. .XV .Caso participe ou pretenda participar de forma direta do SPI, telefone da instituição para assuntos relacionados ao SPI9 . . .XVI .Caso participe ou pretenda participar de forma direta do SPI, endereço eletrônico (e-mail) da instituição para assuntos relacionados ao SPI9 . 1 Fica dispensado o envio de formulário de atualização cadastral nos casos em que a alteração consista exclusivamente no montante e nas modalidades de contas transacionais ativas, exceto caso atingindo o volume que caracterize ou descaracterize a participação obrigatória no Pix, nos termos do disposto no art. 88, caput e § 2º. 2 A atualização cadastral referente à alteração de razão social das instituições autorizadas a funcionar pelo Banco Central do Brasil observará as disposições contidas em regulamentação específica, nos termos disposto no art. 92. 3 A prestação de serviço de iniciação de transação de pagamento é facultativa aos participantes liquidantes especiais e disponível apenas mediante prévia autorização para exercício da atividade, concedida pelo Banco Central do Brasil, ressalvados os casos de dispensa previstos em regulamentação específica. Caso optante pela oferta desse serviço, deverá indicar, ao menos, uma das modalidades de iniciação de um Pix. 4 Para fins de atualização cadastral, a alteração de dados relacionados ao diretor responsável por questões relacionadas à participação no Pix deve ser realizada, diretamente no Unicad, pela instituição participante ou em processo de adesão ao Pix que já possua código Sisbacen, nos termos do disposto no art. 89. 5Para fins de atualização cadastral, a alteração de contatos para assuntos relacionados ao Pix deve ser requisitada por meio de e-mail enviado à caixa corporativa [email protected] a partir de contato previamente informado e cadastrado para esse mesmo fim, nos termos do disposto no art. 91. 6 Preencher com o nome da pessoa que responde no telefone indicado. Caso não seja de alguém em específico, preencher o campo "Nome" com o termo "Institucional". Caso a instituição deseje informar mais de três telefones, é excepcionalmente permitida a inserção de mais linhas, denominadas "XII (d)", "XII (e)" e, assim, sucessivamente. 7Para fins de atualização cadastral, a alteração de contatos para assuntos relacionados ao Pix deve ser requisitada por meio de e-mail enviado à caixa corporativa [email protected] a partir de contato previamente informado e cadastrado para esse mesmo fim, nos termos do disposto no art. 91. 8 Preencher com o nome da pessoa que responde no e-mail indicado. Caso não seja de alguém em específico, preencher o campo "Nome" com o termo "Institucional". Caso a instituição deseje informar mais de três e-mails, é excepcionalmente permitida a inserção de mais linhas, denominadas "XIII (d)", "XIII (e)" e, assim, sucessivamente. 9 Para fins de atualização cadastral, a alteração de dados relacionados ao diretor responsável pelo SPI e Conta PI deve ser realizada nos termos dispostos em regulamentação específica do SPI, conforme determinado no art. 90. Declaramos ciência de que: (i) o Banco Central do Brasil se reserva o direito de exigir informações e documentos complementares a qualquer tempo; e (ii) a adesão e a posterior participação no Pix implica no aceite às regras, às condições e aos procedimentos estabelecidos no Regulamento do Pix. ______________________________________________________ Nome e Cargo Anexo II-B Questionário de autoavaliação em segurança - instituições autorizadas a funcionar pelo Banco Central do Brasil que pretendam atuar exclusivamente na modalidade liquidante especial O questionário aborda aspectos de segurança relacionados ao Pix. A observância desses aspectos é obrigatória a todos os participantes. Dessa forma, o não atendimento à totalidade desses aspectos, bem como a não implementação efetiva dos mecanismos de segurança previstos, desde o início da etapa de operação restrita, sujeita o pleiteante ao indeferimento do pedido de adesão. O participante deverá armazenar evidências que suportem a sua aderência aos aspectos elencados neste questionário por ocasião do envio ao Banco Central do Brasil. Essas evidências poderão ser requisitadas pelo Banco Central do Brasil e podem incluir, a critério do participante, diagramas, topologias, fluxogramas, capturas de tela, consultas com respectivos retornos ou outros documentos que julgue pertinentes. Importa ressaltar que o eventual fornecimento, ao Banco Central do Brasil, de documentos, dados ou informações incorretos ou em desacordo com os prazos e condições estabelecidas em normas legais ou regulamentares constitui infração punível nos termos da legislação vigente. . .Inscrição no CNPJ . . .Razão social . . .I .Comunicação segura . . .A seção 2 do Manual de Segurança do Pix dispõe sobre regras para fins de comunicação segura . .I (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 2 do Manual de Segurança do Pix? (Sim/Não) . .II .Assinatura Digital . . .A seção 3 do Manual de Segurança do Pix dispõe sobre a assinatura digital das mensagens trafegadas no SPI e no DICT. . .II (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 3 do Manual de Segurança do Pix? (Sim/Não) . .III .Certificados digitais . . .A seção 5 do Manual de Segurança do Pix dispõe sobre os tipos de certificado a serem utilizados no âmbito do Pix, bem como dos processos de ativação, de desativação e de verificação de revogação desses certificados. . .III (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 5 do Manual de Segurança do Pix? (Sim/Não) . .IV .Implementação segura de aplicativos, APIs e outros sistemas . . .A seção 6 do Manual de Segurança do Pix dispõe sobre aspectos de segurança obrigatórios na implementação de sistemas afetos ao Pix. . .IV (a) .A solução prevista contempla a utilização, desde o primeiro momento da instituição em operação plena, de mecanismos de criptografia na comunicação entre os sistemas e APIs relacionados ao Pix e seus respectivos aplicativos ou softwares clientes? (Sim/Não) . .IV (b) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de autenticação forte do software cliente nas APIs e sistemas relacionados ao Pix? (Sim/Não) . .IV (c) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança capazes de garantir que as APIs e outros sistemas utilizados sejam acessados apenas pelos softwares clientes legítimos do participante, de forma a impedir ataques man-in-the-middle? (Sim/Não) . .IV (d) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança capazes de garantir que o software cliente se comunique apenas com APIs e sistemas desejados, de forma a impedir ataques man-in-the-middle e manipulação de sua comunicação? (Sim/Não) . .IV (e) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança que impeçam engenharia reversa, descompilação, manipulação de código, modificação de credenciais ou de parâmetros de segurança, dentre outras técnicas que resultem na adulteração dos aplicativos ou softwares clientes? (Sim/Não) . .IV (f) .A solução prevista contempla a implementação da segurança das APIs e outros sistemas relacionados ao Pix majoritariamente na parte servidora, desde o primeiro momento da instituição em operação plena, de forma a evitar que a segurança se restrinja somente ao software cliente ou aplicativo? (Sim/Não) . .IV (g) .A solução prevista contempla o fornecimento, desde o primeiro momento da instituição em operação plena, apenas das informações estritamente necessárias para o correto funcionamento dos aplicativos? (Sim/Não) . .V .Logs de Auditoria . . .A seção 7 do Manual de Segurança do Pix dispõe sobre os logs de auditoria que devem ser mantidos por todos os participantes do Pix. . .V (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 7 do Manual de Segurança do Pix? (Sim/Não) . .VI .Mecanismos de prevenção a ataques de leitura . . .A seção V do capítulo XIII do Regulamento Anexo à Resolução BCB nº 1 (Regulamento do Pix), de 12 de agosto de 2020, e a seção 13 do Manual Operacional do DICT dispõem sobre mecanismos de prevenção a ataques de leitura. . .VI (a) .A solução prevista contempla a implementação de mecanismos de prevenção a ataques de leitura à base interna de chaves Pix da instituição desde o primeiro momento da instituição em operação plena? (Sim/Não) . .VI (b) .Os mecanismos planejados de prevenção a ataques de leitura à base interna de chaves Pix da instituição são, no mínimo, iguais aos mecanismos de prevenção a ataques de leitura existentes no DICT e detalhados no Manual Operacional do DICT? (Sim/Não) . .VI (c) .A solução prevista contempla a implementação de mecanismos de prevenção a ataques de leitura ao DICT desde o primeiro momento da instituição em operação plena? (Sim/Não) . .VI (d) .Os mecanismos planejados de prevenção a ataques de leitura ao DICT são, no mínimo, iguais aos mecanismos de prevenção a ataques de leitura existentes no DICT e detalhados no Manual Operacional do DICT? (Sim/Não) . .VII (e) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismo de política interna de limitação de consultas? (Sim/Não) . .VII (f) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de identificação e tratamento de casos de excessivas consultas de chaves Pix que não resultem em envio de ordem de pagamento? (Sim/Não) . .VII (g) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de identificação e tratamento de casos de excessivas consultas de chaves não registradas no DICT? (Sim/Não) . .VII (h) .A instituição estabelecerá, desde o primeiro momento da instituição em operação plena, plano de ação para tratamento de casos suspeitos de ataque de leitura? (Sim/Não) Declaramos ciência de que: i) o Banco Central do Brasil se reserva o direito de exigir informações e documentos complementares a qualquer tempo; e (ii) a adesão e a posterior participação no Pix implica no aceite às regras, às condições e aos procedimentos estabelecidos no Regulamento do Pix. ______________________________________________________ Nome (diretor responsável pela política de segurança cibernética) Anexo III - Documentos para instituições que participam ou que pretendem participar do Pix exclusivamente na modalidade iniciador Anexo III-A Formulário de adesão para instituições, autorizadas a funcionar pelo Banco Central do Brasil, que pretendam participar do Pix exclusivamente na modalidade iniciador; e Formulário de atualização cadastral para instituições, autorizadas a funcionar pelo Banco Central do Brasil, já participantes do Pix na modalidade iniciador. . .I .Motivo da apresentação .( ) ( ) ( ) .Pedido de adesão Atualização cadastral de participante do Pix em operação, nos termos dispostos no art. 88 Atualização cadastral de instituição em adesão ao Pix, nos termos dispostos no art. 88 . .II .Caso o motivo da apresentação do formulário seja atualização cadastral, indicar ao lado o(s) item(ns) a ser(em) alterado(s). Caso trate-se de pedido de adesão, não assinalar e pular para o item III .( ) ( ) .V - Alteração na forma de acesso ao DICT. VI - Alteração do participante direto que presta serviços no DICT . .III .Inscrição no CNPJ . . . .IV .Razão social1 . . . .V .Tipo de acesso ao DICT .( ) ( ) ( ) .direto indireto. Preencher item VI. não acessa . .VI .Código ISPB do participante direto com acesso ao DICT que prestará serviços . . . .VII .Identificação de diretor responsável pelo atendimento às demandas do Banco Central do Brasil relacionadas a questões concernentes ao Pix2 .Nome: CPF: . .VIII .Telefone do iniciador para assuntos relacionados ao Pix3 (Obs1: Informar, ao menos, um telefone) (Obs2: Ao menos um dos telefones informados deverá ser compartilhável com outros participantes do Pix) . . . . .(Obs3: Não serão aceitos telefones de central de atendimento ao consumidor ou similares) . . . .VIII (a) .Telefone 1: Nome4: .( ) .autoriza o compartilhamento com outros participantes do Pix . .VIII (b) .Telefone 2: Nome4: .( ) .autoriza o compartilhamento com outros participantes do Pix . .VIII (c) .Telefone 3: Nome4: .( ) .autoriza o compartilhamento com outros participantes do Pix . .... .... .... . . .IX .Endereço eletrônico (e-mail) da instituição para assuntos relacionados ao Pix5 (Obs1: Informar, ao menos, um e-mail) (Obs2: Informar, ao menos, um e-mail correspondente a caixa corporativa acessível a mais de um usuário) . . . . .(Obs3: Ao menos um dos e-mails informados deverá ser compartilhável com outros participantes do Pix) (Obs4: Não serão aceitos e-mails de atendimento ao consumidor ou similares) . . . .IX (a) .E-mail 1: Nome6: .( ) ( ) .autoriza o compartilhamento com outros participantes do Pix caixa corporativa acessível a mais de um usuário . .IX (b) .E-mail 2: Nome6: .( ) ( ) .autoriza o compartilhamento com outros participantes do Pix caixa corporativa acessível a mais de um usuário . .IX (c) .E-mail 3: Nome6: .( ) ( ) .autoriza o compartilhamento com outros participantes do Pix caixa corporativa acessível a mais de um usuário . .... ..... ..... . 1 A atualização cadastral referente à alteração de razão social das instituições autorizadas a funcionar pelo Banco Central do Brasil observará as disposições contidas em regulamentação específica, nos termos disposto no art. 88. 2 Para fins de atualização cadastral, a alteração de dados relacionados ao diretor responsável por questões relacionadas à participação no Pix deve ser realizada, diretamente no Unicad, pela instituição participante ou em processo de adesão ao Pix que já possua código Sisbacen, nos termos do disposto no art. 89. 3Para fins de atualização cadastral, a alteração de contatos para assuntos relacionados ao Pix deve ser requisitada por meio de e-mail enviado à caixa corporativa [email protected] a partir de contato previamente informado e cadastrado para esse mesmo fim, nos termos do disposto no art. 91. 4 Preencher com o nome da pessoa que responde no telefone indicado. Caso não seja de alguém em específico, preencher o campo "Nome" com o termo "Institucional". Caso a instituição deseje informar mais de três telefones, é excepcionalmente permitida a inserção de mais linhas, denominadas "VIII (d)", "VIII (e)" e, assim, sucessivamente. 5Para fins de atualização cadastral, a alteração de contatos para assuntos relacionados ao Pix deve ser requisitada por meio de e-mail enviado à caixa corporativa [email protected] a partir de contato previamente informado e cadastrado para esse mesmo fim, nos termos do disposto no art. 91. 6 Preencher com o nome da pessoa que responde no e-mail indicado. Caso não seja de alguém em específico, preencher o campo "Nome" com o termo "Institucional". Caso a instituição deseje informar mais de três e-mails, é excepcionalmente permitida a inserção de mais linhas, denominadas "IX (d)", "IX (e)" e, assim, sucessivamente. Declaramos ciência de que: (i) o Banco Central do Brasil se reserva o direito de exigir informações e documentos complementares a qualquer tempo; e (ii) a adesão e a posterior participação no Pix implica no aceite às regras, às condições e aos procedimentos estabelecidos no Regulamento do Pix. ________________________________________________________ Nome e Cargo Anexo III-B Formulário de intenção de oferta de produtos e de serviços a serem ofertados por instituições, autorizadas a funcionar pelo Banco Central do Brasil, que pretendem participar do Pix exclusivamente na modalidade iniciador; e Formulário de atualização de intenção de oferta de produtos e de serviços por instituições, autorizadas a funcionar pelo Banco Central do Brasil, já participantes do Pix na modalidade iniciador. . .I .Motivo da apresentação .( ) ( ) ( ) .Pedido de adesão Atualização de produtos e de serviços, ofertados por participantes do Pix em operação, nos termos do art. 88 Atualização de produtos e de serviços a serem ofertados por instituição em adesão ao Pix, nos termos do art. 88 . .II .Inscrição no CNPJ . . . .III .Razão Social . . . .IV .Produtos facultativos ofertados por meio de serviço de iniciação1 .( ) ( ) ( ) ( ) ( ) ( ) .Iniciação de Pix - Inserção manual de dados da conta transacional do usuário recebedor Iniciação de Pix - Chave Pix Iniciação de Pix - INIC2 Iniciação de Pix - leitura de QR Code Pix Agendado Pix Automático - Pagamento . . . . . 1 O iniciador deverá disponibilizar, no mínimo, uma das modalidades de iniciação de um Pix. 2 Corresponde aos casos em que o participante iniciador detém as informações do usuário recebedor. Anexo III-C Questionário de autoavaliação em segurança - Instituições autorizadas a funcionar pelo Banco Central do Brasil que pretendam participar do Pix exclusivamente na modalidade iniciador e acessar de forma direta o DICT O questionário aborda aspectos de segurança relacionados ao Pix. A observância desses aspectos é obrigatória a todos os participantes. Dessa forma, o não atendimento à totalidade desses aspectos, bem como a não implementação efetiva dos mecanismos de segurança previstos, desde o início da etapa de operação restrita, sujeita o pleiteante ao indeferimento do pedido de adesão. O participante deverá armazenar evidências que suportem a sua aderência aos aspectos elencados neste questionário por ocasião do envio ao Banco Central do Brasil. Essas evidências poderão ser requisitadas pelo Banco Central do Brasil e podem incluir, a critério do participante, diagramas, topologias, fluxogramas, capturas de tela, consultas com respectivos retornos ou outros documentos que julgue pertinentes. Importa ressaltar que o eventual fornecimento, ao Banco Central do Brasil, de documentos, dados ou informações incorretos ou em desacordo com os prazos e condições estabelecidas em normas legais ou regulamentares constitui infração punível nos termos da legislação vigente. . .Inscrição no CNPJ . . .Razão social . . .I .Comunicação segura . . .A seção 2 do Manual de Segurança do Pix dispõe sobre regras para fins de comunicação segura . .I (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 2 do Manual de Segurança do Pix? (Sim/Não) . .II .Assinatura Digital . . .A seção 3 do Manual de Segurança do Pix dispõe sobre a assinatura digital das mensagens trafegadas no SPI e no DICT. . .II (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 3 do Manual de Segurança do Pix? (Sim/Não) . .III .Segurança de QR Codes dinâmicos . . .A seção 4 do Manual de Segurança do Pix dispõe sobre as especificações de segurança de QR Codes dinâmicos gerados pelo recebedor. . .III (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos no item 4.3 do Manual de Segurança do Pix? (Sim/Não/Não será ofertada a geração e nem a leitura de QR Codes dinâmicos) . .IV .Certificados digitais . . .A seção 5 do Manual de Segurança do Pix dispõe sobre os tipos de certificado a serem utilizados no âmbito do Pix, bem como dos processos de ativação, de desativação e de verificação de revogação desses certificados. . .IV (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 5 do Manual de Segurança do Pix? (Sim/Não) . .V .Implementação segura de aplicativos, APIs e outros sistemas . . .A seção 6 do Manual de Segurança do Pix dispõe sobre aspectos de segurança obrigatórios na implementação de sistemas afetos ao Pix. . .V (a) .A solução prevista contempla a utilização, desde o primeiro momento da instituição em operação plena, de mecanismos de criptografia na comunicação entre os sistemas e APIs relacionados ao Pix e seus respectivos aplicativos ou softwares clientes? (Sim/Não) . .V (b) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de autenticação forte do software cliente nas APIs e sistemas relacionados ao Pix? (Sim/Não) . .V (c) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança capazes de garantir que as APIs e outros sistemas utilizados sejam acessados apenas pelos softwares clientes legítimos do participante, de forma a impedir ataques man-in-the-middle? (Sim/Não) . .V (d) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança capazes de garantir que o software cliente se comunique apenas com APIs e sistemas desejados, de forma a impedir ataques man-in-the-middle e manipulação de sua comunicação? (Sim/Não) . .V (e) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança que impeçam engenharia reversa, descompilação, manipulação de código, modificação de credenciais ou de parâmetros de segurança, dentre outras técnicas que resultem na adulteração dos aplicativos ou softwares clientes? (Sim/Não) . .V (f) .A solução prevista contempla a implementação da segurança das APIs e outros sistemas relacionados ao Pix majoritariamente na parte servidora, desde o primeiro momento da instituição em operação plena, de forma a evitar que a segurança se restrinja somente ao software cliente ou aplicativo? (Sim/Não) . .V (g) .A solução prevista contempla o fornecimento, desde o primeiro momento da instituição em operação plena, apenas das informações estritamente necessárias para o correto funcionamento dos aplicativos? (Sim/Não) . .V (h) .A solução prevista contempla a implementação de controles, desde o primeiro momento da instituição em operação plena, para garantir que informações como CPF completo (sem máscara), dados de agência e conta de destinatários de pagamentos via Pix, bem como informações para fins de segurança vinculadas às chaves Pix, sejam de uso exclusivo dos sistemas internos do participante e não sejam expostas aos seus aplicativos e softwares clientes? (Sim/Não) . .V (i) .A solução prevista contempla o tratamento e o mascaramento de dados obtidos na consulta de chaves Pix e transações utilizando QR Code diretamente no sistema ou API, ao invés da utilização de filtros no software cliente, desde o primeiro momento da instituição em operação plena? (Sim/Não) . .V (j) .A solução prevista contempla a implementação em seu sítio web, desde o primeiro momento da instituição em operação plena, de mecanismos para prevenção ao uso de robôs e automatização de consultas de chaves e transações Pix? (Sim/Não/Não haverá utilização do sítio para iniciação de um Pix) . .VI .Logs de Auditoria . . .A seção 7 do Manual de Segurança do Pix dispõe sobre os logs de auditoria que devem ser mantidos por todos os participantes do Pix. . .VI (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 7 do Manual de Segurança do Pix? (Sim/Não) . .VII .Mecanismos de prevenção a ataques de leitura . . .A seção V do capítulo XIII do Regulamento Anexo à Resolução BCB nº 1 (Regulamento do Pix), de 12 de agosto de 2020, e a seção 13 do Manual Operacional do DICT dispõem sobre mecanismos de prevenção a ataques de leitura. . .VII (a) .A solução prevista contempla a implementação de mecanismos de prevenção a ataques de leitura ao DICT desde o primeiro momento da instituição em operação plena? (Sim/Não) . .VII (b) .Os mecanismos planejados de prevenção a ataques de leitura ao DICT são, no mínimo, iguais aos mecanismos de prevenção a ataques de leitura existentes no DICT e detalhados no Manual Operacional do DICT? (Sim/Não) . .VII (c) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismo de verificação de autenticidade do usuário solicitante da consulta? (Sim/Não) . .VII (d) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismo de política interna de limitação de consultas? (Sim/Não) . .VII (e) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de identificação e tratamento de casos de excessivas consultas de chaves Pix que não resultem em envio de ordem de pagamento? (Sim/Não) . .VII (f) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de identificação e tratamento de casos de excessivas consultas de chaves não registradas no DICT? (Sim/Não) . .VII (g) .A instituição estabelecerá, desde o primeiro momento da instituição em operação plena, plano de ação para tratamento de casos suspeitos de ataque de leitura? (Sim/Não) Declaramos ciência de que: (i) o Banco Central do Brasil se reserva o direito de exigir informações e documentos complementares a qualquer tempo; e (ii) a adesão e a posterior participação no Pix implica no aceite às regras, às condições e aos procedimentos estabelecidos no Regulamento do Pix. ______________________________________________________ Nome (diretor responsável pela política de segurança cibernética) Anexo III-D Questionário de autoavaliação em segurança - Instituições autorizadas a funcionar pelo Banco Central do Brasil que pretendam participar do Pix exclusivamente na modalidade iniciador e acessar de forma indireta o DICT O questionário aborda aspectos de segurança relacionados ao Pix. A observância desses aspectos é obrigatória a todos os participantes. Dessa forma, o não atendimento à totalidade desses aspectos, bem como a não implementação efetiva dos mecanismos de segurança previstos, desde o início da etapa de operação restrita, sujeita o pleiteante ao indeferimento do pedido de adesão. O participante deverá armazenar evidências que suportem a sua aderência aos aspectos elencados neste questionário por ocasião do envio ao Banco Central do Brasil. Essas evidências poderão ser requisitadas pelo Banco Central do Brasil e podem incluir, a critério do participante, diagramas, topologias, fluxogramas, capturas de tela, consultas com respectivos retornos ou outros documentos que julgue pertinentes. Importa ressaltar que o eventual fornecimento, ao Banco Central do Brasil, de documentos, dados ou informações incorretos ou em desacordo com os prazos e condições estabelecidas em normas legais ou regulamentares constitui infração punível nos termos da legislação vigente. . .Inscrição no CNPJ . . .Razão social . . .I .Segurança de QR Codes dinâmicos . . .A seção 4 do Manual de Segurança do Pix dispõe sobre as especificações de segurança de QR Codes dinâmicos gerados pelo recebedor. . .I (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos no item 4.3 do Manual de Segurança do Pix? (Sim/Não/Não será ofertada a geração e nem a leitura de QR Codes dinâmicos) . .II .Implementação segura de aplicativos, APIs e outros sistemas . . .A seção 6 do Manual de Segurança do Pix dispõe sobre aspectos de segurança obrigatórios na implementação de sistemas afetos ao Pix. . .II (a) .A solução prevista contempla a utilização, desde o primeiro momento da instituição em operação plena, de mecanismos de criptografia na comunicação entre os sistemas e APIs relacionados ao Pix e seus respectivos aplicativos ou softwares clientes? (Sim/Não) . .II (b) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de autenticação forte do software cliente nas APIs e sistemas relacionados ao Pix? (Sim/Não) . .II (c) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança capazes de garantir que as APIs e outros sistemas utilizados sejam acessados apenas pelos softwares clientes legítimos do participante, de forma a impedir ataques man-in-the-middle? (Sim/Não) . .II (d) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança capazes de garantir que o software cliente se comunique apenas com APIs e sistemas desejados, de forma a impedir ataques man-in-the-middle e manipulação de sua comunicação? (Sim/Não) . .II (e) .A solução prevista contempla a implementação, desde o primeiro momento da instituição em operação plena, de mecanismos de segurança que impeçam engenharia reversa, descompilação, manipulação de código, modificação de credenciais ou de parâmetros de segurança, dentre outras técnicas que resultem na adulteração dos aplicativos ou softwares clientes? (Sim/Não) . .II (f) .A solução prevista contempla a implementação da segurança das APIs e outros sistemas relacionados ao Pix majoritariamente na parte servidora, desde o primeiro momento da instituição em operação plena, de forma a evitar que a segurança se restrinja somente ao software cliente ou aplicativo? (Sim/Não) . .II (g) .A solução prevista contempla o fornecimento, desde o primeiro momento da instituição em operação plena, apenas das informações estritamente necessárias para o correto funcionamento dos aplicativos? (Sim/Não) . .II (h) .A solução prevista contempla a implementação de controles, desde o primeiro momento da instituição em operação plena, para garantir que informações como CPF completo (sem máscara), dados de agência e conta de destinatários de pagamentos via Pix, bem como informações para fins de segurança vinculadas às chaves Pix, sejam de uso exclusivo dos sistemas internos do participante e não sejam expostas aos seus aplicativos e softwares clientes? (Sim/Não) . .II (i) .A solução prevista contempla o tratamento e o mascaramento de dados obtidos na consulta de chaves Pix e transações utilizando QR Code diretamente no sistema ou API, ao invés da utilização de filtros no software cliente, desde o primeiro momento da instituição em operação plena? (Sim/Não) . .II (j) .A solução prevista contempla a implementação em seu sítio web, desde o primeiro momento da instituição em operação plena, de mecanismos para prevenção ao uso de robôs e automatização de consultas de chaves e transações Pix? (Sim/Não/Não haverá utilização do sítio para iniciação de um Pix) . .III .Logs de Auditoria . . .A seção 7 do Manual de Segurança do Pix dispõe sobre os logs de auditoria que devem ser mantidos por todos os participantes do Pix. . .III (a) .A solução prevista considera a observação, desde o primeiro momento da instituição em operação plena, dos requisitos dispostos na seção 7 do Manual de Segurança do Pix? (Sim/Não) . .IV .Mecanismos de prevenção a ataques de leitura . . .A seção V do capítulo XIII do Regulamento Anexo à Resolução BCB nº 1 (Regulamento do Pix), de 12 de agosto de 2020, e a seção 13 do Manual Operacional do DICT dispõem sobre mecanismos de prevenção a ataques de leitura.
INSTRUÇÃO NORMATIVA BCB Nº 511, DE 30 DE AGOSTO DE 2024 (parte 8 de 10)
Publicado no Diário Oficial da União, seção 1, em , página 95. Órgão: Banco Central do Brasil — DEPARTAMENTO DE COMPETIÇÃO E DE ESTRUTURA DO MERCADO FINANCEIRO. Todos os atos de 04/09/2024