A Cipher, unidade de cibersegurança do Grupo Prosegur fundada em 2000, e o Fitbank, infraestrutura de pagamentos e banking as a service, conquistaram simultaneamente as certificações internacionais PCI DSS e PCI PIN em 11 meses para a infraestrutura 100% nativa em nuvem da fintech. A operação movimenta cerca de R$ 130 bilhões em transações e passou pela adequação sem interrupções.
O projeto mira um dos dilemas das fintechs hoje: como automatizar criptografia e manter governança bancária sem travar a agilidade da nuvem. Dados do Cipher Lab, centro de inteligência e inovação da Cipher, mostram que as tentativas de ataques a infraestruturas financeiras e de pagamentos na nuvem registraram aumento significativo no último ano. Em outubro, o Let’s Money mostrou que um grupo brasileiro mira a nuvem dos bancos no Pix, segundo a CrowdStrike.
Requisitos desenhados para data centers físicos
A parceria focou na adequação contínua da infraestrutura do Fitbank a dois padrões: o PCI DSS, padrão global para proteção de dados de cartões de pagamento, e o PCI PIN Security, focado na segurança dos códigos PIN em transações.
O desafio técnico residiu no fato de que grande parte dos requisitos dessas certificações foi originalmente desenhada para data centers físicos tradicionais, o que exigiu arquiteturas altamente customizadas para ambientes em nuvem. As duas certificações saíram ao mesmo tempo, no prazo que as empresas classificam como recorde, e garantem a integridade e a rastreabilidade da operação, sem qualquer interrupção operacional no ecossistema da fintech.
Além da adequação normativa, o projeto implementou uma integração, que as empresas descrevem como inédita, entre o sistema de gestão de demandas (Jira) e os módulos de segurança de hardware (Hardware Security Modules, HSM). A automação integrou os processos de solicitação, aprovação e gestão de chaves criptográficas, eliminando gargalos manuais e garantindo que respostas críticas sejam executadas com rapidez e consistência.
“O case com o Fitbank exemplifica como a proteção digital moderna deve atuar como um habilitador de negócios, e não como um gargalo. Adequar uma operação 100% em nuvem de R$ 130 bilhões aos padrões PCI PIN e PCI DSS em apenas 11 meses prova que é possível unir conformidade rigorosa, automação de chaves criptográficas e velocidade de escala sem pausar a operação”, destaca Paulo Poi, Head Latam da Cipher.
Auditabilidade para o ecossistema de pagamentos
“A transição e adequação dos nossos ambientes nativos em nuvem para exigências normativas internacionais trouxe um patamar superior de auditabilidade, agilidade e confiança para todo o nosso ecossistema de pagamentos. Ter a especialização da Cipher nesse processo nos permitiu obter certificações críticas de forma ágil, garantindo aos nossos clientes que cada operação transita sob os mais elevados níveis de segurança do mercado”, afirma Gustavo Ramos, Head of IT Infraestructure and Security do Fitbank.
Como desdobramento do projeto e evolução da parceria, as companhias preveem a expansão dos mecanismos de automação de resposta a incidentes e o aprimoramento contínuo da visibilidade de ameaças em tempo real.
O que observar
Para fintechs e instituições de pagamento que operam totalmente em nuvem, a questão é como atender padrões internacionais de segurança de cartões criados para data centers físicos sem pausar a operação. Vale acompanhar a expansão prevista da automação de resposta a incidentes e da visibilidade de ameaças em tempo real, e se a gestão automatizada de chaves criptográficas ganha espaço em outras infraestruturas de pagamento e banking as a service.
