Resolução CMN nº 5.274/2025
A Resolução CMN nº 5.274 alterou a Res. 4.893 e passou a exigir segmentação de rede e o isolamento físico e lógico dos ambientes Pix e STR. O Akamai Guardicore cria esse isolamento por software, em servidores, nuvem e containers, e entrega a evidência que a auditoria pede.
O prazo de adequação terminou em 1º de março de 2026. Agora o que conta é demonstrar ao auditor e ao Banco Central que os ambientes críticos estão, de fato, separados do restante da instituição.
A norma também trata a comunicação pela RSFN como serviço relevante, qualquer que seja a forma de conexão (art. 22-B), e exige teste de intrusão anual com plano de correção documentado (art. 22-A). Em uma rede plana, um único servidor invadido abre caminho até o que roda o Pix, e o firewall de borda não enxerga esse tráfego interno, o chamado leste-oeste.
Os três dispositivos centrais para segmentação e isolamento.
§ 11, I · art. 3º
Dividir a rede em zonas para que um problema em uma área não contamine as outras, começando pelo que mantém o negócio de pé.
Políticas granulares leste-oeste por aplicação e processo, não só por IP. Ring-fencing das aplicações críticas e mapa em tempo real de quem conversa com quem.
Art. 3º-A, I, b
O Pix precisa viver em um cofre separado do resto da instituição, com instância dedicada e apartada quando houver nuvem contratada.
Perímetro lógico em volta do Pix em servidores físicos, VMs, nuvem e Kubernetes, com a mesma política. Bloqueia acesso vindo de sistemas vizinhos comprometidos, e o rótulo “Pix” mostra e prova o isolamento no mapa.
Art. 3º-A, I, c
O mesmo cofre, agora para o Sistema de Transferência de Reservas, também com instância dedicada e apartada na nuvem.
Política e rótulo próprios para o STR. Visões e relatórios por ambiente facilitam a comprovação separada de Pix e STR.
| Dispositivo | Exigência | Contribuição do Guardicore |
|---|---|---|
| Art. 3º-A, I, a | Múltiplos fatores de autenticação no acesso administrativo ao Pix e ao STR. | A plataforma permite exigir MFA como parte da política de segmentação (confirmar módulo e licenciamento). |
| § 11, II, III, IV e VI | Regras e monitoramento de conexões, inclusive fora do horário comercial, e acesso apenas de ativos autorizados. | Visibilidade de fluxos e políticas por ativo e identidade ajudam a definir, monitorar e restringir conexões. |
| Art. 3º, § 8º e art. 22-A | Testes de intrusão anuais, com plano de correção documentado. | A segmentação compõe o plano de ação para achados de movimento lateral. |
Do mapa da rede à evidência para a auditoria, em quatro passos.
A IA mapeia dependências e rotula ativos desconhecidos.
Sugere políticas com nota de confiança e evidências.
Bloqueia em tempo real o que não é autorizado.
Valida acessos e gera a prova para a auditoria.
Regras granulares entre servidores e aplicações dentro da rede. Se um servidor cair, o problema fica nele: o movimento lateral e a propagação de ransomware são contidos.
Mapa vivo de aplicações e dependências. Você passa a enxergar o que nunca viu, e essa é a base para provar o isolamento.
Firewall no próprio servidor ou agentless, em VMware, Azure, AWS, Hyper-V, Kubernetes e físicos. Cobre o parque inteiro, inclusive legado, IoT e OT.
Perímetros em volta das aplicações críticas sem depender só de regras estáticas de IP. O IP muda, a identidade permanece.
Uma política para quem entra (norte-sul) e para o que conversa com o quê (leste-oeste), com um agente e um console. O Guardicore Access é licenciado à parte.
A política é testada antes de valer e aplicada em fases, reduzindo o risco de indisponibilidade em produção.
até 33% menos tempo para conter ransomware em organizações que adotaram microssegmentação.
Fonte: Akamai Segmentation Impact Study 2025, pesquisa com 1.200 líderes de segurança e tecnologia. A Akamai foi nomeada líder no Forrester Wave™: Microsegmentation, Q3 2026.
O Guardicore fica no centro da arquitetura. Para os requisitos que dependem de identidade, detecção, dados ou resiliência, o portfólio CLM completa a cobertura.
| Requisito | Guardicore | Complemento CLM | Aderência |
|---|
| Inciso e exigência | Guardicore | Complemento recomendado |
|---|---|---|
| I. Segmentar redes e proteger produção e processos críticos | Microsegmentation e Application Ring-Fencing: isolamento e bloqueio de movimento lateral | Sem complemento tecnológico principal obrigatório |
| II. Firewall e conexões externas | Policy Enforcement e Visibility Map: regras de comunicação e monitoramento de fluxos | AlgoSec Firewall Analyzer / FireFlow; Hillstone NGFW |
| III. Conexões externas, inclusive fora do expediente | Visibility Map e logs: identificação e investigação de conexões | Vectra NDR e correlação por horário |
| IV. Prevenir conexões externas indevidas | Policy Enforcement: bloqueio de fluxos e isolamento de aplicações | Netskope One SSE / SWG |
| V. Eventos atípicos, VPN e acesso privilegiado | ExAR e Threat Detection: investigação e contenção de workloads | Delinea Secret Server (PAM) e Vectra NDR |
| VI. Apenas dispositivos autorizados | Segmentação com contexto de identidade: restrição de comunicação | Forescout eyeSight / eyeControl: classificação e controle de dispositivos |
Direto o Guardicore executa a função técnica específica. Parcial contribui, mas requer outro controle ou processo. Complementar depende primordialmente de outra tecnologia ou de governança. Direto (*) vale para o controle técnico de comunicação ou rede, não para todos os elementos de identidade, operação e governança. Nenhuma classificação equivale, isoladamente, à conformidade regulatória.
Microsegmentation, Application Ring-Fencing, Discovery & Visibility e ExAR
RSA, Silverfort, SailPoint, Delinea
SentinelOne, Vectra, Netskope
Thales, Veeam, Forescout
Picus, AlgoSec, Hexnode
Histórias de clientes publicadas pela Akamai.
O SBI Holdings, grupo financeiro japonês, usa o Guardicore em sua jornada Zero Trust diante de ataques cada vez mais intensos ao setor.
Uma grande empresa de saneamento protegeu serviços essenciais para 1,6 milhão de pessoas.
Uma consultoria global protegeu 300 mil endpoints em duas semanas, em um dos maiores projetos de microssegmentação do mundo.
Se alguma delas não tem resposta clara hoje, vale uma conversa.
Firewall e VLAN protegem a borda e as grandes zonas. O risco está no tráfego interno entre servidores. O Guardicore enxerga e controla por aplicação e processo, sem redesenhar a rede.
O projeto começa pela descoberta e pela simulação: a política é testada antes de valer e aplicada em fases.
Há opções com e sem agente. O agentless atende PaaS, IoT e OT; o agente entrega mais visibilidade onde for viável.
Começamos pelo escopo menor e mais crítico, Pix e STR, e expandimos depois. A IA sugere as políticas e o seu time valida.
A norma exige instância dedicada e apartada. Separar os ambientes dentro da nuvem é responsabilidade da instituição.
Não existe produto que, sozinho, garanta conformidade: ela é avaliada pela instituição e pelo regulador. O Guardicore ajuda a atender e a comprovar. Isolamento físico e instância dedicada na nuvem são decisões de arquitetura da instituição, que o Guardicore complementa.
Instalar o Guardicore, mapear aplicações e rotular Pix e STR.
Desenhar as políticas e testar o impacto antes de aplicar.
Aplicar em fases e gerar a evidência para a auditoria.
O time de pré-vendas da CLM conduz um workshop de descoberta focado em Pix e STR, sem compromisso.
Agendar workshop de descoberta