Instrução Normativa BCB N° 663

O Chefe do Departamento de Tecnologia da Informação (Deinf), no uso da sua atribuição, tendo em vista o disposto no art. 71, inciso V, do Regimento Interno do Banco Central do Brasil, anexo à Resolução BCB nº 340, de 21 de setembro de 2023, e considerando
o disposto na Resolução BCB nº 498, de 5 de setembro de 2025,

R E S O L V E:

Art. 1º  Esta Instrução Normativa estabelece prazos para o Provedor de Serviços de Tecnologia da Informação – PSTI, em funcionamento na data da entrada em vigor da Resolução BCB nº 498, de 5 de setembro de 2025, promover as adaptações necessárias com vistas
a sua adequação às regras sobre política de segurança da informação e sobre política de gestão de fraudes estabelecidas na referida Resolução.

Art. 2º  O PSTI de que trata o art. 1º deverá, em até 15 (quinze) dias, contados da entrada em vigor desta Instrução Normativa, implementar os seguintes aspectos da política de segurança da informação previstos no art. 17 da Resolução BCB nº 498, de 2025:

I – adoção de mecanismos de rastreabilidade de transações contemplando, no mínimo:

a)  trilhas de auditoria do processamento fim-a-fim dos dados e das informações, incluindo a definição e a geração de logs que possibilitem identificar falhas de processamento ou comportamento atípicos, bem como subsidiar análises;

b)   definição de tempo de retenção de informações de acordo com o tipo de processamento realizado;

c)  retenção segura das trilhas de auditoria; e

d)  acesso às trilhas de auditoria pelas instituições que utilizam os serviços providos pelo PSTI, para fins de conciliação ou gestão de riscos;

II – adoção de controle de acesso, incluindo, ao menos:

a) mecanismos para limitar o acesso à rede corporativa a usuários e dispositivos autorizados;

b) a revisão periódica e tempestiva das permissões de acesso, em especial, de colaboradores terceirizados com acesso ao ambiente computacional da instituição;

c) o estabelecimento de múltiplos fatores de autenticação para acesso à rede corporativa a partir de ambientes externos; e

d) uso de múltiplos fatores de autenticação para o acesso administrativo aos ambientes Pix e STR;