Assunto: &nbsp;Resolução CMN Nº 4.893/2021 / Resolução CMN Nº 4.893/2021 O candidato/aluno deve identificar a alternativa correta em relação ao enunciado da questão Enunciado: A Resolução CMN nº 4.893, de 26 de fevereiro de 2021, dispõe sobre a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem, a serem observados pelas instituições autorizadas a funcionar pelo Banco Central do Brasil. Essa Resolução determina que a política de segurança cibernética e o plano de ação e de resposta a incidentes devem ser, no mínimo, documentados e revisados Gabarito: (C)anualmente (Gabarito) Considerações: Na Resolução 4.893/2021, menciona-se que o Art. 9º estabelece que a política de segurança cibernética, conforme referido no Art. 2º, e o plano de ação e resposta a incidentes, mencionado no Art. 6º, devem ser aprovados pelo conselho de administração ou, na ausência deste, pela diretoria da instituição. Além disso, o Art. 10º determina que tanto a política de segurança cibernética quanto o plano de ação e resposta a incidentes devem ser documentados e revisados, no mínimo, anualmente. ______________________________________ Literatura &nbsp;Resolução CMN nº 4.893, de 26 de fevereiro de 2021 Art. 2º&nbsp;As instituições referidas no art. 1º devem implementar e manter política de segurança cibernética formulada com base em princípios e diretrizes que busquem assegurar a confidencialidade, a integridade e a disponibilidade dos dados e dos sistemas de informação utilizados. § 1º&nbsp;A política mencionada no&nbsp;caput&nbsp;deve ser compatível com: I - o porte, o perfil de risco e o modelo de negócio da instituição; II - a natureza das operações e a complexidade dos produtos, serviços, atividades e processos da instituição; e III - a sensibilidade dos dados e das informações sob responsabilidade da instituição. § 2º&nbsp;Admite-se a adoção de política de segurança cibernética única por: I - conglomerado prudencial; e II - sistema cooperativo de crédito. § 3º&nbsp;As instituições que não constituírem política de segurança cibernética própria em decorrência do disposto no § 2º devem formalizar a opção por essa faculdade em reunião do conselho de administração ou, na sua inexistência, da diretoria da instituição. Art. 6º&nbsp;As instituições referidas no art. 1º devem estabelecer plano de ação e de resposta a incidentes visando à implementação da política de segurança cibernética. Parágrafo único.&nbsp;O plano mencionado no&nbsp;caput&nbsp;deve abranger, no mínimo: I - as ações a serem desenvolvidas pela instituição para adequar suas estruturas organizacional e operacional aos princípios e às diretrizes da política de segurança cibernética; II - as rotinas, os procedimentos, os controles e as tecnologias a serem utilizados na prevenção e na resposta a incidentes, em conformidade com as diretrizes da política de segurança cibernética; e III - a área responsável pelo registro e controle dos efeitos de incidentes relevantes. Art. 9º&nbsp;A política de segurança cibernética referida no art. 2º e o plano de ação e de resposta a incidentes mencionado no art. 6º devem ser aprovados pelo conselho de administração ou, na sua inexistência, pela diretoria da instituição. Art. 10.&nbsp;A política de segurança cibernética e o plano de ação e de resposta a incidentes devem ser documentados e revisados, no mínimo, anualmente. Portanto, gabarito alternativa correta letra C- anualmente

 Transferência dos dados ao novo prestador de serviços ou à instituição contratante, seguida pela exclusão dos dados pela empresa contratada substituída.

 Manutenção dos dados com a empresa contratada substituída, mesmo após a extinção do contrato.

 Armazenamento dos dados em servidores estrangeiros.

 Não é necessário realizar nenhuma medida específica.

Assunto : Resolução CMN Nº 4.893/2021 Alternativa Correta: A) Transferência dos dados ao novo prestador de serviços ou à instituição contratante, seguida pela exclusão dos dados pela empresa contratada substituída.&nbsp;&nbsp;Segundo o Art. 17.&nbsp;Os contratos para prestação de serviços relevantes de processamento, armazenamento de dados e computação em nuvem devem prever:I - a indicação dos países e da região em cada país onde os serviços poderão ser prestados e os dados poderão ser armazenados, processados e gerenciados;II - a adoção de medidas de segurança para a transmissão e armazenamento dos dados citados no inciso I do&nbsp;caput;III - a manutenção, enquanto o contrato estiver vigente, da segregação dos dados e dos controles de acesso para proteção das informações dos clientes;IV - a obrigatoriedade, em caso de extinção do contrato, de:a) transferência dos dados citados no inciso I do&nbsp;caput&nbsp;ao novo prestador de serviços ou à instituição contratante; eb) exclusão dos dados citados no inciso I do&nbsp;caput&nbsp;pela empresa contratada substituída, após a transferência dos dados prevista na alínea "a" e a confirmação da integridade e da disponibilidade dos dados recebidos;

 Até 30 dias após a contratação dos serviços.

 Até 5 dias após a contratação dos serviços.

 Até 60 dias antes da contratação dos serviços.

 Até 10 dias após a contratação dos serviços.

 Não é necessário comunicar ao Banco Central do Brasil sobre a contratação desses serviços.

Assunto : Resolução CMN Nº 4.893/2021 Alternativa Correta: D) Até 10 dias após a contratação dos serviços. Art. 15.&nbsp;A contratação de serviços relevantes de processamento, armazenamento de dados e de computação em nuvem deve ser comunicada pelas instituições referidas no art. 1º ao Banco Central do Brasil.§ 1º&nbsp;A comunicação mencionada no&nbsp;caput&nbsp;deve conter as seguintes informações:I - a denominação da empresa contratada;II - os serviços relevantes contratados; eIII - a indicação dos países e das regiões em cada país onde os serviços poderão ser prestados e os dados poderão ser armazenados, processados e gerenciados, definida nos termos do inciso III do art. 16, no caso de contratação no exterior.§ 2º&nbsp;A comunicação de que trata o&nbsp;caput&nbsp;deve ser realizada até dez dias após a contratação dos serviços.§ 3º&nbsp;As alterações contratuais que impliquem modificação das informações de que trata o § 1º devem ser comunicadas ao Banco Central do Brasil até dez dias após a alteração contratual.

 Existência de convênio para troca de informações entre o Banco Central do Brasil e as autoridades supervisoras dos países onde os serviços serão prestados.

 Apenas autorização do presidente da instituição contratante.

 Pagamento de uma taxa ao Banco Central do Brasil.

 Contratação de empresas estrangeiras sem nenhuma restrição.

Assunto : Resolução CMN Nº 4.893/2021 Alternativa Correta: B) Existência de convênio para troca de informações entre o Banco Central do Brasil e as autoridades supervisoras dos países onde os serviços serão prestados &nbsp;Art. 16.&nbsp;A contratação de serviços relevantes de processamento, armazenamento de dados e de computação em nuvem prestados no exterior deve observar os seguintes requisitos:I - a existência de convênio para troca de informações entre o Banco Central do Brasil e as autoridades supervisoras dos países onde os serviços poderão ser prestados;II - a instituição contratante deve assegurar que a prestação dos serviços referidos no caput não cause prejuízos ao seu regular funcionamento nem embaraço à atuação do Banco Central do Brasil;III - a instituição contratante deve definir, previamente à contratação, os países e as regiões em cada país onde os serviços poderão ser prestados e os dados poderão ser armazenados, processados e gerenciados; eIV - a instituição contratante deve prever alternativas para a continuidade dos negócios, no caso de impossibilidade de manutenção ou extinção do contrato de prestação de serviços

Questões de Conhecimentos Bancários - Resolução CMN Nº 4.893/2021