Paulo de Matos Junior, empresário do segmento financeiro, nas áreas de câmbio e intermediação de criptoativos, chama atenção para um pilar da regulação que costuma receber menos destaque do que merece: a segurança cibernética. Discussões sobre o tema geralmente se concentram em capital mínimo, governança e prevenção à lavagem de dinheiro, deixando de lado exigências técnicas igualmente centrais das novas normas, que impactam diretamente a forma como PSAVs precisam estruturar sua infraestrutura tecnológica desde o primeiro dia de operação.
O motivo pelo qual segurança cibernética virou exigência regulatória
Diferente de uma instituição financeira tradicional, cujo principal risco tecnológico envolve fraude em transações eletrônicas, uma PSAV lida diretamente com ativos cuja posse depende exclusivamente do controle de chaves criptográficas. Uma falha de segurança nesse contexto pode significar perda total e irreversível dos recursos custodiados, sem qualquer mecanismo de reversão disponível, diferentemente do que ocorre em fraudes bancárias convencionais, nas quais o cliente costuma contar com algum tipo de contestação ou ressarcimento junto à instituição.
A característica técnica particular do setor justifica um nível de exigência em segurança da informação superior ao aplicado a muitas instituições financeiras tradicionais, que ainda contam com mecanismos de estorno e contestação indisponíveis no universo cripto. Como explica Paulo de Matos Junior, a ausência dessa rede de segurança tradicional exige controles preventivos mais rígidos, já que corrigir um erro depois do fato costuma ser impossível nesse tipo de operação.
As exigências das normas para as PSAVs de criptoativos
As PSAVs autorizadas precisam manter políticas formais de segurança da informação, incluindo controles de acesso a sistemas críticos, planos de resposta a incidentes cibernéticos e auditorias periódicas de vulnerabilidade em sua infraestrutura tecnológica. As exigências buscam antecipar problemas antes que se transformem em incidentes com impacto direto sobre clientes, reduzindo a chance de falhas silenciosas passarem despercebidas por longos períodos, um risco especialmente relevante em sistemas que processam movimentações financeiras em tempo integral.
A designação de um diretor responsável especificamente por segurança da informação, prevista nas normas, reforça a importância dada ao tema dentro da estrutura de governança exigida das empresas autorizadas, criando um ponto único de responsabilidade sobre o assunto. A centralização dessa responsabilidade facilita tanto a comunicação com o regulador quanto a coordenação interna diante de qualquer incidente identificado.
Como isso se compara a outras exigências do setor financeiro?
Bancos e instituições de pagamento já operam há anos sob exigências robustas de segurança cibernética, impostas por normas específicas do Banco Central voltadas a esse tema. A extensão dessas exigências às PSAVs representa mais um ponto de equiparação entre o mercado de criptoativos e o restante do sistema financeiro regulado, reduzindo a distância que antes separava os dois universos em termos de maturidade tecnológica exigida por lei.
A diferença técnica relevante, como sublinha Paulo de Matos Junior, está na superfície de ataque: enquanto um banco lida principalmente com sistemas centralizados, uma PSAV frequentemente interage com múltiplas redes blockchain, cada uma com suas próprias características de segurança e possíveis vulnerabilidades específicas, o que exige conhecimento técnico especializado e atualizado constantemente por parte das equipes responsáveis.
O que investidores podem observar sobre esse critério?
Para o investidor comum, avaliar a maturidade em segurança cibernética de uma prestadora não é tarefa simples, mas alguns sinais ajudam nessa análise, como a existência de auditorias de segurança divulgadas publicamente e histórico de incidentes tratados com transparência pela empresa. A forma como uma PSAV se comunica após um incidente, inclusive, costuma revelar mais sobre sua maturidade do que a ausência total de problemas registrados.
Na avaliação de Paulo de Matos Junior, prestadoras que tratam segurança cibernética como prioridade estratégica, e não apenas como exigência regulatória a ser cumprida no mínimo necessário, tendem a se destacar em um mercado cada vez mais competitivo e fiscalizado pelo Banco Central, atraindo justamente o tipo de cliente mais criterioso na hora de escolher onde manter seus recursos.
