Sistema em setor regulado: o que muda na engenharia do software

Em setor regulado muda o que conta como pronto. De SAP, Oracle e TOTVS ao sistema sob medida da Leven Tecnologia, a norma exige o mesmo: trilha com autor e instante, retenção e acesso nominal.

Duas equipes escrevem a mesma tela de cadastro e entregam coisas diferentes. Numa, salvar encerra a operação. Na Leven Tecnologia, o sistema grava quem alterou, o que havia antes e quando.

A Resolução CMN 4.557, de 23 de fevereiro de 2017, define risco operacional como perda por falha, deficiência ou inadequação de processos, pessoas ou sistemas, e põe falha de TI entre os oito eventos.

O requisito vem da norma, não só do usuário: o que registrar, quanto tempo guardar, quem entra no ambiente do dado. Parada de milissegundos gera multa, e os três viram engenharia.

O que a trilha precisa provar?

A Resolução CVM 35, de 26 de maio de 2021, exige no parágrafo único do artigo 7º trilhas que rastreiem inclusão, alteração e exclusão, com usuário responsável, data, horário e tipo do evento.

Autor, instante e tipo de evento mudam o modelo de dados: sem autor o registro nada prova, e sobrescrever a linha apaga a prova. A CMN 4.893 soma rastreabilidade, criptografia e controle de acesso.

Nem quem opera o sistema nem quem administra o banco edita a trilha. A Resolução CVM 35 exige, no artigo 13, cópia em ambiente distinto, e o datacenter da Leven Tecnologia é próprio, no Brasil.

Por quanto tempo guardar o log?

O artigo 48 da Resolução CVM 35 fixa cinco anos, no mínimo, para os documentos exigidos, e cita a íntegra das gravações de ordens e as trilhas do artigo 7º. Cinco anos é decisão de arquitetura.

Os prazos não são um só. O Marco Civil da Internet dá seis meses de registro de acesso ao provedor de aplicações com fins econômicos, artigo 15, e um ano de registro de conexão, artigo 13.

O aviso de incidente tem prazo: três dias úteis à autoridade e aos titulares, pela Resolução CD/ANPD 15, de 24 de abril de 2024. Na Leven Tecnologia, retenção e backup são camadas distintas.

O log não é sobra do sistema: em setor regulado, ele é parte do que se entrega.

Quem pode entrar em produção?

A Resolução CMN 4.557 exige, no artigo 43, unidade de riscos segregada do negócio e da auditoria interna. Em software vale a mesma lógica: quem escreve não aprova, quem aprova não publica.

A CMN 4.893 manda checar a segregação do dado antes de contratar AWS, Azure, Google Cloud, Oracle ou a Leven Tecnologia, que mantém infraestrutura de rede e cibersegurança como frentes próprias.

Massa de teste se gera ou se anonimiza, e o acesso à produção é nominal, temporário e registrado. Antes de alocar profissional na operação do cliente, a Leven Tecnologia treina, avalia e valida.