Segurança criptográfica com HSM para o SPB e o Pix
Eval e Thales unem aplicação especializada e raiz de confiança em hardware para proteger as chaves que assinam as mensagens do sistema financeiro brasileiro.
O Sistema de Pagamentos Brasileiro funciona sobre um fluxo contínuo de mensagens entre instituições e o Banco Central. Cada mensagem precisa ser autêntica, íntegra e rastreável. Entretanto, quem garante isso não é a aplicação que a originou, e sim a assinatura digital que a acompanha.
Por trás dessa assinatura existe o ativo que sustenta toda a confiança do sistema, a chave privada da instituição. No sistema financeiro, o vazamento de uma chave privada pesa mais que o de uma senha. Afinal, quem tem a chave consegue assinar mensagens em nome da instituição.
Portanto, para instituições financeiras, instituições de pagamento e demais organizações que operam no SPB e no Pix, proteger essa chave não é um detalhe de implementação. É a condição para operar dentro das exigências do Banco Central.
Por que a custódia da chave se tornou o centro da conformidade
Operar nesses ambientes exige mais do que criptografar ou assinar uma mensagem. Além disso, a instituição precisa comprovar como protege as chaves, quem pode acessá-las, como segrega os componentes e como rastreia os eventos.
O arcabouço regulatório vem se tornando mais rígido nesse ponto. Em dezembro de 2025, a Resolução CMN 5.274/2025 e a Resolução BCB 538/2025 trouxeram requisitos mais exigentes de segurança cibernética e de contratação de serviços de processamento e armazenamento de dados. O prazo de adequação terminou em março de 2026. Ou seja, políticas formais não bastam. O regulador espera evidências técnicas de que os controles funcionam.
Para os fluxos críticos do sistema financeiro, a régua sobe ainda mais. A norma veda o acesso de terceiros às chaves privadas que assinam as mensagens. Consequentemente, a discussão sai do campo da política de segurança e entra no campo da arquitetura. Afinal, a única forma de comprovar esse controle é construir um ambiente em que o acesso não seja tecnicamente possível.
Nesse cenário, as chaves deixam de ser um componente técnico da aplicação. Elas constituem ativos críticos de segurança da instituição.
O papel do HSM na arquitetura
A aplicação solicita a operação criptográfica, mas o HSM guarda o material sensível. A chave nasce dentro do hardware e nunca deixa esse perímetro. Nem os administradores da aplicação, nem os operadores da infraestrutura conseguem acessá-la.
Assim, a arquitetura cria uma separação clara entre camadas. A regra de negócio chama a aplicação, a aplicação solicita a operação criptográfica e o HSM mantém a custódia da chave. Essa segregação fortalece governança, controle de acesso, rastreabilidade e auditoria. Em outras palavras, reduz a superfície de risco diante de credenciais comprometidas.
Duas camadas, uma única arquitetura
Thales
Na base da arquitetura está o Thales Luna HSM, com certificação FIPS 140-3 Nível 3. O equipamento estabelece uma camada dedicada de proteção para as operações criptográficas e para o ciclo de vida das chaves. Portanto, funciona como a raiz de confiança da solução.
Eval
Sobre essa base opera a aplicação criada para os processos e as requisições do SPB e do Pix. Essa camada transforma a capacidade criptográfica do HSM em uma solução aderente ao fluxo operacional das instituições. Dessa forma, a organização não precisa construir internamente toda a lógica de integração entre aplicações, processos financeiros e infraestrutura criptográfica.
Enquanto o hardware protege e executa as operações criptográficas, a aplicação Eval conhece e operacionaliza os processos do ambiente.
Segurança e conformidade na mesma arquitetura
Processar as mensagens do SPB e do Pix com integridade, autenticidade e rastreabilidade é um dos maiores desafios técnicos das instituições financeiras brasileiras. Por isso, a combinação entre a aplicação Eval e o Thales Luna HSM protege a operação no ponto mais sensível, a chave.
Para fortalecer a infraestrutura criptográfica da sua operação, entre em contato com o time de especialistas.
