Objetivos
Alcançar e demonstrar o nível de segurança da informação exigido para acessar a central de risco de crédito, e deixar instalado um sistema de gestão que sustentasse esse nível ao longo do tempo.
Fintech
Fintech de crédito ao consumo: segurança como chave regulatória
Implantação de um Sistema de Gestão da Segurança da Informação em uma fintech de crédito ao consumo, onde a certificação não era um objetivo comercial, mas o requisito que abria uma capacidade de negócio.
- Setor
- Fintech — crédito ao consumo
- País
- Uruguai
- Marco
- ISO/IEC 27001 e legislação de dados pessoais
- Resultado
- Acesso habilitado à central de risco do banco central
Problema
O modelo de negócio dependia de avaliar o risco de crédito de cada solicitante com dados confiáveis. O acesso a essa informação é condicionado a exigências de segurança e de tratamento de dados pessoais que a organização precisava comprovar antes de poder operar com ela.
Solução
Implantamos o sistema de gestão e os controles de segurança da informação necessários para satisfazer essas exigências, com foco no controle de acessos, na rastreabilidade do uso dos dados e no tratamento de dados pessoais conforme a legislação aplicável.
Resultado
A organização obteve o acesso à central de risco do banco central e pôde sustentar seu processo de originação de crédito sobre informação verificada, com a rastreabilidade que a própria regulação exige.
Contexto do cliente
As fintechs de crédito ao consumo operam com dois ativos igualmente críticos: a informação pessoal e financeira dos seus solicitantes e o acesso às fontes de dados que permitem avaliar seu risco. O segundo depende do primeiro: quem não consegue demonstrar como protege os dados não acessa esses dados.
O projeto
Abordagem
Partimos de uma auditoria de diagnóstico para separar o que já estava resolvido do que era preciso construir. O trabalho concentrou-se nos controles que a exigência regulatória olha com mais atenção —gestão de acessos e privilégios, registro e rastreabilidade, criptografia, gestão de terceiros e resposta a incidentes— e em documentar o ciclo de vida do dado pessoal dentro da organização.
Resultados
A habilitação foi obtida e o modelo de originação pôde operar sobre informação verificada. O sistema de gestão ficou instalado como estrutura permanente, de modo que as revisões posteriores são respondidas com evidência já existente em vez de com um esforço extraordinário.
Reflexão e aprendizados
É o caso que melhor ilustra um argumento que repetimos: a segurança da informação nem sempre se justifica pelo risco que evita. Às vezes se justifica pela porta que abre.
Perguntas frequentes
Que exigências de segurança tem o acesso a uma central de risco de crédito?
O acesso à informação de uma central de risco de crédito é restrito a entidades habilitadas e sujeito ao sigilo estabelecido pela regulação do banco central, além das obrigações da legislação de proteção de dados pessoais. Na prática, exige controle de acesso por usuário nominal, rastreabilidade de cada consulta, guarda do dado e um marco de gestão que sustente tudo isso de forma verificável.
Uma fintech precisa certificar a ISO/IEC 27001?
Nem sempre por obrigação legal, mas cada vez mais por pressão da cadeia: bancos correspondentes, adquirentes e fontes de dados exigem evidência de um marco de segurança. Implantar o sistema e certificá-lo são decisões separáveis: há organizações que implantam por necessidade operacional e certificam mais adiante, quando o certificado passa a ter valor comercial.