Pentest 
Red Team 
Security Review 
Vantico 
Pentest para BACEN: teste de intrusão anual conforme CMN 5.274 e BCB 538
O Banco Central passou a exigir teste de intrusão independente pelo menos uma vez por ano. A Vantico executa o pentest, documenta os resultados e o plano de correção e entrega as evidências prontas para o relatório anual de segurança cibernética e para a supervisão do BCB.
O que é o Pentest para BACEN?
O Pentest para BACEN é um teste de intrusão feito para atender à exigência do Banco Central do Brasil para instituições financeiras e de pagamento. Especialistas simulam ataques reais contra aplicações, APIs, apps mobile, infraestrutura e nuvem da instituição para encontrar vulnerabilidades antes que criminosos as explorem. A diferença para um pentest comum está na entrega. Além dos achados técnicos, a Vantico estrutura escopo, metodologia, resultados e plano de correção no formato que a regulação pede. Assim, o material entra direto no relatório anual de segurança cibernética e fica pronto para uma eventual solicitação da supervisão do BCB.
Desde a Resolução CMN 5.274/2025 e a Resolução BCB 538/2025, o teste de intrusão deixou de ser boa prática e virou obrigação anual, com resultados guardados por cinco anos à disposição do Banco Central.
O que o Banco Central exige sobre teste de intrusão
Em 18 de dezembro de 2025, o CMN e o BCB publicaram as Resoluções CMN 5.274 e BCB 538. Elas atualizam as normas de segurança cibernética de 2021 e tornam o pentest anual obrigatório. O prazo de adequação terminou em 1º de março de 2026, então a exigência já vale para o ciclo atual.
Os requisitos do pentest (art. 22-A)
- Periodicidade: pelo menos uma vez por ano.
- Independência: executado com independência e imparcialidade por pessoa ou empresa especializada. Quem opera ou implementa o ambiente não pode ser quem o testa.
- Documentação: resultados e plano de correção das vulnerabilidades documentados.
- Relatório anual: o resultado dos testes entra no relatório anual de segurança cibernética (data-base 31/12), apresentado ao conselho até 31 de março.
- Retenção: resultados e planos de correção ficam à disposição do Banco Central por cinco anos, contados da data de cada teste.
Quem precisa de Pentest para BACEN
Instituições sob a Resolução CMN 4.893 que precisam incluir o resultado do pentest no relatório anual e manter as evidências por cinco anos. Para conglomerados prudenciais e sistemas cooperativos com política única, o escopo pode cobrir várias entidades no mesmo ciclo.
Sociedades de Crédito Direto e de Empréstimo entre Pessoas operam quase tudo em aplicações web, APIs e mobile. O pentest precisa cobrir onboarding, concessão de crédito, integrações com bureaus e os fluxos de pagamento.
IPs autorizadas e participantes do Pix, sob a Resolução BCB 85 alterada pela BCB 538. O isolamento dos ambientes Pix e STR, o controle de acesso administrativo e as integrações com a RSFN entram como prioridade no escopo.
Corretoras e distribuidoras de títulos e valores mobiliários e de câmbio também estão sob a exigência anual, com o mesmo nível de documentação.
Provedores de BaaS, core banking, gateways e SaaS que atendem instituições reguladas. As novas regras estendem os controles a sistemas desenvolvidos ou adquiridos de terceiros, e seus clientes vão pedir evidência de teste independente.
Nosso processo
Escopo do pentest para instituições reguladas
Autenticação, sessão, lógica de negócio, fraudes em transações e OWASP Top 10 (→ link para página de Pentest em Aplicações Web)
Autorização entre objetos (BOLA/IDOR), consentimento, limites de taxa e exposição de dados (→ Pentest em APIs)
Armazenamento local, certificate pinning, engenharia reversa e proteção contra adulteração (→ Pentest Mobile)
Perímetro, Active Directory, segmentação e movimentação lateral até ambientes críticos (→ Pentest Interno e Externo)
Validação do isolamento físico e lógico, acesso administrativo com MFA e proteção das chaves privadas
Auditoria de segurança validada por padrões globais
Nossas práticas seguem metodologias reconhecidas internacionalmente, garantindo que sua empresa esteja em conformidade com normas de segurança e preparada para enfrentar ameaças reais.
Relatórios e entregas
O relatório de Pentest para o BACEN é estruturado para servir de evidência do teste de intrusão anual exigido pela Resolução CMN 4.893 e pela BCB 85, com a redação atualizada em 2025. Inclui escopo e período dos testes, metodologia, ativos avaliados, vulnerabilidades classificadas por severidade com evidências e passos de reprodução, recomendações de correção, plano de ação para as correções e o resultado do reteste. A documentação fica pronta para o relatório anual de segurança cibernética e para a fiscalização do Banco Central. Acompanha a Carta de Atestado da Vantico, que confirma que o teste foi conduzido com independência.
Perguntas frequentes
Sim. Desde as Resoluções CMN 5.274/2025 e BCB 538/2025, instituições autorizadas a funcionar pelo BCB devem fazer teste de intrusão pelo menos uma vez por ano. O prazo de adequação terminou em 1º de março de 2026.
A CMN 5.274 altera a Resolução CMN 4.893 e vale para bancos, financeiras, cooperativas, SCDs e SEPs. A BCB 538 altera a Resolução BCB 85 e vale para instituições de pagamento, corretoras e distribuidoras. As exigências de pentest são equivalentes.
Testes internos continuam permitidos, mas o teste anual exigido pela norma precisa ser feito com independência e imparcialidade por especialista. Na prática, quem opera ou implementa o ambiente não pode testá-lo, e por isso muitas instituições contratam uma empresa externa.
No relatório anual de segurança cibernética, com data-base de 31 de dezembro e apresentação ao conselho até 31 de março. Resultados e planos de correção ficam à disposição do BCB por cinco anos.