Radar

Autoridades americanas alertam sobre o risco cibernético e as medidas a serem tomadas

Mercados SecundáriosTecnologia e High-frequency Trading

Ameaças cibernéticas são tentativas de comprometer  confidencialidade, integridade ou disponibilidade dos dados ou dos sistemas de uma firma.

A SEC americana e a FINRA (o órgão autorregulador americano) publicaram no mês de fevereiro de 2015 as conclusões quanto aos controles realizados no ano 2014, em uma seleção de corretores e gestores. O relatório da SEC é subsequente à publicação, no final de 2014, de novas regras para reforço dos sistemas tecnológicos das bolsas e de outros participantes chave do mercado (ver Radar ANBIMA n° 11). Esses esforços fazem parte da estratégia nacional dos EUA na área da segurança cibernética: no mês de fevereiro passado, o Presidente americano Barack Obama assinou uma nova Executive Order para facilitar o compartilhamento das informações sobre as ameaças cibernéticas entre os setores público e privado. A ordem presidencial segue uma anterior, assinada em 2013, com foco na segurança cibernética das infraestruturas criticas (incluindo as infraestruturas bancárias e financeiras). O Presidente Obama também anunciou em fevereiro a criação do CTIIC, o Cyber Threat Intelligence Integration Center(CTIIC), um centro responsável por dividir as informações sobre as ameaças cibernéticas.

O setor financeiro parece um dos mais vulneráveis aos ataques cibernéticos, devido à sua dependência das tecnologias e à importância das informações que ele guarda, bem como aos potenciais riscos sistêmicos no caso de um ataque ao sistema financeiro. As visitas realizadas pela SEC e pela FINRA mostraram que a grande maioria das instituições visitadas já foram alvos de ataques cibernéticos, diretamente ou via fornecedores.

O relatório da FINRA usa o aprendizado das visitas conduzidas para definir princípios e práticas eficazes para as instituições reforçarem sua segurança cibernética. As recomendações cobrem os seguintes aspectos:

• A governança, incluindo mecanismos de escalação e participação de executivos sêniores, e, em certos casos, dos diretores;
• Os processos para a avaliação dos riscos e a identificação dos ativos críticos;
• Os controles para proteger os dados e sistemas, usando padrões reconhecidos em função da tecnologia e vulnerabilidades particulares da instituição;
• Planos de resposta aos incidentes, incluindo estratégias de containment, recovery, processos de análises e investigações e planos de comunicação;
• Diligência em relação aos fornecedores;
• Treinamento dos funcionários;
• Mecanismos para acessar e compartilhar informações sobre as ameaças cibernéticas com outras instituições do setor;
• Benefícios do recurso a políticas de seguro específicas.   

O regulador americano de derivativos (CFTC) também organizou, no dia 15 de março, uma mesa redonda sobre a segurança cibernética. O assunto permanecerá como uma das prioridades para as autoridades americanas em 2015. A ANBIMA participa de uma força-tarefa do Comitê Consultivo dos Membros Afiliados da IOSCO que já produziu um primeiro relatório, interno à IOSCO, sobre fatos e procedimentos relacionados à segurança cibernética – contando, inclusive, com a participação de instituições associadas na amostra consultada. Entre os próximos passos desse grupo em 2015 cabe mencionar um levantamento das práticas na área da segurança cibernética dos gestores de fundos de investimento.