Resumo público
1. Compromisso Institucional, Objetivo e Escopo
A Cartwave, instituição de pagamento regulada pelo Banco Central do Brasil (BCB), estabelece sua Política de Segurança da Informação e Cibernética com o objetivo de proteger os dados de seus clientes, salvaguardar seus ativos tecnológicos e assegurar a continuidade dos serviços financeiros digitais.
A política aplica-se a todos os colaboradores, administradores e prestadores de serviços terceirizados. Abrange toda a infraestrutura operacional da empresa, incluindo servidores próprios, ambientes de computação em nuvem (no Brasil e no exterior), canais de atendimento, aplicativos e interfaces de integração (APIs) voltadas a contas de pagamento, transações Pix e boletos.
Esta política está em conformidade direta com a regulamentação do Sistema Financeiro Nacional, em especial as Resoluções BCB nº 85/2021 e nº 538/2025, a Lei Geral de Proteção de Dados (LGPD – Lei nº 13.709/2018) e a Lei nº 12.865/2013.
2. Estrutura de Governança
A gestão da segurança da informação na Cartwave apoia-se em uma estrutura de responsabilidade compartilhada e supervisão direta da alta administração:
- Alta Administração (Conselho/Diretoria): responsável por aprovar a política, alocar recursos humanos e financeiros e liderar a cultura de segurança.
- Diretor Responsável pela Segurança Cibernética: coordena a execução do plano de ação e resposta a incidentes, reportando o estado da segurança cibernética diretamente à diretoria.
- Equipes Especializadas (TI, Risco e Compliance): atuam na implementação de controles técnicos, desenvolvimento seguro, avaliação de riscos cibernéticos e conformidade regulatória.
- Auditoria Interna: realiza avaliações independentes periódicas sobre a eficácia dos controles de proteção.
- Colaboradores e Terceiros: têm o dever ético e operacional de seguir os procedimentos de segurança e reportar eventuais fragilidades ou suspeitas.
3. Princípios Orientadores de Segurança
As diretrizes operacionais e tecnológicas da Cartwave fundamentam-se em pilares essenciais de segurança da informação:
- Confidencialidade: acesso a informações estritamente limitado a pessoas e processos autorizados.
- Integridade: garantia de que os dados permaneçam exatos e protegidos contra alterações indevidas ou destruição.
- Disponibilidade: manutenção da operabilidade ininterrupta dos sistemas e serviços de pagamento.
- Autenticidade e Rastreabilidade: identificação precisa dos usuários e registro estruturado de operações para auditoria e reconstituição de eventos.
- Proporcionalidade ao Risco e Menor Privilégio: controles compatíveis com a complexidade do negócio e concessão de acessos limitados ao estritamente necessário (need-to-know).
- Melhoria Contínua: reavaliação e aprimoramento constante das proteções frente ao surgimento de novas ameaças no cenário digital.
4. Principais Mecanismos e Controles de Proteção
Para mitigar vulnerabilidades e prevenir ataques cibernéticos, a Cartwave adota um conjunto abrangente de salvaguardas:
- Controle de Acesso e Autenticação Forte: exigência de senhas complexas e Autenticação Multifator (MFA) para acessos remotos e sistemas administrativos críticos.
- Criptografia Avançada: proteção de dados sensíveis de clientes e segredos operacionais por meio de criptografia, tanto em trânsito (durante o tráfego de dados) quanto em repouso (armazenamento).
- Defesa Cibernética e Prevenção de Intrusões: utilização de ferramentas anti-malware corporativas atualizadas e sistemas de detecção/prevenção de intrusões (IDS/IPS).
- Prevenção contra Vazamento de Dados (DLP): monitoramento e controle nos pontos de saída de dados para evitar exfiltração não autorizada de informações confidenciais.
- Segmentação de Redes e Hardening: isolamento lógico de ambientes críticos (como o processamento transacional) em relação à rede administrativa, além de padrões rigorosos de configuração segura e atualização contínua de correções (patches).
- Gestão de Cópias de Segurança (Backups): rotinas periódicas de backup para assegurar a pronta restauração de dados diante de eventuais falhas.
- Inteligência Cibernética: monitoramento proativo de fontes externas de ameaças e alertas setoriais para antecipação de riscos.
5. Resposta a Incidentes e Continuidade dos Serviços
A Cartwave mantém planos formais de contingência e resposta estruturada para garantir resiliência operacional:
- Plano de Resposta a Incidentes: protocolo estruturado que engloba as etapas de detecção, registro, análise, contenção, remediação, análise de causa raiz (post-mortem) e notificação tempestiva ao Banco Central do Brasil em casos relevantes.
- Plano de Continuidade de Negócios (PCN) e Recuperação de Desastres: estratégias e ambientes alternativos para manter a operação ativa ou restabelecê-la rapidamente em cenários de crises tecnológicas severas.
- Simulações e Testes Anuais: realização periódica de testes práticos de continuidade e de testes de intrusão (pentests) conduzidos com independência por empresas especializadas terceirizadas.
6. Gestão de Terceiros e Computação em Nuvem
A contratação de fornecedores de tecnologia e serviços em nuvem (nacionais ou internacionais) obedece a critérios rigorosos de governança:
- Realização de análise prévia de capacidade (due diligence) e verificação do cumprimento da legislação vigente.
- Inclusão de cláusulas contratuais obrigatórias que assegurem a segregação lógica e física de dados, garantias de confidencialidade, direitos de auditoria e submissão à supervisão regulatória do Banco Central.
7. Segurança em Ecossistemas do Sistema Financeiro Nacional (Pix/SPI/STR)
Para a comunicação na Rede do Sistema Financeiro Nacional e operações no ecossistema Pix, SPI e STR, a Cartwave emprega camadas adicionais de proteção, tais como isolamento lógico e físico dedicado, gestão centralizada de certificados digitais e validações de integridade antes da assinatura digital de mensagens transacionais.
8. Conscientização e Revisão Periódica
A Cartwave promove programas contínuos de capacitação e treinamento em segurança cibernética para todos os seus colaboradores, além de fornecer orientações de segurança aos seus clientes e usuários.
A política e os planos de contingência são documentados e passíveis de revisão e aprovação formal pela Diretoria no mínimo uma vez ao ano, assegurando sua constante adequação às evoluções do mercado financeiro e de tecnologia.