Uma seguradora lida diariamente com CPF, histórico de sinistros, dados de saúde e informações financeiras de milhões de segurados. Esse volume de dados sensíveis, somado a integrações constantes com corretoras, prestadores e plataformas de terceiros, faz da segurança cibernética em seguradoras um tema que já não cabe apenas à área de TI.
Em 2026, o assunto ganhou outro peso regulatório. Em julho, a Susep publicou um manual de orientações sobre segurança cibernética consolidando boas práticas identificadas em supervisão. Em agosto, uma nova norma alterou a Circular Susep nº 638/2021, endurecendo exigências sobre terceirização de processamento e armazenamento de dados.
Para seguradoras que ainda tratam segurança como um projeto pontual de TI, esse movimento regulatório expõe uma lacuna: falta de política formal, de rastreabilidade sobre fornecedores e de estrutura para responder a incidentes dentro do prazo exigido.
Este artigo organiza o que uma liderança de tecnologia, operações ou compliance precisa entender para avaliar o cenário atual da sua seguradora: onde o risco realmente se concentra, o que a regulação exige, o que costuma dar errado na prática e quais critérios orientam a decisão entre manter, ajustar ou reestruturar a arquitetura de segurança.
Principais pontos
- A segurança cibernética em seguradoras é hoje uma exigência regulatória da Susep, não apenas uma prática recomendada — descumprir prazos de política, resposta a incidentes ou documentação de terceirização gera exposição direta perante o órgão supervisor.
- O risco raramente está concentrado em um único ponto: ele se espalha entre sistemas legados, integrações via API com corretoras e parceiros, e contratos de terceirização mal documentados.
- Decisões baseadas apenas em ferramentas isoladas (antivírus, firewall, backup) tendem a deixar descoberta a parte que mais preocupa a Susep: governança, rastreabilidade e gestão de terceiros.
- Critérios objetivos — maturidade da arquitetura, dependência de sistemas legados, volume de integrações e capacidade interna — ajudam a decidir se o caminho é ajuste pontual ou reestruturação.
- O próximo passo recomendado não é substituir sistemas de uma vez, mas mapear onde a exposição realmente está antes de qualquer investimento.
⚠️ Ponto de atenção: quando a política de segurança cibernética de uma seguradora existe apenas no papel, sem processos de identificação de dados relevantes, resposta a incidentes e gestão documentada de terceiros, o risco tende a permanecer invisível — até que um evento force a demonstrar, em poucos dias, o que deveria estar estruturado com antecedência.
O que é segurança cibernética em seguradoras, na prática
Segurança cibernética em seguradoras é a combinação de três camadas: uma política formal que define objetivos e responsabilidades; controles técnicos que protegem sistemas, dados e integrações; e processos de governança que garantem rastreabilidade, resposta a incidentes e gestão de fornecedores.
A diferença em relação a outros setores está na natureza do dado e na cadeia de terceiros. Uma seguradora concentra dados de sinistro, saúde, patrimônio e histórico financeiro — informações de alto valor para fraude e extorsão. Ao mesmo tempo, opera com uma cadeia extensa de corretoras, prestadores de serviço, resseguradoras e plataformas de pagamento, cada uma representando um ponto adicional de exposição.
Por isso, no setor segurador brasileiro, segurança cibernética não é sinônimo de infraestrutura de TI protegida. É a capacidade de demonstrar, com documentação e processo, que a operação identifica riscos, monitora incidentes e responde dentro dos prazos que a regulação exige — inclusive quando o incidente ocorre em um fornecedor terceirizado.
O que mudou na regulação em 2026 e por que isso importa agora
A base regulatória da segurança cibernética para seguradoras no Brasil não é recente, mas foi reforçada de forma relevante ao longo de 2026.
A Circular Susep nº 638/2021 segue sendo a norma central: estabelece a obrigatoriedade de uma política formal de segurança cibernética, proporcional ao porte e à complexidade da operação, com processos de identificação de vulnerabilidades, resposta a incidentes, continuidade de negócio e comunicação à Susep em até cinco dias úteis após a ciência de um evento relevante.
Ela também exige que contratos de terceirização de processamento e armazenamento de dados sejam comunicados à Susep e que fornecedores mantenham padrão de segurança equivalente ao da própria seguradora.
Em 20 de agosto de 2026, uma nova norma alterou pontos dessa circular, reforçando especificamente as exigências sobre terceirização: contratos, aditivos e alterações relacionados a processamento e armazenamento de dados passam a precisar estar acessíveis à Susep sempre que solicitados, junto da documentação necessária para avaliar o serviço, os riscos envolvidos e a conformidade regulatória. Na prática, isso eleva o padrão de rastreabilidade exigido sobre qualquer fornecedor que toque dados sensíveis da operação.
Poucas semanas antes, em 10 de julho de 2026, a Susep havia publicado um manual de orientações sobre segurança cibernética, fundamentado nas Resoluções CNSP nº 416/2021, 491/2026 e 492/2026 e nas Circulares Susep nº 638/2021 e 700/2024. O documento tem caráter orientativo — não substitui as normas vigentes — mas consolida boas práticas identificadas pela supervisão em temas como governança, gestão de riscos, terceirização e computação em nuvem, servindo como referência prática de “o que a Susep espera ver” em uma auditoria.
Esse movimento também está conectado a uma política mais ampla: o Decreto federal nº 11.856/2023 instituiu a Política Nacional de Cibersegurança, e a própria Susep formalizou, em 2024, um grupo de trabalho dedicado a estudar segurança cibernética no setor supervisionado — sinal de que o tema seguirá recebendo atenção regulatória crescente, e não apenas em ciclos pontuais.
Para uma liderança de tecnologia ou compliance, o recorte prático é este: a regulação já não avalia apenas se existe um firewall ou um antivírus. Ela avalia se existe política documentada, processo de resposta a incidente com prazo definido e controle sobre o que terceiros fazem com os dados da operação.
Vale diferenciar dois planos regulatórios que se complementam: as normas da Susep tratam especificamente da segurança cibernética da operação supervisionada, enquanto a LGPD estabelece as regras gerais de tratamento de dados pessoais que incidem sobre qualquer dado de segurado processado nesse caminho.
Os detalhes de adequação à LGPD são tratados em LGPD nas Empresas: adequação, governança e compliance na prática.
Onde o risco realmente aparece na operação
Falar em “segurança cibernética” de forma genérica esconde onde o problema de fato se manifesta no dia a dia de uma seguradora. Quatro frentes concentram a maior parte da exposição.
Sistemas legados que não acompanham o volume de integrações
Sistemas core antigos, construídos antes da expansão de canais digitais e corretoras conectadas via API, costumam não ter trilha de auditoria completa, controle de acesso granular ou capacidade de monitoramento contínuo. Cada nova integração aumenta a superfície de risco sem que a base tecnológica evolua na mesma proporção.
Integrações e APIs sem inventário nem padrão de segurança
À medida que seguradoras conectam corretoras, parceiros de venda e plataformas de sinistro via API, é comum que essas interfaces cresçam sem inventário centralizado, com credenciais compartilhadas e escopos de acesso mais amplos do que o necessário.
Isso é tratado em profundidade no artigo Segurança de APIs no setor de seguros: riscos e exigências, que aprofunda os controles técnicos exigidos nesse ponto específico.
Terceirização sem documentação nem rastreabilidade
A exigência reforçada pela norma de agosto de 2026 existe porque esse é, na prática, um dos pontos mais frágeis: contratos de processamento e armazenamento de dados que não são atualizados, aditivos que não ficam registrados e fornecedores cujo padrão de segurança nunca foi formalmente avaliado.
Processos manuais em torno de dados sensíveis
Planilhas paralelas, e-mails com anexos de sinistro e processos que dependem de decisão individual — sem controle de acesso nem log — criam pontos cegos que nenhuma ferramenta de perímetro consegue proteger, porque o risco está no processo, não na infraestrutura.
Impactos que ficam ocultos até o incidente acontecer
O custo de manter um risco cibernético sem estrutura raramente aparece no orçamento até que um evento o torne visível. Três tipos de impacto costumam permanecer ocultos:
Regulatório.
O não cumprimento do prazo de comunicação à Susep, a ausência de política formal ou a falta de documentação sobre terceiros expõe a seguradora a questionamentos de supervisão, independentemente de o incidente ter causado dano direto ao segurado.
Operacional.
Um incidente que afeta um sistema core ou uma integração crítica pode interromper emissão de apólices, processamento de sinistros ou comunicação com corretoras — com efeito direto sobre receita e relacionamento comercial.
Contratual e de resseguro.
Operações de resseguro e parcerias de distribuição frequentemente têm cláusulas relacionadas a segurança da informação. Uma estrutura frágil pode se tornar um ponto de atrito em renovações ou auditorias de parceiros.
O que costuma dar errado na prática
| Erro recorrente | Por que acontece | Consequência | Como reduzir o risco |
|---|---|---|---|
| Política de segurança existe só no papel | Documento criado para atender auditoria, sem processo operacional por trás | Falta de resposta estruturada quando um incidente ocorre de fato | Transformar a política em processo: papéis definidos, fluxo de resposta testado e revisão periódica |
| Terceirização sem contrato atualizado | Fornecedores contratados ao longo do tempo, sem revisão formal de aditivos | Impossibilidade de comprovar conformidade à Susep quando solicitado | Manter inventário de fornecedores com contratos, aditivos e critérios de segurança documentados |
| Integrações via API sem inventário | Cada nova integração é tratada como projeto isolado, sem padrão único | Credenciais expostas, escopos de acesso amplos demais, difícil rastreabilidade | Centralizar gestão de APIs com padrão de autenticação, escopo e monitoramento único |
| Dependência de conhecimento concentrado | Poucas pessoas entendem a arquitetura de segurança e integrações | Resposta lenta a incidentes quando essas pessoas não estão disponíveis | Documentar arquitetura e processos, reduzindo dependência de indivíduos específicos |
| Modernização de legado adiada indefinidamente | Migração vista como custo e risco, não como redução de risco futuro | Sistema antigo acumula vulnerabilidades e limita controles modernos de segurança | Avaliar modernização por camadas, priorizando os pontos de maior exposição primeiro |
Reconhecer esses padrões é o primeiro passo prático.
Use o diagnóstico rápido para identificar quais desses erros já aparecem na sua operação.
Critérios de decisão para avaliar a maturidade da sua operação
Antes de decidir entre ajustar, evoluir ou reestruturar, vale avaliar objetivamente cinco frentes:
0 de 5 pontos marcados como frágeis na sua operação
Avalie agora se sua arquitetura ainda acompanha o ritmo da operação
Cada nova integração sustentada por ajustes pontuais, em vez de padrão, aumenta a fragilidade do conjunto — o diagnóstico rápido logo acima ajuda a localizar onde isso já está acontecendo na sua seguradora.
Considere manter a estrutura atual quando…
A política de segurança já é documentada e testada, os fornecedores têm contratos atualizados e auditáveis, e as integrações contam com inventário e monitoramento centralizados. Nesse cenário, o foco deve ser manutenção contínua e adequação às atualizações regulatórias, como a norma de agosto de 2026.
Considere uma evolução gradual quando…
A base é sólida, mas existem pontos específicos de exposição — como um conjunto de integrações sem padrão único ou parte da documentação de terceiros desatualizada. Nesse caso, ajustes direcionados reduzem risco sem exigir reestruturação completa.
Considere uma reestruturação mais profunda quando…
Sistemas legados concentram parte relevante da operação, a governança de terceiros é inexistente ou informal, e não há capacidade interna dedicada a manter isso atualizado frente a normas que mudam com frequência. Nesse cenário, arquitetura, integração e governança precisam ser tratadas como projeto estruturado, não como ajuste [TEXTO INCOMPLETO — aguardando o restante da frase]
Comparação entre caminhos possíveis
| Alternativa | Quando pode funcionar | Limitação principal | Impacto possível | Critério para avançar |
|---|---|---|---|---|
| Manter processos manuais e planilhas | Operações muito pequenas, com poucas integrações e dados | Sem rastreabilidade, escala mal e não atende exigências de documentação da Susep | Dificuldade de comprovar conformidade em auditoria | Volume de dados e integrações cresceu além da capacidade de controle manual |
| Ferramentas isoladas (antivírus, firewall, backup) | Primeira camada de proteção, sempre necessária | Não cobre governança, terceirização nem rastreabilidade documental exigida pela regulação | Falsa sensação de segurança: perímetro protegido, processo desprotegido | A auditoria ou a Susep pedem evidência de processo, não apenas de ferramenta |
| Desenvolvimento interno de toda a estrutura de segurança e integração | Empresas com equipe de tecnologia robusta e tempo para maturar internamente | Exige contratação, retenção de conhecimento especializado e atualização constante frente a normas novas | Custo de oportunidade alto e risco de dependência de poucas pessoas | Falta de capacidade interna para acompanhar mudanças regulatórias com a velocidade necessária |
| Squads especializados e parceiro de tecnologia para integração, legado e governança | Quando a prioridade é estruturar rápido sem abrir mão de controle sobre a arquitetura | Exige alinhamento claro de escopo e governança compartilhada com o parceiro | Redução do tempo entre diagnóstico e estrutura funcionando | Necessidade de acelerar adequação regulatória sem sobrecarregar o time interno |
Não existe alternativa universalmente certa: a escolha depende do estágio de maturidade atual, do volume de integrações e da capacidade interna disponível para sustentar a operação ao longo do tempo.
Se o caminho de squads especializados e parceiro de tecnologia parece o mais aderente à sua realidade,
avalie com um especialista da Tecnologia Única quais gargalos da sua arquitetura pesam mais na decisão.
Diagnóstico rápido: onde está o gargalo da sua operação
Diagnóstico rápido
Onde está o gargalo de segurança cibernética da sua seguradora?
Marque as afirmações que já descrevem sua operação hoje. Ao final, você recebe uma leitura geral do estágio atual — um ponto de partida para decidir os próximos passos, não uma auditoria completa.
Este diagnóstico é um ponto de partida consultivo, com base nas respostas marcadas — não substitui uma avaliação técnica completa da operação.
Como uma arquitetura mais integrada e governada sustenta a segurança
Nenhuma das frentes descritas até aqui se resolve isoladamente. Sistema legado, integração sem padrão e terceirização sem documentação são, na prática, sintomas de um mesmo problema: a ausência de uma arquitetura estruturada por trás da operação.
É nesse ponto que a atuação da Tecnologia Única se conecta ao tema — não como fornecedora de uma ferramenta de segurança isolada, mas como parceira estruturadora da arquitetura, das integrações e da modernização que sustentam uma operação mais segura e mais fácil de auditar.
Na prática, isso acontece de três formas.
Primeiro, por meio de squads especializados em outsourcing de tecnologia, que reforçam a capacidade interna da seguradora para tratar integrações, documentação e governança sem depender de contratações extensas — tema aprofundado em Outsourcing de TI para Seguradoras: quando contratar.
Segundo, por meio de projetos de integração de sistemas e modernização de sistemas legados, que reduzem a dependência de estruturas sem trilha de auditoria — como detalhado em Integração de Sistemas Empresariais no setor de seguros e em Modernização de sistemas legados em seguradoras.
Terceiro, por meio da plataforma de Gestão de Seguros — cotação, apólices e resseguro — desenvolvida para operar de forma integrada, reduzindo a fragmentação que costuma abrir espaço para falhas de controle.
Um exemplo de arquitetura estruturada nesses moldes é o case da Herval Seguradora, que utilizou a plataforma Proteo-InsureMO como core baseado em APIs e microsserviços para lançar uma operação digital autorizada pela Susep, com emissão de apólices e processamento de sinistros integrados a múltiplos canais de venda.
O caso ilustra, na prática, como uma arquitetura bem estruturada — e não apenas uma ferramenta de proteção adicional — sustenta tanto agilidade quanto conformidade regulatória.
Mapeie quais integrações da sua operação concentram mais esforço de manutenção hoje
É normalmente aí que o risco também se concentra, e um especialista da Tecnologia Única pode ajudar a priorizar por onde começar.
Vale reforçar: nem toda seguradora precisa de reestruturação completa. Quando a base já é sólida, o caminho mais adequado costuma ser o ajuste pontual das frentes mais frágeis, não a substituição de toda a arquitetura.
Como estruturar o próximo passo
Antes de qualquer investimento em nova ferramenta ou projeto de modernização, faz sentido organizar o ponto de partida:
Mapear todos os sistemas, integrações e fornecedores que processam dados sensíveis da operação.
Registrar contratos de terceirização, incluindo aditivos e critérios de segurança acordados com cada fornecedor.
Validar se a política de segurança cibernética atual reflete a operação real, ou se ficou desatualizada frente ao crescimento de integrações.
Priorizar os pontos de maior exposição — geralmente sistemas legados críticos e integrações sem padrão de autenticação único.
Documentar a arquitetura de segurança e os fluxos de resposta a
Quando esse mapeamento aponta lacunas estruturais — legado extenso, integrações sem padrão, terceirização sem documentação —, uma conversa técnica com um especialista ajuda a transformar o diagnóstico em um plano de estruturação realista, com prioridades claras em vez de um projeto genérico de "modernização".
Conclusão
Segurança cibernética em seguradoras deixou de ser uma pauta apenas técnica: é hoje um requisito regulatório com prazos, documentação e critérios específicos definidos pela Susep — reforçados nas normas publicadas ao longo de 2026. O risco raramente está em um único sistema ou ferramenta; ele se distribui entre legado, integrações, terceirização e processos manuais em torno de dados sensíveis.
Manter esse cenário sem estrutura tem um custo que só aparece quando um incidente, uma auditoria ou uma exigência de parceiro de resseguro forçam a demonstrar o que deveria estar organizado com antecedência. Avançar, por outro lado, não significa reconstruir toda a arquitetura de uma vez — significa mapear onde o risco realmente está e priorizar a partir de critérios claros.
Se hoje a operação ainda depende de sistemas legados, integrações sem padrão e contratos de terceirização pouco documentados, a Tecnologia Única pode apoiar a estruturação de uma arquitetura mais integrada, rastreável e preparada para acompanhar as exigências regulatórias em evolução.
O próximo passo é conversar com um especialista sobre os gargalos de segurança e arquitetura da sua operação.
Perguntas Frequentes (FAQ)
- Segurança cibernética em seguradoras é obrigatória por lei?
Sim. A Circular Susep nº 638/2021, atualizada por norma publicada em agosto de 2026, exige política formal de segurança cibernética, processos de resposta a incidentes e documentação sobre terceirização de dados para seguradoras, resseguradoras locais, entidades de previdência aberta e sociedades de capitalização.
- Qual o prazo para comunicar um incidente cibernético à Susep?
A Circular Susep nº 638/2021 estabelece o prazo de cinco dias úteis a partir do conhecimento do evento para comunicação formal, com detalhamento dos danos e das medidas de remediação adotadas.
- O que mudou na regulação de segurança cibernética para seguradoras em 2026?
A Susep publicou, em julho de 2026, um manual de orientações consolidando boas práticas de supervisão, e em agosto de 2026 alterou a Circular nº 638/2021 para reforçar exigências sobre documentação de contratos de terceirização de processamento e armazenamento de dados.
- Sistemas legados são, de fato, um risco de segurança cibernética?
Sim, de forma indireta. Sistemas antigos costumam ter trilhas de auditoria incompletas, controle de acesso menos granular e dificuldade de integração segura com novos canais — o que amplia a superfície de risco à medida que a operação se digitaliza.
- Contratar uma ferramenta de proteção (antivírus, firewall) já é suficiente para atender a regulação?
Não. A regulação da Susep avalia principalmente governança, documentação e capacidade de resposta a incidentes — não apenas a existência de ferramentas de proteção de perímetro. Ferramentas são necessárias, mas não substituem política, processo e rastreabilidade.
- Terceirizar parte da tecnologia aumenta o risco cibernético de uma seguradora?
Terceirizar não aumenta o risco por si só, mas exige documentação e critérios de segurança formalizados com cada fornecedor. A norma de agosto de 2026 tornou essa exigência ainda mais explícita, obrigando que contratos e aditivos estejam disponíveis para a Susep quando solicitados.
Referências
[1] Susep. Circular Susep nº 638/2021 — requisitos de segurança cibernética.
[2] Susep. Manual de Orientações sobre Segurança Cibernética, julho de 2026.
[3] Susep/CNSP. Resoluções CNSP nº 416/2021, 491/2026 e 492/2026.
[4] Susep. Norma de agosto de 2026 que altera a Circular nº 638/2021 sobre terceirização.
[5] Presidência da República. Decreto nº 11.856/2023 — institui a Política Nacional de Cibersegurança.
[6] Susep. Grupo de Trabalho Seguros e Segurança Cibernética — Relatório Final.
EN 
PT 
ES 
FR 
IT 
DE 