou (2) mitigação. Preferencialmente, a correção de uma vulnerabilidade deve ser feita através de um procedimento de remediação (ex.: implementação de patch de segurança), quando não for possível, as estratégias de mitigação devem ser adotadas até que uma solução de remediação seja identificada (ex.: implementação de camadas adicionais.de monitoramento do ativo) .

Evidências:

•Procedimento de Gestão de Vulnerabilidades

Reportar

7 \dentificar

Melhorar

A Vulnerabilidades

Re-aallar

Nem Remediar/

Etapas do Ciclo de Gestão de Vulnerabilidades implementado na Will CFI

Instituição: Will CFI Gestão de Patches: A instalação de patches é identificada através da gestão de

vulnerabilidades, acompanhada pela área de Cyber Risks. Não há procedimentos definidos para teste,

Cyber

homologação, monitoramento da eficácia ou planos de rollback dos patches. A instituição também não Tema: Gestão de Vulnerabilidades e Patches possui um processo formalizado de Gestão de Mudanças. A implementação de patches é

responsabilidade da área do ativo, acompanhada por Cyber Risks e Cyber Governance.

Descrição Evidências:

De acordo com as informações fornecidas pela instituição, não há formalizado um processo de •Procedimento de Gestão de Vulnerabilidades gestão de patches. As vulnerabilidades cuja correção seja realizada pela implementação de patch

•Procedimento de Gerenciamento de Riscos, Continuidade e Privacidade de segurança se tornam apontamentos de risco dentro do processo de gestão de riscos cibernéticos. Neste modelo executado pela instituição, não há um procedimento definido para teste e homologação de patches antes de sua implementação no ambiente de produção. Não foi reportado também a existência de um procedimento de gestão de mudanças que venham suportar a implementação de patches de segurança no ambiente da Will CFI, formalizando a aprovação de alçadas competentes para implementação dos patches, assim como a definição de procedimentos pós-implementação e de possíveis planos de rollback para serem executados nos casos em que a implementação de um patch malsucedida possa ocasionar erros ou problemas no ambiente de produção.

Como não há formalizado um processo de gestão de mudanças na instituição, cada responsável por um ou mais ativos possui o dever de implementar os patches de segurança, sendo realizado um acompanhamento diário pela área de Segurança da Informação (através da sub área de Cyber Risks), que deverá monitorar e orientar os responsáveis dos ativos acerca da implementação dos patches. A depender da criticidade, de acordo com o Procedimento de Gerenciamento de Riscos, Continuidade e Privacidade, os planos de ação para correção das vulnerabilidades, assim como a frequência do acompanhamento, devem ser maiores à medida que a criticidade da vulnerabilidade a ser corrigida pelo patch aumente. Entretanto, no referido procedimento, não foram definidas quais as frequências de acompanhamento e prazos para implementação dos planos de ação, considerando que a classificação de vulnerabilidades é definida entre baixo, médio, alto e muito alto. Além disso, também existe um acompanhamento mensal destes riscos, realizado pela área de Controles Internos, nas reuniões de comitê de auditoria (Willsafe), onde o cenário de riscos é apresentado e os planos de ação, revisitados, junto com os donos dos ativos, a área de Segurança da Informação e a área de Controles Internos.

Instituição: Will CFI Gestão de Segurança em Terceiros: A gestão de terceiros na Will CFI é realizada

pela área de Procurement, com avaliações específicas de Segurança da Informação. O processo de

Cyber

contratação é centralizado na ferramenta Netlex, onde fornecedores respondem a um formulário de Tema: Gestão de Terceiros segurança e privacidade. A classificação dos fornecedores é baseada em conformidade com

controles solicitados, com revisões periódicas. Riscos altos resultam em auditorias semestrais e planos de ação. .

Descrição

Com base nas informações fornecidas pela instituição, a Gestão de Terceiros é atualmente realizada pela área de Procurement. Existe um processo de avaliação do fornecedor que considera aspectos de segurança antes da contratação. Em determinada etapa do processo de avaliação, é solicitada a avaliação específica de algumas áreas de negócio dentro do Will CFI, incluindo a área de Segurança da Informação. Todo o processo de contratação do fornecedor é centralizado através da ferramenta Netlex, onde todas as aprovações, inclusive da área de Segurança da Informação, são formalizadas. Para a avaliação de segurança, a área homônima da instituição encaminha um formulário ao fornecedor, solicitando que este responda e encaminhe as evidências sinalizadas para avaliação. O formulário é dividido em quatro etapas: orientações gerais, informações gerais sobre o fornecedor, questionário de privacidade e segurança, e questionário de acessos. O questionário de privacidade e segurança aborda 70 questões sobre privacidade, padrões e regulamentações, incidentes, criptografia, continuidade de negócios, administração e gestão de credenciais, controle de segurança física, vulnerabilidade e hardening, segurança em aplicações, governança de dados e conformidade. A avaliação de acessos é detalhada em 32 questões sobre as funcionalidades de acesso do sistema a ser contratado, como granularidade de perfis, possibilidade de integração com JumpCloud (SSO da Will CFI) ou Google Workspace, e compatibilidade com recursos de MFA, entre outras. Com o formulário preenchido, é feito um cálculo considerando os controles existentes e ausentes apresentados pelo fornecedor, para determinar sua classificação conforme os critérios da instituição. A tabela de classificação de fornecedores é definida da seguinte forma:

Baixo: até 15% de não conformidade com os controles solicitados, com revisão dos riscos a cada 24 meses.
Médio: de 16% a 63% de não conformidade, com revisão dos riscos a cada 18 meses.
Alto: de 64% a 79% de não conformidade, com revisão dos riscos a cada 14 meses.
Muito Alto: acima de 80% de não conformidade, com revisão dos riscos a cada 12 meses. Quando a área de Segurança da Informação identifica um risco considerado alto, além da avaliação de risco, realiza uma auditoria semestral no fornecedor, onde um plano de ação é desenhado e a instituição acompanha a aderência do fornecedor a este plano. Para fornecedores classificados como "Muito Alto", além da avaliação de riscos e auditoria trimestral, a área de Segurança da Informação recomenda, por padrão, a não contratação. Caso a área deseje seguir com a contratação, a Segurança da Informação solicitará aprovação da Diretoria responsável e, se aprovada, os riscos identificados serão publicados na página de Cyber Risks da instituição para acompanhamento da alta direção. O resultado é formalizado em um relatório, que inclui uma descrição geral do fornecedor, avaliação sobre fornecedor relevante (de acordo com as resoluções 85 e 4893 do BACEN), necessidade de conceder acessos ao ambiente da Will CFI, realização de procedimentos de desenvolvimento, transferência internacional de dados pelo fornecedor, classificação geral do score de risco e recomendações da área de segurança acerca da contratação.

Evidências:

•Procedimento de Avaliação de Fornecedores •Questionário de Avaliação de Fornecedores •Formulário de Avaliação de Fornecedores

Instituição: Will CFI Avaliação de Maturidade de Segurança: Em 2024, a Will CFI realizou uma

avaliação de maturidade de Segurança da Informação usando o framework ISO 27001, gerenciada

Cyber

pela área de Cyber Governance. Os resultados variaram de 0 a 1, com projeções de melhoria para Tema: Avaliação de Maturidade de Segurança 2025. A avaliação gerou planos de ação com 111 controles mapeados, acompanhados pela área de

Segurança Cibernética. Não há processo formalizado para essas avaliações, nem periodicidade definida para futuras avaliações. .

Descrição Conforme informado em reunião, e apresentado como evidência pela instituição, estas avaliações

se desdobraram em planos de ação, elaborados em conjunto com cada área de negócio Com base nas informações fornecidas pela empresa, foi realizado em 2024 uma avaliação de

responsável pela implementação, com 111 controles mapeados e que são constantemente maturidade utilizando os controles previstos no framework ISO 27001, realizado pelo próprio time

avaliados e acompanhados pela área de Segurança Cibernética, mais precisamente pela sub área de Segurança da Informação, gerenciado pela área secundária de Cyber Governance. Foi

de Cyber Governance. informado que a avaliação considerou o percentual de aderência do controle, variando entre 0 (controle não implementado) a 1 (controle totalmente aderente às diretrizes do framework). O Não há um processo formalizado sobre a realização de avaliação de maturidade de segurança da resultado do nível de maturidade da Will CIF em relação à Segurança da Informação, informação. considerando o ano de 2024, foram os seguintes:

Não foi informado sobre a periodicidade que a área de segurança da informação pretende realizar avaliações de maturidade do ambiente de TI e Segurança da Informação e Cibernética da

Domi	Maturidade 2024 Maturidade 2025 (projetada)	instituição.
Conscientizagao	1	1 Evidências:
Detecgéo e Resposta	0,82	0,95 •Evidência dos gráficos de avaliação de maturidade as-is (2024) e to-be (2025);
Protecédo de Ativos	0,85	0,94 •Evidência do relatório de controles e planos de ação mapeados para elevação da maturidade de

Seguranca de Redes Seguranca de Cloud	0,73 0,71	0,9 0,9
Governanga	0,74	0,85
Gestao de Vulnerabilidades	0,71	0,85
Controle de Acesso	0,58	0,8
de Dados	0,64	0,8
Seguranca Fisica	0,71	0,75
Continuidade de Negdcios	0,6	0,75
Seguranca de Aplicativos e Desenvolvimento Média	0,5 0,72	0,7 0,85

Instituição: Will CFI Auditoria de Segurança da Informação: A Will CFI passou por auditorias

internas e externas, com deficiências identificadas pela Deloitte em 2022, 2023 e 2024. As

Cyber

deficiências incluíram ausência de revogação de acessos, credenciais inadequadas, falta de gestão Tema: Riscos e Auditoria de patches e segregação de funções. Em resposta, a administração implementou soluções como

SailPoint, Teleport, e AWS Patch Manager, e reforçou controles de acesso e segurança. Não há processos formalizados de gestão de mudanças e patches documentados.

Descrição

De acordo com as informações fornecidas pela instituição, a Will CFI passou por avaliações de auditoria interna, que não geraram entregáveis, pois foram tratadas como riscos e gerenciadas pelo processo de Gestão de Riscos da instituição. Em relação à auditoria externa, foram apresentadas as informações referentes às auditorias de 2022, 2023 e 2024, realizadas pela Deloitte, onde as seguintes deficiências foram identificadas:

Relatório 2022

o Ausência de revogação nos Payware por transferência interna de funcionários;
o Acesso privilegiado indevido ao sistema Avista;

o Credenciais genéricas que não atendiam às políticas de senha no banco de dados;

o Ausência de procedimento de gerenciamento de mudanças.

Relatório 2023

o Ausência de processo formal de gestão de patches para os bancos de dados;
o Recorrência das deficiências identificadas no ano anterior.

Relatório 2024

o Ausência de segregação de funções nos sistemas Avista e Evoluwill;
o Recorrência das deficiências relacionadas ao parâmetro de senhas e ao processo de gestão

de mudanças no banco de dados. Em resposta aos pontos identificados em 2023, a administração do Will CFI informou que estava prevista para o fim de 2024 a implementação da solução IDM (SailPoint), integrada com o sistema de RH (LG), para mitigar os riscos de acessos indevidos por transferência ou desligamento de colaboradores.

Também foi informada a intenção de descontinuar o sistema Avista, onde o acesso privilegiado indevido foi identificado, até o fim de 2025. A administração informou que os acessos seriam revisados e que o sistema seria substituído pelo Evoluwill dentro do prazo estipulado. Em relação aos acessos indevidos no banco de dados, a administração informou que implementou a solução de PAM (Teleport), que possui integração com o SSO da instituição, garantindo acessos nominais e conformidade com as políticas de senha. Para formalizar a gestão de patches na instituição, a administração informou ter implementado a solução AWS Patch Manager, iniciando sua aplicação a nível de sistema operacional e expandindo gradualmente para outros patches, com previsão de total implementação até o fim de 2025. Nos apontamentos levantados no relatório de 2024, a administração reforçou seu compromisso na revisão dos acessos e mitigação das ausências de segregação de funções identificadas nos sistemas Avista e Evoluwill. Além disso, reforçou o controle quanto aos acessos privilegiados no banco de dados com contas genéricas e sem conformidade com as políticas de senha implementadas, informando que, além dos controles mencionados no período anterior, passou a exigir o acesso ao banco de dados via VPN, adicionando a camada de MFA para realização do acesso. Por fim, para corroborar com a gestão de patches, a administração reafirmou seu compromisso com a implementação da solução AWS Patch Manager para gestão de patches nos ativos da instituição. Conforme informado no processo de gestão de vulnerabilidades, não foi identificado um processo formal de gestão de mudanças e gestão de patches documentado e publicado que possa suportar este processo em implementação.

Evidências:

•Relatório de auditoria 2022 •Relatório de auditoria 2023 •Relatório de auditoria 2024 •Matriz de acompanhamento dos planos de ação

Instituição: Will CFI	Gestão de Riscos Cibernéticos (1 de 2): A Will CFI possui um processo de
Cyber	gestão de riscos integrado a outros processos de segurança, categorizando riscos por
Tema: Riscos e Auditoria	probabilidade e impacto. Os riscos são classificados como Baixo, Médio, Alto ou Muito Alto, e estratégias de tratamento incluem corrigir, mitigar, compartilhar, transferir ou aceitar. A avaliação de riscos considera a reincidência de causas e utiliza um farol de riscos para reavaliar severidade.

A documentação registra detalhes como ID do risco, dono, ativo, nível atual, e estratégia de tratamento.

Descrição

Com base nas informações presentes no Procedimento de Gerenciamento de Riscos de Segurança, Continuidade e Privacidade, a Will CFI possui um processo de gestão de riscos estabelecido, integrado aos demais processos de segurança definidos, como o processo de gestão de vulnerabilidades e gestão de incidentes da instituição, além dos riscos identificados a partir da adoção de novas tecnologias ou processos. Uma vez identificados, os riscos são associados a um nível de criticidade e acompanhados até sua resolução, conforme a matriz de Probabilidade x Impacto, considerando os níveis de probabilidade da ocorrência (considerando a probabilidade da exploração de uma vulnerabilidade) e do impacto (considerando o comprometimento de ativos e interrupção de sistemas). Ao fim da avaliação, os riscos são classificados nos seguintes níveis de abrangência:

Baixo: quando o risco possui uma baixa possibilidade de se concretizar, mas deve ser acompanhado/monitorado, mesmo que por períodos mais longos, e ações podem ser tomadas para redução do nível de ocorrência.
Médio: nos casos de risco médio, o índice de risco deve ser acompanhado com uma frequência maior do que a estabelecida no nível anterior, e ações devem ser tomadas para minimizar o risco.
Alto: abrange os riscos com significativa probabilidade de acontecer, devendo ser monitorado frequentemente e planos de ação definidos para reduzir a exposição ao risco.
Muito Alto: este nível possui o mais alto grau de priorização e acompanhamento dos índices de risco e dos planos de ação. O procedimento não define a periodicidade para cada nível de risco, e essas informações também não foram fornecidas durante a reunião com a área responsável.

Com a definição do nível de cada risco, as estratégias são definidas entre: Corrigir, Mitigar, Compartilhar, Transferir ou Aceitar o risco. Para as estratégias de aceitação do risco, a área deverá elaborar um relatório de análise do impacto do risco na operação, além de apresentar planos de ação com prazos definidos para reduzir o risco. Na documentação encaminhada, observa-se que o risco precisa ser revisitado nos casos em que alterações significativas forem identificadas, como mudanças de sistemas ou alterações de processos, sendo necessário também revisitar o cálculo de probabilidade versus impacto do risco. O procedimento determina que o risco deve ser registrado considerando as seguintes informações: ID do risco, dono do risco, ativo (onde a vulnerabilidade pode ser explorada), apontamento, nível do risco atual, estratégia de tratamento atual do risco, data de registro da identificação e acompanhamento do risco, resultado dos planos de ação definidos e a data da próxima verificação do risco. A Matriz de Riscos Cibernéticos foi encaminhada, e não foi identificado o mapeamento das informações acerca do dono do risco, do ativo, do detalhamento do apontamento, da estratégia definida para tratamento do risco e da data da próxima verificação do risco. São considerados pela instituição, em seu processo de gestão de riscos cibernéticos, procedimentos de avaliação da reincidência de causa raiz de riscos já tratados, considerando cenários de erro humano intencional ou falha de sistema em processos de atualização. Nestes casos, a área de Segurança da Informação, através da área secundária de Cyber Risks, deverá avaliar a reincidência do risco e considerar a abertura de um novo ID de risco caso seja identificada uma causa raiz diferente ou caso a ocorrência seja relacionada a risco residual.

Instituição: Will CFI	Gestão de Riscos Cibernéticos (2 de 2): A Will CFI possui um processo de
Cyber	gestão de riscos integrado com outros processos de segurança, categorizando riscos por
Tema: Riscos e Auditoria	probabilidade e impacto. Os riscos são classificados como Baixo, Médio, Alto ou Muito Alto, e estratégias de tratamento incluem corrigir, mitigar, compartilhar, transferir ou aceitar. A avaliação de riscos considera a reincidência de causas e utiliza um farol de riscos para reavaliar severidade.

A documentação registra detalhes como ID do risco, dono, ativo, nível atual, e estratégia de tratamento.

Descrição

A instituição também considera a avaliação do risco através de um farol de riscos, utilizado para reavaliar a severidade do risco considerando a vigência dos planos de ação e a ocorrência de incidentes. Nestes casos, consideram-se os mesmos níveis de severidade já definidos, porém avaliando os seguintes critérios:

Baixo: apontamento do risco com plano de ação em dia.
Médio: apontamento médio ou baixo que está sem plano de ação há mais de 90 dias ou com o plano atrasado.
Alto: apontamento alto ou muito alto sem plano de ação há mais de 45 dias ou com o plano atrasado, considerando também a ocorrência de incidentes sem perdas à instituição.
Muito Alto: mesma classificação da severidade alta, mas considerando incidentes com perdas à instituição.

Evidências:

Procedimento de Gerenciamento de Riscos de Segurança, Continuidade e Privacidade
Matriz de Riscos Cibernéticos

Cartes Cartes Alto

de resposta a incidente 10/12/2021 Entrevista de mapeamento Plano em bruno soares@wilbank. com br A023 Gestéo de registros de auditoria 13/12/2021 Entrevista de mapeamento Plano em Execugdo bruno soares@wilbank com br

A025 Governanga de contas de acesso 14/1212021 Entrevista de mapeamento Plano em Execugdo Cyber Security jessica com br

A041

Governanga de de acesso 15/1212021 Entrevista de mapeamento Muito Ao Plano em Execugdo Cyber Security henrique. reis@wilbank com br A077 Protegéo de dados 0401/2022 Entrevista de mapeamento Muito Ao Plano em Execugdo rodrigo. com br

A093 Medio Cartes Alto

Protegéo de dados 0301/2022 Entrevista de mapeamento Plano em bruno soares@wilbank com br

Alto

	Protegéo de dados	12/01/2022	Entrevista de mapeamento	Plano em	Tech Platforms	igor nakashima@wilbank com br
A122	e controle de ativos corporativ	06/01/2022	Entrevista de mapeamento	Plano em	Tech Platforms Cartoes	edison.neto@wilbank.com br
At44	Seguranga de aplicagdes	11/01/2022	Entrevista de mapeamento	Plano em

A152 Governanga de contas de acesso 18/01/2022 Entrevista de mapeamento Plano em Execugdo Cyber Security henrique reis@wilbank com br

Médio Cartes

A165 Protegéo de dados 250412022 Entrevista de mapeamento Plano em Execugdo bruno soares@wilbank

Medio Cartes

A192	Protegéo de dados.	03/08/2022	Entrevista de mapeamento	Plano em Execugdo	bruno	com.br
A197	Protegéo de dados	04082022	Entrevista de mapeamento	Plano em	Jurfdico e Compliance	monica ribeiro@wilbank com br

Matriz de Riscos Cibernéticos da instituição

Instituição: Banco Master Organograma de Segurança da Informação: O Banco Master possui um Cyber

Tema: Organização e Arquitetura de Cibersegurança Operacionalmente, a área é dividida em Red Team, Blue Team, Governança de SI e Gestão de organograma onde a Segurança da Informação está subordinada à Superintendência Executiva de TI/Produtos/Operações, com o CISO e o Gerente de Segurança da Informação abaixo. Acessos, contando com o SOC e gestão de acessos operados por terceiros. As responsabilidades são definidas em procedimentos da área, entretanto a Política de Segurança da Informação, sob uma ótica central, é pouco detalhada. Não há uma matriz RACI centralizada definindo responsabilidades.

Descrição Evidências:

De acordo com a documentação fornecida, o Banco Master possui um organograma das áreas da •Organograma de Segurança da Informação instituição, onde é possível identificar a subordinação da estrutura de segurança da informação à •Política de Segurança da Informação Superintendência Executiva de TI/Produtos/Operações. Imediatamente abaixo da referida

Superintendência Executiva, encontra-se a função de Superintendente de Segurança da

Organograma Seguranca da

Informação, que exerce a função de CISO na instituição, representando os interesses da área de segurança no nível executivo. Abaixo dele, há a função tática do Gerente de Segurança da Informação. No âmbito operacional, a área de Segurança da Informação é dividida internamente entre Red Team, Blue Team, Governança de SI e Gestão de Acessos. Existem também as áreas de SOC, operadas por terceiros em regime 24x7, e uma área responsável pela operação da gestão dos acessos, também operacionalizada por terceiros, estando ambas sob a responsabilidade das áreas de Blue Team e Gestão de Acessos, respectivamente. Em reunião, foi informado pela instituição que os papéis e responsabilidades de cada área são definidos em cada política ou procedimento, conforme sua atuação específica dentro de cada processo. Observando a Política de Segurança da Informação da instituição, principal documento normativo que define as diretrizes gerais e os papéis e responsabilidades das áreas de segurança, verificou-se que a definição dessas diretrizes era pouco detalhada, não refletindo suas responsabilidades a nível de atividade e limitando-se apenas ao cargo de gerente de segurança da informação, sem detalhar os papéis e responsabilidades abaixo dele. O Banco Master também informou que há uma definição dos papéis e responsabilidades mantida junto à área de RH, utilizada majoritariamente para a descrição de cargos no momento da contratação de novos colaboradores. No entanto, não há uma matriz RACI definida e controlada pela área de segurança da informação, detalhando as responsabilidades de cada uma das áreas no nível de atividade dentro de cada processo e considerando a gestão desses papéis e responsabilidades de maneira

centralizada. Organograma da área de Segurança da Informação do Banco Master

Instituição: Banco Master Arquitetura de Segurança da Informação: O Banco Master possui uma

arquitetura de segurança centrada em Firewalls (Fortinet Fortigate), DLP (Microsoft PurView), SOC

Cyber

(Splunk, operado pela DataRunk), e XDR (SentinelOne). Utiliza VPN para conexão segura. Tema: Organização e Arquitetura de Cibersegurança Procedimentos de gestão incluem manutenção de baseline de configuração, monitoramento de

dados, métricas de SOC, e gestão centralizada de XDR. Não há processos formalizados para a gestão da arquitetura de segurança.

Descrição

De acordo com as informações fornecidas pelo Banco Master, a instituição possui uma arquitetura de segurança centrada em seus principais ativos de infraestrutura, que são:

Firewalls: são utilizadas soluções Fortinet Fortigate;
DLP: a solução utilizada para prevenção contra vazamento de dados é o Microsoft PurView;
SOC: é utilizada a solução Splunk, com operação terceirizada pela empresa DataRunk, em regime 24x7;
XDR: é utilizada a solução SentinelOne, de forma abrangente, em workstations e servidores. Além desses ativos, a instituição também faz uso de uma solução VPN para conexão segura ao seu ambiente, embora não tenha sido informada qual solução é utilizada pelo Banco Master. A instituição realiza procedimentos de gestão sobre esses ativos de infraestrutura, como a manutenção de baseline de configuração dos firewalls e revisão em segundo nível, realizada por um analista mais experiente, sempre que seja necessária a intervenção em alguma configuração no firewall; a implementação de políticas de monitoramento de dados em seus ativos, com regras de bloqueio implementadas, por enquanto, apenas para as soluções integradas ao Microsoft365; acompanhamento do atendimento do SOC através de métricas MTTR e MTTA geradas pelos incidentes abertos no Ops Genie (ITSM utilizado pela área); e gestão centralizada da solução XDR, com apoio do processo de gestão de ativos, gerenciado pela solução Desktop Central, para avaliar a cobertura da instalação da solução XDR em todos os ativos da instituição. Além disso, há o acompanhamento da utilização de VPN, identificando os acessos nominais, tempo de uso e quantidade de dados trafegados, garantindo que não haja nenhuma anomalia nos acessos realizados.

Toda comunicação inerente as atividades de segurança da informação na instituição são formalizadas nas ferramentas de comunicação oficiais da instituição, onde normalmente o Teams é utilizado para comunicações diárias e o Slack é utilizado para comunicações relacionada à tratativa de incidentes, normalmente referenciadas em um chamado. Conforme informado pela instituição, esses processos de gestão sobre a infraestrutura são centrados em boas práticas dos analistas responsáveis por cada uma das soluções mencionadas. Entretanto, atualmente não há um processo, procedimento ou política que formalize a gestão da arquitetura de segurança.

Evidências:

•Evidência de atendimento SOC no Slack •Evidência de atendimento SOC no Teams •Evidência de dashboard de acompanhamento de acessos e volume de dados trafegados na VPN •Evidência do monitoramento das regras de firewall •Evidência dos índices de monitoramento do IDS/IPS •Evidência de monitoramento das regras de DLP •Evidência da arquitetura geral da infraestrutura da instituição

Instituição: Banco Master Conscientização e Treinamento: A área de Segurança da Informação do Banco

Master realiza treinamentos de segurança para todos os colaboradores, incluindo onboarding e um

Cyber

treinamento anual obrigatório. Pílulas de conhecimento são divulgadas nos canais oficiais, e testes Tema: Organização e Arquitetura de Cibersegurança de phishing são realizados pelo menos duas vezes ao ano. A "Semana da Segurança" promove

conscientização com palestras e jogos. O dashboard de phishing mostra redução de capturas e aumento de reports de phishing e incidentes.

Descrição

Com base nas informações obtidas com a instituição, foi informado que a área de Segurança da Informação é responsável pela realização de treinamentos relativos ao tema para todos os colaboradores da organização. São ministrados treinamentos de segurança no onboarding dos colaboradores, centralizados na plataforma Aprimora, sendo pré-requisito a realização de todos os treinamentos para a integração efetiva do novo colaborador. São ministrados treinamentos voltados aos temas de segurança, privacidade e riscos; entretanto, não foi informado qual o conteúdo dos treinamentos ministrados para cada assunto. Além do treinamento realizado no processo de integração, existe um treinamento anual obrigatório para todos os colaboradores, que caso não realizado pode impactar na bonificação de PLR. São divulgadas pílulas de conhecimento nos canais oficiais de comunicação da instituição, que são o Workplace (rede social interna do Banco Master), e-mail e nos canais de divulgação do Teams. Testes de phishing são realizados, no mínimo, duas vezes ao ano. Quando um colaborador falha no teste, seu gestor é informado, e a área de Segurança da Informação, juntamente com o RH, direciona um treinamento específico para conscientização do colaborador, sendo obrigatória a realização de uma prova ao final para validar o aprendizado. Em complemento a estas iniciativas, em conjunto com a área de Marketing do banco, a área de Segurança da Informação também implementou a "Semana da Segurança", onde foram realizadas diversas ações para corroborar no processo de conscientização à segurança da informação e privacidade, como palestras e jogos acerca de vazamento de dados e phishing, com direito a premiação aos colaboradores, entre outras atividades. A instituição apresentou seu dashboard de acompanhamento dos testes de phishing, onde foi identificada redução de colaboradores que falharam nas campanhas de phishing, assim como um aumento nos reports de phishing e incidentes pelos próprios colaboradores.

O Banco Master possui uma Política de Treinamento, Capacitação e Certificação Continuada que detalha as diretrizes gerais dos treinamentos corporativos, obrigatórios ou não, realizados pela instituição para com seus colaboradores. Apesar da referida política possuir diretrizes acerca da necessidade de treinamentos relacionados à segurança da informação, não são detalhados, neste documento, os procedimentos específicos para gestão dos treinamentos de segurança, considerando a definição de conteúdo, de calendário para realização dos treinamentos ou de critérios de avaliação a serem utilizados pela área. Na Política de Segurança da Informação e Segurança Cibernética, são informadas diretrizes do programa de treinamento de segurança da informação, considerando o desenvolvimento de calendário de conscientização com temas relevantes para a instituição, de conhecimentos gerais de segurança cibernética e de treinamentos específicos para colaboradores especialistas, aplicação de testes de conhecimento, cobranças, pela área de RH, aos colaboradores que não realizam estes treinamentos dentro do prazo e a implementação de campanhas de conscientização regulares. Não foi apresentada documentação que formalize, em planos de ação, prazos, papéis e responsabilidades, estes requisitos apresentados na Política de Segurança da Informação e Segurança Cibernética da Instituição.

Evidências:

•Política de Segurança da Informação •Política de Treinamento, Capacitação e Certificação Continuada •Evidência da pílula de conscientização no Teams •Evidência da pílula de conscientização no E-mail

Instituição: Banco Master Cyber Tema: Organização e Arquitetura de Cibersegurança

Descrição

De acordo com as informações obtidas durante reunião e através da inspeção da documentação recebida pela instituição, foi informado que as documentações de segurança são estabelecidas pelo time de Segurança da Informação. Todas as documentações são elaboradas pela área de Segurança da Informação, revisadas pela área de Risco Operacional e Controles Internos e aprovadas pela Diretoria Executiva. Ao inspecionar a documentação listada no campo de evidências, foi observado o prazo de revisão expirado para as seguintes documentações:

Política de Segurança Física;
Norma de Contratação de Prestadores de Serviço de TI e SI: Recursos em Nuvem;
Norma de Utilização de Recursos de TI no Ambiente de Escritório;
Plano de Recuperação de Desastre;
Norma para Desenvolvimento e Manutenção de Aplicações e APIs; Nas demais documentações, é possível observar a conformidade das datas das últimas revisões e publicações, atendendo ao prazo de revisão anual definido na instituição.

Evidências:

Política de Segurança da Informação e Segurança Cibernética
Política de Segurança Física
Procedimento Operacional de Gestão de Riscos de Segurança Cibernética
Norma para o Plano de Ação e de Resposta a Incidentes de Segurança da Informação

Política de Segurança da Informação: As documentações de segurança do Banco

Master são elaboradas pela área de Segurança da Informação, revisadas pela área de Risco Operacional e Controles Internos, e aprovadas pela Diretoria Executiva. Foram encaminhados 22 documentos relacionados à segurança da informação. Procedimentos de Segurança Física, Norma de Contratação de Prestadores de Serviço de TI e SI, Norma de Utilização de Recursos de TI no Ambiente do Escritório, Plano de Recuperação de Desastre, Norma para Desenvolvimento e Manutenção de Aplicações e APIs estão com o prazo de revisão anual expirado. •Norma de Contratação de Prestadores de Serviço de TI e SI: Recursos em Nuvem •Norma para Gestão de Vulnerabilidades e Pentest •Procedimento de Monitoramento de Disponibilidade/Capacidade de Ativos •Política de Uso de Serviços e Recursos de TI •Norma de Utilização de Recursos de TI no Ambiente de Comunicação •Norma de Infraestrutura e Operações de TI •Norma de Utilização de Recursos de TI no Ambiente de Escritório •Plano de Recuperação de Desastre •Plano de Backup •Norma para Desenvolvimento e Manutenção de Aplicações e APIs •Procedimento Operacional de Gerenciamento de Credenciais •Procedimento Operacional Gestão de Acesso Físico •Procedimento Operacional de Licença e Concessão de Acessos - Power BI •Procedimento para Revisão de Acessos •Procedimento Operacional do Proprietário da Informação (System Owner) •Procedimento Operacional de Gestão de Riscos de Segurança Cibernética •Norma de Solicitação e Controle de Acesso

Instituição: Banco Master	Resposta a Incidentes Cibernéticos e Ocorrência de Incidentes
Cyber	Cibernéticos: O Banco Master possui diretrizes para planos de ação e resposta a incidentes de segurança cibernética, divididos em fases como registro e relatórios, e elaboração de planos de ação.

Tema: Resiliência Cibernética Equipes internas realizam simulados de incidentes para melhoria contínua. Incidentes identificados pelo

SOC são analisados pelo Blue Team, e crises cibernéticas de alta criticidade envolvem a Alta Gestão. Não há documentação formalizada de playbooks, mas há processos de Post Mortem para revisão e melhorias. .

Descrição

De acordo com a documentação fornecida pelo Banco Master, a instituição possui uma norma com diretrizes para o desenvolvimento, manutenção e aplicação dos planos de ação e de resposta a incidentes de segurança cibernética. Os incidentes são divididos, pela referida norma, nas seguintes fases:

Registro do Incidente e Relatórios: Esta fase trata das diretrizes de formalização de todos os

registros durante a tratativa de um incidente, desde sua abertura na ferramenta de atendimento corporativo (Ops Genie) e as devidas tratativas, até os relatórios de Post Mortem ao finalizar um incidente. Além disso, inclui o relatório de Riscos Operacionais e Controles Internos acerca dos Planos de Ação e de Resposta a Incidentes, que devem ser compartilhados anualmente com o BACEN.

Plano de Ação e Resposta a Incidentes de Segurança: Consiste em diretrizes para a elaboração

de um Plano de Ação, considerando os cenários de incidentes, os recursos necessários para viabilizar a resposta a incidentes e a definição de processos. A instituição define esses processos em três macroprocessos: pré-incidente, detecção e pós-incidente. Em reunião realizada com a área de segurança da informação do Banco Master, foi informado que as equipes internas de Red Team e Blue Team realizam simulados de incidentes cibernéticos para buscar a melhoria contínua do ambiente. Atualmente, não há um processo de documentação de playbooks formalizado, mas foi informado que conforme os cenários vão sendo identificados e as simulações realizadas, há um processo de documentação de Post Mortem, que consiste na revisão do plano de

ação e identificação de melhorias no ambiente.

Em cenários onde o atendimento de primeiro nível (N1 - SOC) identifica um possível incidente, o evento é encaminhado para análise do atendimento de segundo nível (Blue Team). Formalizando um incidente, uma War Room é declarada. Se, durante a análise aprofundada do time, for identificada uma crise cibernética, considerando a materialização de um incidente de alta criticidade, a Alta Gestão de Segurança da Informação e demais partes interessadas do nível executivo são acionados. As tomadas de decisão neste nível de criticidade de incidente são realizadas com o aval da Alta Gestão envolvida.

Ao observar os relatórios anuais de planos de ação e de resposta a incidentes elaborados pelo Banco Master, conforme orientação da resolução 4893 do BACEN, foi identificado quem, em ambas documentações, a instituição reportou não ter ocorrido incidentes de segurança da informação e cibernéticos em seu ambiente.

Evidências:

•Norma para o Plano de Ação e de Resposta a Incidentes de Segurança da Informação •Relatórios anuais do Plano de Ação a Resposta a Incidentes de Segurança da Informação e Cibernética dos anos de 2022 e 2023 (Resolução CMN 4893 - Banco Central do Brasil), não recebemos relatório do ano 2024 para análise.

»

Pré Incidente Deteccao Pés Incidente

Projeto Vertice PwC

Etapas do Plano de Ação e Resposta a Incidentes de Segurança

Estritamente Privado e Confidencial 17 março 2025 Minuta

Instituição: Banco Master Monitoramento de Segurança: O Banco Master possui um serviço de SOC 24x7

operado pela Data Runk, que monitora incidentes e alertas de segurança via Splunk. Incidentes

Cyber

identificados pelo SOC são validados e classificados pelo Blue Team, que mantém playbooks para Tema: Resiliência Cibernética análise. Incidentes podem ser reportados por usuários, parceiros, fornecedores, e feeds de

inteligência. Todos os incidentes são formalizados na ferramenta Ops Genie e categorizados para relatório anual ao BACEN, conforme a resolução 4893.

Descrição

De acordo com as informações fornecidas pela instituição, o Banco Master conta com um serviço de SOC 24x7 operado pela empresa terceirizada Data Runk, que realiza o monitoramento de incidentes e alertas de segurança através da solução SIEM Splunk. Se a equipe de SOC identificar, em sua análise preliminar dos dados do evento, a ocorrência de um incidente, deverá

acionar o time de resposta a incidentes interno (Blue Team) para validação e classificação do incidente. A área de Blue Team mantém playbooks, alinhados com a prática do SOC, para analisar o incidente de acordo com os critérios definidos pela área de Segurança da Informação do Banco Master.

Além do SOC, os incidentes também podem ser identificados por usuários, parceiros de negócio, fornecedores, equipes de suporte à infraestrutura e por feeds de inteligência e notícias na mídia. Todo incidente deve ser formalizado na ferramenta de ITSM da companhia (Ops Genie), onde a área de Blue Team deverá avaliar se o chamado está relacionado a um incidente de tecnologia, que possui impacto na infraestrutura, mas que não necessariamente seja originado de um incidente de segurança da informação, ou a um incidente operacional, quando se trata de um ataque efetivo ao ambiente da instituição, e o Plano de Resposta a Incidentes deverá ser invocado. Esses incidentes, com seus respectivos planos de ação, são categorizados para, anualmente, serem reportados ao BACEN no relatório de Segurança da Informação, em conformidade com a resolução 4893 da autarquia.

Evidências:

•Norma para o Plano de Ação e de Resposta a Incidentes de Segurança da Informação •Evidências de Playbooks do SOC

Descriclo

dedicads § de

Pesquisar no Espago

0 soc

do SOC com atualizacio recente

0 recebies

A lista val stusllzacho sutnmisica gue algul rier ou atuakizar

Projeto Vertice PwC

Estritamente Privado e Confidencial Minuta

Repositório de playbooks utilizados para triagem e análise da equipe do SOC do Banco Master

17 março 2025

Instituição: Banco Master Plano de Recuperação (1 de 2): A infraestrutura de backup de dados do Banco Cyber

Tema: Resiliência Cibernética retenção específicas para cada ambiente. A solução Clumio é usada para backups de produção.

Master é alocada na AWS, com segregação por ambientes e unidades de negócio. Os backups são realizados para servidores, bancos de dados, storage, CFTV e telefonia, com políticas de Testes de recuperação são feitos mensalmente para produção e bimestralmente para CFTV e gravação de voz. O Plano de Recuperação de Desastres é estruturado em três fluxos: prédesastre, desastre e pós-desastre.

Descrição

De acordo com as informações obtidas em reunião com a área de Segurança da Informação do Banco Master, sua infraestrutura de backup de dados é alocada em nuvem, através da AWS. Os dados são segregados em ambientes de desenvolvimento, homologação, produção e cofre, além de serem divididos entre unidades de negócio. São considerados para realização dos backups os servidores (físicos e virtuais), bancos de dados, storage, CFTV e telefonia. De acordo com o Plano de Backup fornecido pela instituição, as configurações de backup devem considerar o menor tempo de recuperação (RTO) e o melhor ponto de retorno (RPO) possível, respeitando os períodos de retenção de dados para cada ambiente. Em reunião, foi informado que os backups realizados para o ambiente de produção possuem ponto de perda máxima de 5 minutos; não foi informado o tempo de recuperação para os demais ambientes. As políticas de retenção dos dados são de periodicidade diária/full e retenção de 3 dias para os dados dos ambientes de desenvolvimento e homologação. Para os dados de produção, consideram-se:

Produção Todos (considerando servidores de suporte à infraestrutura, como Active Directory entre outros): realizado backup diário/full, com tempo de retenção de 7 dias e armazenados na conta cofre.
Produção Aplicação (considerando servidores de aplicações de negócio): realizado backup full/incremental, com retenção de 30 dias e armazenados na conta cofre.
Produção Banco de Dados: realizado backup diário/incremental, com retenção de 5 anos e armazenados na conta cofre.

O serviço de e-mail utilizado pela instituição armazena seus dados na plataforma Microsoft Exchange Online, onde é realizado o backup diário e os dados são retidos por 5 anos. Em caso de desligamento de colaborador, os dados são copiados da plataforma e armazenados em buckets S3, na plataforma AWS, pelo mesmo tempo de retenção. A conta cofre mencionada no Plano de Backup refere-se à utilização da solução Clumio, adotada pela instituição para realização dos backups do ambiente de produção, garantindo que os dados não sejam hospedados no mesmo ambiente. Os testes de recuperação realizados na infraestrutura da instituição são realizados com frequência mensal para aplicação e banco de dados do ambiente de produção, além dos backups realizados do FileServer. Para backups de CFTV e de gravação de voz, os testes são realizados com frequência bimestral. O Banco Master também possui um Plano de Recuperação de Desastres, estruturado em três fluxos principais: pré-desastre, desastre e pós-desastre. O fluxo de pré-desastre conta com as etapas de preparação antes da incidência de um desastre, considerando preparação e definição de recursos de contingência, capacitação das pessoas e definição de ambientes seguros, além de testes de sua efetividade. O fluxo de desastre deve considerar os processos a serem executados em um evento de desastre, disponibilizando uma infraestrutura mínima para manter a operação da instituição, em conformidade com o Plano de Continuidade de Negócios do Banco Master. A responsabilidade de declarar um desastre na instituição é do Diretor Presidente, do Presidente do TGC ou a quem ele designar.

Instituição: Banco Master Plano de Recuperação (2 de 2): A infraestrutura de backup de dados do Banco

Master é alocada na AWS, com segregação por ambientes e unidades de negócio. Os backups

Cyber

são realizados para servidores, bancos de dados, storage, CFTV e telefonia, com políticas de Tema: Resiliência Cibernética retenção específicas para cada ambiente. A solução Clumio é usada para backups de produção.

Testes de recuperação são feitos mensalmente para produção e bimestralmente para CFTV e gravação de voz. O Plano de Recuperação de Desastres é estruturado em três fluxos: prédesastre, desastre e pós-desastre.

Descrição

Por fim, o pós-desastre determina a execução dos procedimentos de teste do ambiente, retomada de operações, desativação de contingência e análise de lições aprendidas. Pela sua operação concentrada em ambiente de nuvem, o Banco Master possui uma infraestrutura básica de serviços de impressão, controle de acesso biométrico, switches, firewalls, links de acesso à internet e acesso à RSFN e Financial Net, que estão replicadas entre as unidades de São Paulo e Rio de Janeiro. Além disso, há um ambiente de contingência hospedado na AWS, com a utilização de

múltiplas zonas de disponibilidade, que permite a manutenção da operação dos sistemas do banco no caso de indisponibilidade do site principal. A continuidade das operações pode ser realizada através da ferramenta AWS Workspace, permitindo que os colaboradores continuem trabalhando em regime de home-office. Não foram informados sobre procedimentos de teste da infraestrutura de contingência e a periodicidade de realização dos mesmos.

Evidências:

Plano de Backup
Plano de Recuperação de Desastres
Tese de Restore - mês fevereiro
Teste de Restore - sistema Autobank

Projeto Vertice PwC

Estritamente Privado e Confidencial Minuta

Evidência de teste de recuperação realizado no mês de fevereiro, com anexo do relatório de restore concluído e resultado aprovado em chamado

17 março 2025

Instituição: Banco Master Gestão de Acesso e Identidade (1 de 2): No Banco Master, o RH solicita ao time

de Segurança da Informação a concessão de acessos para novos colaboradores. Outras

Cyber

solicitações são feitas via ITSM e aprovadas por gestores e "owners" dos sistemas. A revisão dos Tema: Gestão de Acessos acessos ocorre duas vezes por ano, e acessos privilegiados são gerenciados pela solução PMP.

Credenciais são gerenciadas pelo Active Directory, com políticas de senha e uso de MFA. Movimentações de colaboradores exigem novas solicitações e acessos são bloqueados após desligamento.

Descrição

De acordo com as informações fornecidas pela instituição, ao ingressar um novo colaborador, o RH solicita ao time de Segurança da Informação, responsável pela gestão dos acessos no Banco Master, a concessão dos acessos com base nas atribuições padrão do cargo a ser exercido. As demais solicitações de acesso devem ser realizadas via sistema/chamado na ferramenta de ITSM, sendo aprovadas pelos gestores dos solicitantes e pelos "donos" (owners) do sistema ou do perfil solicitado, com prazo máximo de 3 dias para aprovação. O processo é manual, não havendo uma ferramenta de IAM para concessão automática dos acessos após as devidas aprovações. A operacionalização de concessão/revogação dos acessos em cerca de 91 sistemas e 186 módulos é realizada por uma empresa terceira, sob gestão da área de Segurança da Informação. A ferramenta de ITSM possui mapeados os donos dos sistemas, direcionando a eles o fluxo de aprovação quando solicitado acesso ao sistema de sua responsabilidade. Em relação às movimentações de colaboradores, quando ocorre uma alteração de cargo, o colaborador deve solicitar os novos acessos conforme o procedimento descrito, sendo que os acessos anteriores são herdados. Para mudanças de área ou movimentação vertical, os acessos são totalmente revogados, cabendo ao colaborador solicitar os novos acessos de acordo com a nova função a ser executada. A revisão dos acessos é realizada ao menos duas vezes por ano pela área de Segurança da Informação, acompanhada pela área de gestão de Riscos Operacionais/Controles Internos. O procedimento consiste em revisitar os acessos concedidos para validação dos que devem ser mantidos ou revogados, com confirmação e justificativa da manutenção ou revogação do acesso pelo gestor hierárquico, alinhado à necessidade do acesso ao sistema com o "owner". O gestor hierárquico avalia o acesso a nível de negócio, enquanto o "owner" avalia a nível de risco ao seu sistema, com base na Matriz SOD obtida com a equipe de Controles Internos.

Além disso, são revisitados os perfis de acesso nos sistemas, e, quando identificada a necessidade, novos perfis podem ser criados. Nestes casos, a área de Riscos Operacionais/Controles Internos é notificada para avaliação do risco de ausência de segregação de função, e o perfil é cadastrado e monitorado na Matriz SOD desta área. A Matriz SOD é revisada anualmente por Controles Internos. Quando um colaborador é desligado, a revogação do acesso inicia-se com a notificação, pelo RH, ao time de gestão de acesso. Com isso, a área de segurança da informação bloqueia o acesso ao AD, que através do recurso de SSO, bloqueia o acesso à todos os sistemas da instituição. Os acessos não são excluídos para fins de manutenção de histórico. Os acessos privilegiados são gerenciados pela solução PMP (em migração para a solução Senha Segura), onde é realizada a rotação de senhas para os acessos com privilégios administrativos nos diferentes ambientes da instituição. A depender da credencial a ser utilizada, se for considerada de alto risco (ex.: conta root para acessos irrestrito ao sistema operacional do servidor), será necessário aprovação para utilização pelo "owner" do sistema. Credenciais de sistemas também são gerenciadas pelo Active Directory, sendo criadas conforme padrão estabelecido na Norma de Solicitação e Controle de Acessos: nome da aplicação + ambiente (PRD: produção, HML: homologação, DEV: desenvolvimento) + recurso (SQL: servidor SQL, SRV: servidor Windows, LNX: servidor Linux). Os acessos são configurados mediante política de senha, que define os seguintes critérios de complexidade: 8 caracteres, contendo letras e números; devem ser alteradas a cada 90 dias; em 3 tentativas erradas o acesso é bloqueado e somente é liberado mediante solicitação à área de segurança da informação, responsável pela gestão dos acessos na instituição.

Instituição: Banco Master Gestão de Acesso e Identidade (2 de 2): No Banco Master, o RH solicita ao time

de Segurança da Informação a concessão de acessos para novos colaboradores. Outras

Cyber

Credenciais são gerenciadas pelo Active Directory, com políticas de senha e uso de MFA. Movimentações de colaboradores exigem novas solicitações e acessos são bloqueados após desligamento.

Descrição

A companhia também utiliza solução MFA, habilitada para todos os sistemas que possuem integração com a funcionalidade. A autenticação via MFA também é necessário para autenticação sempre que houver cadastro ou renovação de senhas. Ao observar as evidências das matrizes de SOD dos sistemas foram identificados riscos de acessos apontando ocorrências de conflitos de segregação de funções sem planos ações definidos. Abaixo os sistemas com riscos de acessos sem planos de ações:

FUNÇÃO, ZAP, AUTOBANK: LI LIMITES DE PAGAMENTOS, AUTOBANK: TS-TESOURARIA, AUTOBANK:TM-TAXA MEDIA, AUTOBANK, AUTOBANK: SV-SISTEMAS DE VALORES A RESTITUIR E A RECEBER, AUTOBANK: SGR-SISTEMA GERE. DE RECURSOS, AUTOBANK: RF-RENDA FIXA, PO-CADASTRO POSITIVO, AUTOBANK: PM-DIMP, AUTOBANK: NCR-NOVA CENTRAL DE RISCOS DE CR, AUTOBANK: CB-COBRANÇA, AUTOBANK: AUTBANK-IB- INFOBANC, AUTOBANK: CC-CONTAS CORRENTES, AUTOBANK: IC-INFOCHEQUE, AUTOBANK: IN-INFO BC, AUTOBANK: DI-DIMOF, AUTOBANK: IS-INTEGRAÇÃO DE SISTEMAS CONTABEIS, AUTOBANK: E-BANK, AUTOBANK: CN-CENTRAL DE NEGOCIOS, AUTOBANK: CP-CONTAS A PAGAR, AUTOBANK: DA-DDA GERENCIADOR, AUTOBANK: FN- FINANCEIRA, AUTOBANK: IR-INFORME DE RENDIMENTO. Já na relação de sistemas a seguir, não foram identificados conflitos de acessos: AUTOBANK: CL-CONTROLADOR DE LASTRO DE EMISSÕES, AUTOBANK: CA-CONTROLE DE ACESSO, AUTOBANK: COBRANÇA PIX

Evidências:

Norma de Controle e Gestão de Acesso
Procedimento de Revisão de Acessos
Evidências da Matriz de Acessos e Matriz SOD dos sistemas Função, ZAP e Autobank
Evidência de revisão do acesso ao sistema considerado crítico (sistema CHANGE)

Gm

Projeto Vertice PwC

Fluxo de Onboarding e concessão dos acessos na instituição

Estritamente Privado e Confidencial 17 março 2025 Minuta

Instituição: Banco Master Gestão de Acesso Físico: Desde janeiro de 2025, a gestão de acesso físico no Banco

Master é responsabilidade da área de Segurança da Informação. Os acessos são cadastrados na

Cyber

recepção do prédio usando biometria e gerenciados pela solução RicCentral. Terceiros são Tema: Gestão de Acessos inicialmente direcionados ao 5º andar e devem ser acompanhados por um colaborador para

acessar áreas internas. A instituição possui um Procedimento de Gestão dos Acessos Físicos, mas ainda não há procedimentos de revisão formalizados devido à recente mudança de gestão.

Descrição Evidências:

De acordo com as informações fornecidas pelo Banco Master, a gestão de acesso físico é •Procedimento de Gestão de Acesso Físico atualmente responsabilidade da área de Segurança da Informação, que assumiu o processo em janeiro de 2025. Anteriormente, essa gestão era realizada pela área de Facilities do condomínio do prédio. A mudança de gestão ocorreu devido à recente mudança de escritório da instituição, na mesma data. Os acessos são cadastrados na recepção do prédio, onde colaboradores e terceiros precisam registrar sua biometria para acessar as áreas internas e as salas. O Banco Master utiliza a solução RicCentral para gerenciar os acessos físicos, e cada colaborador possui permissões específicas para acessar salas e andares, conforme sua área e cargo. Os acessos de terceiros são inicialmente direcionados ao 5º andar do prédio, destinado a recepcionar visitantes e equipado com salas de reunião para partes interessadas externas ao Banco. Para que terceiros acessem os ambientes internos da instituição, é necessário que sejam acompanhados por um colaborador do Banco, que realiza as liberações internas e supervisiona o acesso do visitante. O acesso concedido na recepção predial aos terceiros permite apenas entrada e saída, podendo ser limitado conforme o tempo necessário para a prestação do serviço. A instituição possui um Procedimento de Gestão dos Acessos Físicos que descreve os passos para concessão, revisão e revogação dos acessos, além do tratamento específico para gestão dos acessos de terceiros. No entanto, devido à recente transferência da gestão deste procedimento para a área de Segurança da Informação, operada pela célula interna de gestão de acessos, ainda não existem procedimentos de revisão estabelecidos, nem documentação formal que oficialize o processo realizado pelo novo modelo.

Instituição: Banco Master Gestão de Vulnerabilidades: As vulnerabilidades no Banco Master são gerenciadas

através de testes de intrusão, solicitados por diversas áreas ou como exigência regulatória. Os

Cyber

testes podem ser realizados internamente pelo Red Team ou por terceiros, e incluem um programa Tema: Gestão de Vulnerabilidades e Patches de Bug Bounty. Testes de intrusão são realizados como parte do processo de desenvolvimento

seguro, ambientes externos, e endpoints. Vulnerabilidades são categorizadas como Crítica, Média, ou Baixa, com ações definidas para cada nível de classificação.

Descrição

De acordo com as informações fornecidas pelo Banco Master, as vulnerabilidades na instituição são gerenciadas através do processo de teste de intrusão. A necessidade de realização de um teste de intrusão pode ser determinada pelas áreas de Segurança da Informação, Tecnologia da Informação ou como exigência regulatória. A solicitação de um teste deve ser formalizada na ferramenta de chamados corporativos e também comunicada ao gestor responsável pelo sistema via e-mail. Deve ser definido um escopo de aplicações, sistemas e redes a serem testados, incluindo ambientes críticos e aqueles com histórico de vulnerabilidades críticas. O teste pode ser executado pela célula de Red Team, interna à área de Segurança da Informação do Banco, ou por terceiros contratados para realizar testes na infraestrutura da instituição. Não foi informado o critério para seleção de testadores externos à equipe de segurança. Para aplicações expostas, a instituição participa de um programa privado de Bug Bounty, onde hackers éticos testam aplicações externas e APIs. Eles são compensados pelo Banco mediante vulnerabilidades identificadas, com maiores compensações para vulnerabilidades mais críticas. O hacker ético deve entregar um relatório e prova de conceito da vulnerabilidade, que serão testados pela equipe interna da instituição. Se a vulnerabilidade for confirmada, o relatório é considerado válido e a compensação financeira é realizada. A área de segurança da informação mantém um repositório com instruções de utilização das ferramentas para avaliação de segurança da informação nos sistemas e aplicações. Os testes de intrusão são realizados dentro dos seguintes processos de segurança:

Desenvolvimento seguro: São testadas vulnerabilidades na esteira de desenvolvimento utilizando a solução FortDevSec, que realiza análises estáticas de código (SAST) sempre que um commit é realizado na branch de desenvolvimento. Se o teste for aprovado, segue para publicação; caso contrário, o desenvolvedor deve tratar ou justificar a exceção como falso positivo.
Ambientes externos: APIs públicas, aplicativos ou websites passam por análise estática de código (SAST) durante a esteira de desenvolvimento. A equipe de Segurança da Informação valida a mudança ao final do processo de homologação, realizando uma análise dinâmica de código (DAST) através de script automatizado, que gera um relatório com pontos de consideração e a criticidade associada. Pontos de consideração com níveis altos ou críticos devem retornar para correção na esteira de desenvolvimento. O Banco Master apresentou o relatório do teste de vulnerabilidade identificada na API do Salesforce, onde foi identificado que, manipulando alguns parâmetros da URL, era possível fazer com que uma requisição HTTP POST permitisse o acesso à dados sensíveis sem um token de autenticação válido. Apesar disso, no relatório não foram apresentadas medidas de correção para a vulnerabilidade identificada.
Vulnerabilidades em endpoints: As vulnerabilidades em laptops são identificadas através da ferramenta ZTNA e reportadas à equipe de Blue Team da instituição. As correções são implementadas conforme a criticidade da vulnerabilidade e da aplicação, priorizando ajustes de configuração, aplicação de código, melhorias no código ou reforço de controles de segurança. As vulnerabilidades são categorizadas nos seguintes níveis: i. Crítico: Impacto significativo, exigindo ação imediata para evitar consequências graves. ii. Médio: Impacto moderado, necessitando atenção e medidas preventivas para evitar agravamento. iii. Baixo: Impacto menor, que pode ser tratado com menos urgência, mas requer ação para ser erradicado.

Evidências:

1.Norma para Gestão de Vulnerabilidades e Pentest 2.Evidência de teste da API do Salesforce 3.Evidência de playbooks armazenados em repositório para utilização das ferramentas de teste de segurança

Instituição: Banco Master Gestão de Patches: O Banco Master não possui um processo formal de gestão de

patches, mas a célula de Blue Team gerencia vulnerabilidades identificadas. A solução Desktop

Cyber

Central é usada para gestão de ativos e notificação de patches. Patches são implementados em Tema: Gestão de Vulnerabilidades e Patches workstations e servidores em janelas específicas, com políticas de reinicialização forçada. A AWS

gerencia patches em servidores de produção, notificando mensalmente sobre a disponibilidade de patches de segurança e qualidade.

Descrição A correção de patches em servidores em produção é gerenciada pela AWS, que mensalmente

notifica os donos dos ativos sobre a disponibilidade de patches de segurança e qualidade a serem De acordo com as informações fornecidas pelo Banco Master, não há, atualmente, um processo

implementados. Em ambos os casos, a área de infraestrutura é notificada quando há algum formal de gestão de patches. Entretanto, existem procedimentos realizados pela célula de Blue

problema na implementação de um patch. Tanto no Desktop Central (para workstations) quanto na Team, interna à área de Segurança da Informação, onde as vulnerabilidades são identificadas pelo

AWS (para servidores), é possível realizar correções e solicitações de novas implementações processo de gestão de vulnerabilidades e gerenciadas com o apoio do processo de gestão de

remotamente, via script. ativos. Para este último, não foi informada a existência de documentação formal que suporte o processo de gestão de ativos da instituição. Evidências: A instituição utiliza a solução Desktop Central para gestão de ativos. Através dela, são gerados •Norma para Gestão de Vulnerabilidades e Pentest relatórios periódicos entregues aos times de Segurança da Informação e aos donos dos ativos,

•Norma de utilização de recursos de TI no Ambiente de Escritório destacando pontos de atenção relacionados à instalação de aplicativos obrigatórios para compliance, atualização de sistemas operacionais, configurações e aplicação de patches de da -

Nome Updates importantes LOGADAS

atualização e segurança. O Desktop Central identifica vulnerabilidades através de varredura na Descricao a do cco de

Durante sistema dentroou qualquer

rede e, ao encontrá-las, busca automaticamente os patches de correção disponíveis, faz o de

o que ocorre primeiro da janela de mplantagdo.

download e notifica os responsáveis (Segurança da Informação e donos do ativo) sobre a disponibilidade de implementação da correção. Os donos dos ativos, ao serem notificados, devem	computadores automaticaments antes da implantacao atvalizacao Facao download de patches/software durante o praximo ciclo de	Desabiltado ‘Only during Deployment Window
solicitar à equipe de infraestrutura a implementação das correções de patches conforme	de

Agenda d de para

disponibilizados pelo Desktop Central, priorizando aqueles que corrigem vulnerabilidades mais Somanats) Tiss) ]

para

[Segundo | Quarta-teira, feira, ]

Quarto Quinta Sexta-teira

críticas, conforme critérios definidos no processo de gestão de vulnerabilidades da instituição.

stings

As regras de implementação dos patches nas workstations possuem as seguintes diretrizes: Shutdown implementação durante a inicialização do sistema ou qualquer ciclo de atualização, na janela entre Post ge Reincar

Método da de

19:00 e 23:59, preferencialmente às quartas, quintas e sextas-feiras. Estão habilitadas políticas Tul menssgem foram

Novos

para forçar a reinicialização para instalação do patch, com tempo máximo de espera de 5 minutos, Mensagem antes da

computador. Ele

para que os colaboradores possam encerrar suas atividades antes da implementação. sod reincialzado.

Tempo mite se 3

aa no exe

As atualizações em servidores possuem políticas para implementação de patches na janela de para 19:00 às 23:59 de sábado e domingo, com as mesmas políticas de notificação e reinicialização forçada implementadas para desktops e workstations.

Política de implementaçao de Patches nas workstations da instituição

Instituição: Banco Master Gestão de Segurança em Terceiros: A gestão de terceiros no Banco Master é

centralizada na plataforma Linkana, com questionários para avaliação de segurança, privacidade e

Cyber

conformidade. O processo é gerenciado pela área de Riscos Operacionais, que valida as Tema: Gestão de Terceiros informações e aprova ou cancela a contratação. O questionário de segurança aborda 26 temas.

Após a contratação, o gestor acompanha o contrato e gerencia os acessos. Terceiros que lidam com informações confidenciais usam ativos conformes e acesso remoto (VDI).

Descrição

Com base nas informações fornecidas pela instituição em reunião com o time de Segurança da Informação, atualmente a Gestão de Terceiros é centralizada na plataforma Linkana. Através dela, são enviados questionários para avaliação dos fornecedores e prestadores a serem contratados em termos de segurança da informação, privacidade de dados e conformidade com legislações e regulamentos aplicáveis. O processo é gerenciado pela área de Riscos Operacionais. Após o recebimento das informações e evidências solicitadas ao terceiro, as áreas envolvidas no processo de análise devem validar as informações encaminhadas e emitir um parecer sobre o que foi analisado, aprovando ou não a contratação do terceiro. Se ao menos uma das áreas envolvidas no processo de análise (segurança da informação, privacidade ou conformidade) reprovar a solicitação, o processo de contratação é cancelado, devendo ser reavaliado junto ao fornecedor. O questionário de segurança da informação é dividido em 26 questões, que abordam os seguintes

temas: Governança de Segurança da Informação, Gestão de Ativos, Gestão de Ameaças e Vulnerabilidades, Classificação da Informação, Gestão de Incidentes de Segurança da Informação, Cópias de Segurança, Criptografia de Disco, Gestão de Continuidade de Negócios, Controle de Acesso Lógico, Controle de Acesso Físico e Gestão de Mudanças. De acordo com a Norma de Contratação de Prestadores de Serviço de TI e SI - Recursos em Nuvem, após a contratação do terceiro, é de responsabilidade do gestor responsável pelo terceiro o acompanhamento do contrato, visando garantir que a prestação dos serviços esteja em conformidade. Também é de sua responsabilidade a gestão dos acessos, análise de indicadores de disponibilidade e desempenho, análise de impacto de eventuais modificações, inspeções e due diligence no fornecedor, análise de relatórios de incidentes, em conjunto com as áreas de TI e SI, e proposição de planos de melhoria para os incidentes críticos identificados, além da formalização de novas demandas junto ao fornecedor.

A gestão do acesso ao ambiente do Banco Master deverá ser realizada em conformidade com o processo de Gestão de Acessos formalizado na instituição, sendo que as ações de solicitação, revisão e revogação dos acessos devem ser realizadas e gerenciadas pelo gestor do contrato. Caso o terceiro venha executar atividades presenciais nas instalações do Banco Master e lide com informações confidenciais, o Banco Master deverá disponibilizar ativos em conformidade com suas políticas para que o terceiro execute suas atividades. Os acessos aos sistemas e ambientes confidenciais devem ser controlados via acesso à área de trabalho remota (VDI).

Evidências:

•Norma de Contratação de Prestadores de Serviço de TI e SI: Recursos em Nuvem •Evidência de questionário e parecer de segurança da informação na plataforma Linkana •Questionário de avaliação de fornecedores.

de de Ambiente

Questionrio Avaliagio

Projeto Vertice PwC

Estritamente Privado e Confidencial Minuta

Questionário de avaliação de segurança da informação e cibernética na contratação de terceiros

17 março 2025

Instituição: Banco Master Avaliação de Maturidade de Segurança: Em 2024, a empresa realizou uma

avaliação de maturidade com base na ISO 27001, obtendo uma média geral de 4,2. Foram

Cyber

identificados diversos pontos de atenção, como a ausência de políticas e controles em criptografia Tema: Avaliação de Maturidade de Segurança e gerenciamento de fornecedores. Algumas correções foram implementadas, entretanto um plano

de ação completo será desenvolvido em 2025 com a contratação de uma consultoria para obter a certificação ISO 27001.

Descrição Evidências:

Com base nas informações fornecidas pela empresa, foi realizada em 2024 uma avaliação de •Relatório de Avaliação da Maturidade de Segurança da Informação 2024 maturidade utilizando os controles previstos no framework ISO 27001, conduzida pelo próprio time de Segurança da Informação. A avaliação considerou os controles aplicáveis dentro dos 14

Dominio Maturidade 2024

domínios do referido framework, conforme detalhado na tabela ao lado.

Dentre os pontos de atenção identificados, destacaram-se: ausência de responsabilidades e

	Politica de Seguranga da Informagao	5
papéis pela segurança da informação, ausência de segregação de funções, ausência de grupos	da Seguranca da Informacao	3,3
especiais em assuntos relacionados à segurança da informação (como a presença em fóruns sobre o tema), ausência de segurança da informação no gerenciamento de projetos, ausência de	Recursos Humanos em	5

controle de acesso ao código-fonte de programas, ausência de políticas para controles

	Gestao de Ativos	4,9
criptográficos, ausência de gerenciamento de chaves criptográficas, ausência de controles na rede	Controle de Acesso	4,9
lógica para proteção das informações nos sistemas, ausência de ambiente seguro de desenvolvimento, ausência de política de segurança da informação no relacionamento com	Criptografia Seguranca Fisica do Ambiente	2 6

fornecedores, ausência de identificação de segurança da informação em acordos com

fornecedores, ausência de segurança da informação na cadeia de suprimento, ausência de	Seguranca	nas Operagées	4,9
monitoramento e análise crítica de serviços com fornecedores, ausência de gerenciamento de	Seguranca	Comunicacdes	4,7

nas

mudanças para serviços com fornecedores, ausência de responsabilidade e procedimentos de

Aquisicéo, Desenvolvimento e Manutengéo incidentes de segurança da informação, ausência de procedimentos de notificação de eventos, 48

de Sistemas

incidentes e fragilidades de segurança da informação, ausência de avaliação e decisão de eventos

de segurança da informação, ausência de processos de aprendizado com incidentes de segurança da informação, ausência de coleta de evidências em eventos de interrupção e ausência de	Relacionamento na Cadeia de Suprimentos Gestéo de Incidentes de Seguranga da	1,8
proteção para registros.	Informagao	24
Alguns procedimentos de correção foram implementados de forma pontual, como os relacionados à gestão e resposta de incidentes de segurança. Entretanto, o Banco Master não definiu por	Aspectos de Seguranca da da Continuidade do Negocio	na 5

padrão um plano de ação para endereçar todas as observações levantadas no processo de

Conformidade 4,6

avaliação de maturidade. Para isso, a instituição definiu, para o ano de 2025, a contratação de uma

Média 4,24

consultoria para implementação dos controles definidos na ISO 27001 e obtenção da certificação.

Instituição: Banco Master Auditoria de Segurança da Informação: O Banco Master apresentou relatórios

de auditoria interna para 2022 e 2023, identificando três pontos de melhoria em 2022 e 29

Cyber

deficiências em 2023. As principais deficiências de 2023 incluem problemas de due diligence, Tema: Riscos e Auditoria segurança da informação, gestão de terceiros, acessos indevidos, falta de backups diários,

inconsistências nos testes de restore, ausência de monitoramento de disponibilidade e capacidade, gestão inadequada de ativos de TI, falta de registro de resultados de pentest.

Descrição

O Banco Master apresentou os relatórios de auditoria interna referentes aos anos de 2022 e 2023, identificando três pontos de melhoria no primeiro período e 29 apontamentos no segundo período. Para 2023, foram observadas as seguintes deficiências nos controles internos da instituição:

Deficiências em due diligence, segurança da informação e gestão de terceiros.
Credenciais administrativas com acessos indevidos.
Ausência de backup diário/full realizado em ambiente local.
Frequência de teste de restore nos ambientes AWS/Clumio e no ambiente local diferente da prevista em política.
Ausência de abertura de chamados para monitoramento e tratamento de disponibilidade e capacidade.
Ausência de gestão de ativos de TI lógicos.
Ausência de registro formalizado dos resultados de pentest.
Acessos com perfis conflitantes.
Ausência de definição de SLA e de padronização nas aberturas de incidentes e problemas operacionais.
Ausência de centralização e padronização dos controles de concessão de acesso.
Falta de tempestividade na revogação dos acessos.
Ausência de controle de revogação de acessos de prestadores.
Ausência de procedimentos formalizados para tratar de transferência de colaboradores.
Fragilidades no processo de revisão de acessos, como definição de procedimento e ausência de formalização em chamado.

Projeto Vertice Estritamente Privado e Confidencial

Falta de tempestividade na implementação de planos de ação para colaboradores capturados em campanhas de phishing.
Falta de tempestividade na revisão de documentos. Em relatório encaminhado pela instituição com os planos de ação para mitigação desses apontamentos, foi identificado que, dos 29 pontos, 16 foram tratados e concluídos, e quatro estão com status de plano de ação em andamento. Em nove apontamentos, não foi possível identificar o status atual do plano de ação para melhoria. Uma nova extração do mapa de planos de ação para tratar os pontos de auditoria foi solicitada, a fim de identificar algum progresso nos planos de ação que ainda não haviam sido concluídos. Entretanto, até a data de finalização deste relatório, o documento não foi enviado. O relatório de auditoria interna para o ano de 2024, assim como os relatórios de auditoria externa para os períodos de 2022, 2023 e 2024, foram solicitados. Porém, a instituição informou que não possui os relatórios de auditoria externa solicitados e que o relatório de auditoria interna para o ano de 2024 estava em fase de elaboração. Até a conclusão deste relatório, o documento não foi enviado para análise.

Evidências:

•Evidência do relatório de auditoria interna 2022; •Evidência do relatório de auditoria interna 2023; •Evidência do mapa de planos de ação de controles internos;

17 março 2025

Instituição: Banco Master Gestão de Riscos Cibernéticos (1 de 2): A Política de Risco Operacional da Cyber

Tema: Riscos e Auditoria probabilidade versus impacto, e controles são identificados para mitigação. Planos de ação são instituição utiliza a metodologia CRSA para identificar, avaliar, mitigar e assumir riscos em várias dimensões, como cibernética e ESG. A criticidade dos riscos é calculada por uma matriz de desenvolvidos para riscos que excedem o apetite da instituição, e a aceitação de riscos requer aprovação competente. Riscos operacionais são considerados na aquisição de novos produtos e contratação de terceiros.

Descrição

Conforme informações identificadas na Política de Risco Operacional da instituição, o processo de gestão de riscos é orientado por quatro direcionadores: identificação, avaliação, mitigação e assunção do risco. A instituição utiliza a metodologia Control Risk Self Assessment (CRSA) para gestão dos riscos operacionais, que, para fins de definição do seu escopo, considera riscos provenientes das dimensões: cibernética, conformidade, ESG, estratégico, financeiro, imagem, indisponibilidade, legal, operacional e de proteção de dados. Dentro das dimensões mencionadas, a probabilidade de ocorrência da materialização de um risco é definida para que se possa calcular a criticidade do risco através de uma matriz de probabilidade versus impacto. Para cada risco, um ou mais controles são identificados para que o risco seja erradicado ou mitigado, sendo neste último caso avaliada a eficácia do controle para fins de identificação do risco residual. Quando um risco possuir uma criticidade que extrapole os níveis de apetite a risco da instituição, é necessário o desenvolvimento de planos de ação para reduzi-lo a um risco aceitável, sendo estes definidos com medidas de controle a serem implementadas, o responsável pela sua implementação e prazos para sua execução e conclusão. Se identificado um risco cuja implementação seja de alguma forma dificultosa, como por complexidade ou custo, a política prevê, para estes casos, a adoção da estratégia de aceite do risco, mas devendo considerar a implementação de todos os esforços aplicáveis de controles para diminuição do risco. A aceitação do risco requer aprovação de alçada competente, mediante apresentação de evidência à equipe de Riscos Operacionais, de acordo com procedimento interno de alçadas competentes, apesar de a referida documentação não ter sido identificada entre os normativos enviados pela instituição. Riscos operacionais também devem ser considerados na aquisição e desenvolvimento de novos produtos, assim como na contratação de terceiros, devendo seguir, para estes casos, os mesmos procedimentos descritos acima para sua gestão.

De acordo com a documentação, o processo de gestão de riscos operacionais deve apoiar os demais processos de resposta e continuidade definidos pela instituição, tais quais o Plano de Resposta a Incidentes e o Plano de Continuidade de Negócio, devendo a classificação de impactos nos processos de negócio ser mensurada através de análises qualitativas e quantitativas para que os planos de contingência sejam definidos, estabelecendo os níveis de priorização de recuperação dos ambientes de forma adequada e alinhada aos níveis de risco operacional estabelecido no BIA da instituição. Foi apresentado o relatório de riscos operacionais do Banco Master, onde estão relacionados os macroprocessos e os seus referidos processos onde a gestão de riscos operacionais atua, sendo eles: Resposta a incidentes: Gestão de resposta a incidentes de segurança; Gestão de Identidade e Acesso: Monitoramento de vazamento de credenciais e gestão e monitoramento de acessos; Gestão de Dados: Monitoramento do ambiente e estratégias baseadas em dados; Gestão de Vulnerabilidades: Gestão de patches e atualizações, vulnerabilidades sistêmicas e monitoramento do AD; Gestão de segurança nas aplicações: Soluções antimalware e de gestão de ameaças, gestão de firewalls de aplicações e testes de penetração; Processos de apoio e governança: Gestão de treinamentos (simulação de phishing) e gestão de mudanças; Gestão de certificado digital: Gestão de certificados digitais; DevSecOps: Automação de criação de recursos na AWS e suporte a projetos (garantia de requisitos de segurança e infraestrutura).

Instituição: Banco Master Gestão de Riscos Cibernéticos (2 de 2): A Política de Risco Operacional da

instituição utiliza a metodologia CRSA para identificar, avaliar, mitigar e assumir riscos em várias

Cyber

dimensões, como cibernética e ESG. A criticidade dos riscos é calculada por uma matriz de Tema: Riscos e Auditoria probabilidade versus impacto, e controles são identificados para mitigação. Planos de ação são

desenvolvidos para riscos que excedem o apetite da instituição, e a aceitação de riscos requer aprovação competente. Riscos operacionais são considerados na aquisição de novos produtos e contratação de terceiros.

Cadeia de de

Descrição 1 Processos

Na página dedicada aos mapas de risco, foi possível identificar os mapas de calor dos riscos identificados, onde os 25 riscos mencionados acima (considerando macroprocessos e processos) foram classificados como 15 riscos de nível médio e 10 riscos de nível alto do risco inerente. Há uma visão dos riscos residuais, entretanto, esta não estava implementada pois havia uma restrição de necessidade de finalização dos testes de controles para sua implementação. O relatório de matriz de riscos também apresenta outros indicadores, tais como: classificação do risco, índice de cobertura do risco versus controles existentes, índice de cobertura do risco versus controles testados, resultados dos testes, controles identificados, riscos sem controles, percentual de tipo do controle (detectivo ou preventivo) e percentual de natureza do controle (automático ou manual). Evidências:

Política de Risco Operacional;

2 Alocago dos Riscos_Andlise Consolidada

Evidência da Matriz de Risco

Err

oH 10 9

= H, J

i :

Relatório de monitoramento de riscos cibernéticos

"PwC" refere-se à Pricewaterhousecoopers Servicos Corporativos & Recovery Ltda., firma membro do network da PricewaterhouseCoopers, ou conforme o contexto sugerir, ao próprio network. Cada firma membro da rede PwC constitui uma pessoa jurídica separada e independente. Para mais detalhes acerca do network PwC, acesse: www.pwc.com/structure

125 KiB Raw Permalink Blame History Unescape Escape

Projeto Vertice

Minuta de Relatório Executivo de Due Diligence ("aspectos preliminares DD Cibernética").

Mensagem importante a pessoas não autorizadas a ter acesso a este relatório preliminar

Sr. Paulo Henrique Costa e Sra. Cristiane Bukowitz BRB - Banco De Brasília S.A.

Lindomar Schmoller

Willer Marcondes

Christian Korver

Emerson Laerte

Rodrigo de Deus

Fernando Mitre

Pricewaterhousecoopers Servicos Corporativos & Recovery Ltda

Lindomar Schmoller

Cyber

Descrição Evidências:

Cyber

Descrição

Evidências:

Cyber

Evidências:

Instituição: Will CFI Cyber Tema: Organização e Arquitetura de Cibersegurança

Descrição

Evidências:

Instituição: Will CFI Cyber Tema: Resiliência Cibernética

Descrição

Evidências:

Cyber

Cyber

Descrição

Workspace;

Evidências:

Cyber

Descrição

Evidências:

Cyber

Descrição

Evidências:

Instituição: Will CFI Cyber Tema: Gestão de Vulnerabilidades e Patches

Descrição

Evidências:

Re-aallar

Cyber

Descrição Evidências:

Cyber

Descrição

Evidências:

Cyber

Descrição

Descrição

Evidências:

Cartes Cartes Alto

A041

A093 Medio Cartes Alto

Médio Cartes

Descrição Evidências:

Cyber

Descrição

Evidências:

Cyber

Descrição

Evidências:

Instituição: Banco Master Cyber Tema: Organização e Arquitetura de Cibersegurança

Descrição

Evidências:

Descrição

Evidências:

»

Cyber

Descrição

Evidências:

Descrição

Cyber

Descrição

Evidências:

Cyber

Descrição

Cyber

Descrição

Evidências:

Gm

125 KiB

Raw Permalink Blame History