Maturidade da segurança dos sistemas de informação · Regulamento COBAC segurança SI

O regulamento COBAC sobre a segurança dos sistemas de informação impõe às instituições sujeitas da zona CEMAC um dispositivo formalizado de controlo do risco informático. Abrange a governação do SI e a responsabilidade do órgão de administração, a política de segurança, a classificação dos ativos e dos dados, a gestão dos acessos e das habilitações, a segurança das infraestruturas e das aplicações, a continuidade e a recuperação de atividade, a gestão dos incidentes e a sua notificação à Comissão Bancária, bem como o enquadramento dos prestadores informáticos. O controlo periódico e o reporte ao supervisor completam o dispositivo.

Na prática, a exigência é mais fácil de enunciar do que de gerir. As instituições da sub-região combinam frequentemente um núcleo bancário antigo, uma componente monética externalizada, canais de banca digital recentes e agências com ligações heterogéneas. Três questões repetem-se sistematicamente. A política de segurança é realmente aplicada nas filiais e nas agências, ou apenas aprovada na sede? As habilitações são revistas em datas fixas, incluindo as contas dos prestadores e as contas privilegiadas? O plano de continuidade foi testado num cenário real, com uma ata utilizável pelo controlo periódico?

Duas confusões merecem ser esclarecidas. A primeira consiste em equiparar a conformidade com o regulamento à existência de um orçamento informático e de uma firewall: o texto refere-se a um dispositivo de controlo, portanto a papéis, procedimentos, provas e revisões, não a um inventário de equipamentos. A segunda consiste em tratar a segurança SI como um tema puramente técnico, quando o regulamento envolve o órgão de administração e se articula com os dispositivos de controlo interno, de risco operacional e de subcontratação já exigidos pela COBAC. O mapeamento dos riscos informáticos deve ler-se dentro do mapeamento dos riscos da instituição.

Uma auditoria de conformidade termina com uma constatação binária: a exigência está satisfeita ou não está. O diagnóstico de maturidade responde a outra questão. Situa cada prática numa escala progressiva, do gesto pontual ao dispositivo pilotado e revisto, e indica a ação precisa que permite passar ao nível seguinte. Esta leitura é a que uma direção geral necessita quando tem de decidir entre vários projetos num exercício e justificar as suas prioridades perante o comité de auditoria.

O referencial está pronto a utilizar no Datamensio e permanece adaptável. A IA ajusta os domínios, as perguntas e os níveis ao seu perfil, banco comercial, instituição de microfinanças ou instituição de pagamento, ou constrói uma versão a partir da sua política de segurança e dos seus relatórios de controlo. Os desvios constatados alimentam diretamente um roteiro priorizado, consolidável em várias entidades do grupo.