funções críticas, existem indicações do uso de criptografia, que contém as devidas recomendações de onde, quando, e como deve ser aplicada. É mencionado em muitas estratégias nacionais de segurança cibernética que ataques às infraestruturas críticas estão entre as maiores ameaças à segurança nacional, considerado que grande parte das economias nacionais está, de modo crescente, dependente de sistemas de informação de setores essenciais, baseados em controles automatizados. Portanto, a proteção de infraestruturas críticas contra ameaças cibernéticas em evolução requer uma abordagem ampla, como: realizar o acompanhamento de assuntos pertinentes a essas organizações, com prioridade aos que se referem à avaliação de riscos, planejar, coordenar e desenvolver ações de segurança cibernética e definir normativos e requisitos metodológicos para a implementação de ações de segurança cibernética. No decorrer da elaboração da Estratégia, foi observado que: - não há, no Brasil, um arcabouço autóctone e abrangente de segurança cibernética que contribua para o fortalecimento da resiliência cibernética nacional; - os códigos, as normas, os padrões e as orientações em vigor evoluíram com o desenvolvimento de projetos, de ferramentas e de práticas relacionadas à segurança cibernética, mas não foram absorvidos de modo adequado pelas entidades públicas e privadas; - os recursos de segurança cibernética evoluíram; - é necessário aumentar a articulação entre os representantes das infraestruturas críticas; - é importante estabelecer modelos que permitam compreender o risco cibernético para a prestação de serviços e avaliar o custo de uma ocorrência; e - é necessário incentivar essas organizações críticas a criarem uma cultura de segurança cibernética. Um dos setores das infraestruturas críticas que possui normativos estabelecidos aos seus entes regulados com ações específicas para proteção cibernética é o setor financeiro. Publicadas pelo Banco Central do Brasil, a Resolução nº 4.658, de 26 de abril de 201845, voltada para instituições financeiras, trata da política de segurança cibernética a ser observada por aquelas instituições. Além disso, dispõe sobre as premissas de contratação de serviços de computação em nuvem e de processamento e armazenamento de dados. Muito embora as instituições de pagamento não integrem o Sistema Financeiro Nacional, não sendo consideradas como infraestruturas críticas, vale destacar a Circular nº 3.909, de 16 de agosto de 201846, específica para essas instituições, que aborda interessantes aspectos de segurança cibernética. Um dos aspectos de grande relevância para as infraestruturas críticas é a continuidade de negócios. Quanto a esse tópico, o Banco Central do Brasil exige que essas organizações devem definir: o tratamento para os incidentes relevantes, os procedimentos no caso da interrupção dos serviços relevantes contratados e os cenários de incidentes a serem considerados nos testes. Por meio de ação conjunta entre Governo e os diversos operadores de infraestruturas críticas, será possível proteger o espaço cibernético no qual estes estão inseridos. Além disso, verifica-se a relevância do papel das agências reguladoras no estímulo à adoção de procedimentos de segurança cibernética, por parte de seus entes regulados, como por exemplo: - criação de uma estrutura de governança de segurança cibernética nas empresas de infraestruturas críticas, com o estabelecimento de manuais, de diretrizes, de classificações e de procedimentos para tratamento de incidentes, e de regras de segurança aplicáveis a todos os funcionários, terceirizados e fornecedores; - inserção de planos anuais de auditoria externa em segurança cibernética; - adoção de práticas e de requisitos de segurança cibernética no desenvolvimento de novos produtos, programas, projetos e ações; - criação de CSIRTs por empresa e por setor, com mecanismos de colaboração e de troca de informações entre eles. - capacitação contínua de seus colaboradores em todos os níveis; - notificação ao CTIR Gov, no menor prazo possível, sobre a ocorrência de incidentes cibernéticos; - comunicação aos consumidores em caso de incidente que comprometa a segurança de seus dados, nos