Toda seguradora que integra corretoras, parceiros de distribui\u00e7\u00e3o, sistemas de resseguro ou canais digitais j\u00e1 depende de APIs, mesmo quando essa depend\u00eancia n\u00e3o est\u00e1 claramente registrada no planejamento da diretoria.<\/p>\n\n\n\n
Cada cota\u00e7\u00e3o online, consulta de sinistro por aplicativo, integra\u00e7\u00e3o com parceiros ou compartilhamento previsto pelo Open Insurance passa por uma interface respons\u00e1vel por trocar dados em tempo real.<\/p>\n\n\n\n
O problema \u00e9 que essa depend\u00eancia frequentemente cresce mais r\u00e1pido que a governan\u00e7a sobre ela. Muitas opera\u00e7\u00f5es possuem integra\u00e7\u00f5es constru\u00eddas em momentos diferentes, por equipes distintas e sem um invent\u00e1rio centralizado. Cada uma pode se transformar em um ponto de acesso a dados de ap\u00f3lices, sinistros e informa\u00e7\u00f5es pessoais dos segurados.<\/p>\n\n\n\n
A responsabilidade pela seguran\u00e7a e pela continuidade da opera\u00e7\u00e3o n\u00e3o desaparece quando o processamento ou o armazenamento de dados \u00e9 terceirizado. O Manual de Orienta\u00e7\u00f5es sobre Seguran\u00e7a Cibern\u00e9tica da Susep refor\u00e7a que a gest\u00e3o de terceiros deve integrar a estrutura de riscos e a pol\u00edtica de seguran\u00e7a cibern\u00e9tica da supervisionada.<\/p>\n\n\n\n
Este guia explica o que \u00e9 a seguran\u00e7a de APIs no setor de seguros, onde as fragilidades costumam aparecer, quais exig\u00eancias regulat\u00f3rias devem ser consideradas e como avaliar se a estrutura atual pode ser mantida, precisa evoluir gradualmente ou exige uma arquitetura mais organizada.<\/p>\n\n\n\n
Quando a integra\u00e7\u00e3o depende de credenciais fixas nunca substitu\u00eddas, acessos tempor\u00e1rios que permanecem ativos ou documenta\u00e7\u00e3o mantida apenas na mem\u00f3ria de quem implementou a API, a exposi\u00e7\u00e3o pode permanecer pouco vis\u00edvel no in\u00edcio.<\/p>\n\n\n\n
Com o crescimento do volume de dados, do n\u00famero de parceiros ou da complexidade operacional, essas limita\u00e7\u00f5es tendem a surgir na forma de incidentes, indisponibilidade, dificuldade de auditoria ou falhas no cumprimento de exig\u00eancias regulat\u00f3rias.<\/p>\n\n\n\n
O objetivo n\u00e3o \u00e9 criar medo em torno das APIs, mas garantir estrutura, registro e capacidade de resposta antes que uma limita\u00e7\u00e3o t\u00e9cnica afete a opera\u00e7\u00e3o ou a rela\u00e7\u00e3o com o segurado.<\/p>\n\n\n\n
Seguran\u00e7a de APIs no setor de seguros \u00e9 a combina\u00e7\u00e3o de controles t\u00e9cnicos, operacionais e regulat\u00f3rios que protege as interfaces usadas por seguradoras, corretoras, resseguradoras e parceiros para trocar dados de forma automatizada.<\/p>\n\n\n\n
Essa estrutura inclui:<\/p>\n\n\n\n
No setor de seguros, essas interfaces podem transportar CPF, hist\u00f3rico de sinistros, dados financeiros, valores segurados e, em determinados produtos, informa\u00e7\u00f5es relacionadas \u00e0 sa\u00fade. Tamb\u00e9m alimentam sistemas utilizados em subscri\u00e7\u00e3o, precifica\u00e7\u00e3o, detec\u00e7\u00e3o de fraudes e automa\u00e7\u00e3o de sinistros.<\/p>\n\n\n\n
Uma falha em uma API, portanto, n\u00e3o se limita ao ambiente de tecnologia. Ela pode atingir dados protegidos pela LGPD, comprometer processos supervisionados pela Susep e reduzir a confiabilidade das decis\u00f5es tomadas pela opera\u00e7\u00e3o.<\/p>\n\n\n\n
Tr\u00eas movimentos ajudam a explicar o aumento da depend\u00eancia de APIs no mercado segurador.<\/p>\n\n\n\n
A Resolu\u00e7\u00e3o CNSP n\u00ba 415\/2021 e a Circular Susep n\u00ba 635\/2021 estruturaram a implementa\u00e7\u00e3o do Sistema de Seguros Aberto.<\/p>\n\n\n\n
Para as sociedades participantes e nos escopos aos quais a regulamenta\u00e7\u00e3o se aplica, o compartilhamento de dados e servi\u00e7os deve seguir especifica\u00e7\u00f5es pr\u00f3prias. O Manual de Seguran\u00e7a do Open Insurance prev\u00ea, entre outros controles:<\/p>\n\n\n\n
Os controles t\u00e9cnicos do ecossistema tamb\u00e9m utilizam padr\u00f5es como OAuth 2.0, OpenID Connect, FAPI e mTLS conforme o tipo de fluxo, o perfil de seguran\u00e7a e a finalidade da integra\u00e7\u00e3o.<\/p>\n\n\n\n