O setor financeiro sempre foi um alvo óbvio dos atacantes. Ainda assim, a percepção era de que incidentes com fraudes financeiras vultosas fossem pouco prováveis. Não é mais, e os ataques bem-sucedidos mostraram da pior forma possível. O regulador agiu, saindo de um paradigma principiológico em regulação para uma postura prescritiva.
Mas nosso interesse aqui não é estritamente o que precisa ser feito, pois o regulador já estabeleceu a régua mínima de higiene cibernética. A pergunta é: como vamos fazer para nos adequar, monitorando APIs, risco de fornecedores, insiders para saber que o que a instituição está transacionando neste momento é o mesmo que o Banco Central está reconhecendo?
O conceito técnico que vem respondendo mais rapidamente a essa pergunta, na nossa experiência prática com clientes do setor, é: Cyber Fusion Center (CFC).
O CFC extrapola o conceito tradicional de SOC para incluir monitoramento do negócio, usando a inteligência em cibersegurança para a proteção antifraude em uma única arquitetura operacional.
Neste artigo, vou esclarecer melhor o que nós chamamos de CFC, por que ele tem sido a estrutura ideal para postura de defesa no setor financeiro e, não exaustivamente, como uma instituição financeira pode caminhar para esse modelo.
O que é um Cyber Fusion Center
O CFC vai além de um SOC, mas não se desfazendo de sua estrutura, e sim aproveitando a estrutura dele para chegar no monitoramento do negócio.
Um cyber fusion center é um modelo de operação que integra dados, detecções e operações de segurança a monitoramento de comportamento, hunting e threat intelligence com viés de antifraude, riscos de terceiros e gestão de crises em um único fluxo de trabalho.
Na definição usada por consultorias globais, o CFC atua como um hub de defesa proativo que consolida telemetria interna, inteligência externa e sinais de fraude para orientar decisões em tempo quase real.
Como nasceu o conceito de CFC e quem está puxando a agenda
O conceito de cyber fusion center veio de uma necessidade das áreas de cibersegurança, chamadas a dar respostas às áreas de negócio sobre incidentes cibernéticos que redundaram em fraudes vultosas. Embora não seja exclusividade do setor financeiro, este setor é exemplar desse tipo de incidente.
O CFC vem para resolver o problema dos silos entre times que olham para os mesmos dados por ângulos diferentes.
Nos últimos anos, o CFC foi a resposta natural à convergência entre cyber, fraude e risco operacional nas instituições financeiras.
Segundo estimativa citada por analista, hoje cerca de 5% das grandes organizações mantêm centros de fusão cyber‑fraude, com previsão de chegar a 20% até 2028, mostrando que o modelo está saindo do nicho visionário para se tornar mainstream em empresas de maior porte.
Por que o setor financeiro se beneficia de um CFC
Após as atualizações regulatórias, os participantes precisaram passar por uma adequação profunda em sua arquitetura de segurança.
As áreas de cibersegurança das instituições do setor financeiro têm necessidade de monitorar dados de negócio para detectar atividades suspeitas e anomalias dentro de seus fluxos transacionais, isto é, no fluxo da comunicação com o sistema financeiro, da iniciação de um pagamento dentro de um canal até a liquidação.
Para isso, o setor precisa reconhecer a estrutura, fazer o desenho da arquitetura tecnológica e de todos os processos que rodam em cima dela do ponto de vista de segurança, para apontar quais são as vulnerabilidades e melhorias para a defesa adequada.
O gargalo está na capacidade de conectar, em minutos, sinais dispersos (logs, alertas, padrões anômalos, reclamações de clientes, tentativas de fraude) e transformá‑los em uma decisão clara: bloquear, mitigar, comunicar, escalar.
O CFC foi desenhado para facilitar essa conexão dos sinais a decisões. Ele se posiciona como uma camada de orquestração acima (e junto) do SOC, com governança explícita de quem decide o quê, com base em quais sinais, e em que condições. O objetivo é agir rapidamente, mitigando riscos ao negócio.
Cyber Fusion Center e SOC comparados
De forma simplificada, o SOC é um centro de detecção, investigação e resposta a alertas cibernéticos; o CFC também, mas conectando detecção de anomalias a fraudes.
A tabela abaixo resume as diferenças relevantes para uma instituição financeira:
| Aspecto | SOC tradicional | Cyber Fusion Center (CFC) |
| Foco principal | Monitorar eventos e tratar alertas de segurança em tempo hábil. | Reduzir risco de negócio e perdas financeiras ligadas a ataques e fraudes. |
| Escopo funcional | Telemetria técnica (logs), SIEM, incident response técnico. | Threat intel, hunting, antifraude, risco de terceiros, crise, jurídico e negócio conectados. |
| Modo de operação | Predominantemente reativo, centrado em alerta e incidente individual. | Proativo e orientado a campanhas, cenários e jornadas críticas. |
| Integração com fraude/riscos | Interações pontuais, em geral ad hoc ou após incidentes maiores. | Integração estrutural e contínua com antifraude e risco operacional. |
| Colaboração | Handover via tickets e filas por time. | Células multidisciplinares, war rooms e rotinas conjuntas recorrentes. |
Na prática, o CFC reorganiza o trabalho em torno de problemas de negócio. Em um ataque de account takeover em larga escala, por exemplo, ele acompanha desde os primeiros indicadores de campanha (intel, IOC, padrões anômalos) até o ajuste de políticas de canal, a calibragem de motores de fraude, a comunicação a clientes e o reporte regulatório, tudo dentro do mesmo modelo de decisão.
Elementos essenciais de um Cyber Fusion Center maduro
1. Governança e modelo operacional
Um CFC maduro começa com relação com comitês de governança, risco e compliance, comitê de crise e áreas antifraude. Nele, ficam explícitos os serviços que o centro entrega (por exemplo: gestão de incidentes críticos, coordenação de resposta a fraudes) e como se medem esses serviços.
Papéis e responsabilidades também são redesenhados: CISO, donos de jornada de negócio, limites de risco operacional, jurídico, comunicação e, muitas vezes, áreas de produtos participam da governança. Essa estrutura permite alinhar rapidamente decisões sobre risco, experiência de cliente e impacto operacional durante um incidente.
2. Telemetria, inteligência e automação
Sem telemetria, não há SOC, nem CFC. No setor financeiro, isso significa integrar dados de canais digitais, core bancário, motores de fraude, IAM, infraestrutura de nuvem e terceiros críticos em um modelo onde o contexto de negócio é construído a partir de eventos técnicos.
A partir daí, SIEM, EDR, UEBA e ferramentas de fraude passam a operar de forma integrada, com automação (SOAR) executando tarefas repetitivas: enriquecimento de IOC, bloqueio temporário de contas, ajustes em regras de detecção, abertura de casos unificados para múltiplos times. A automação não substitui o analista; ela libera capacidade para tratar os 10–20% de casos que realmente exigem julgamento humano e coordenação interárea.
3. Convergência com fraude
Em bancos e fintechs, a fronteira entre cyber e fraude digital já é apenas artificial. Engenharia social para cooptação, comprometimento de credenciais e abuso de APIs geralmente terminam em perdas financeiras diretas e indiretas.
O CFC endereça essa convergência trazendo as áreas de antifraude para o centro do modelo, como donas de fluxos e decisões. Isso inclui desde o desenho conjunto de regras em motores transacionais até war rooms híbridos em incidentes que combinam ataque, fraude e vazamento de dados, com visão única de perdas reais e evitadas.
Caminho de implantação: da visão ao runbook
Muitas instituições financeiras já investiram pesado em seus SOCs – com plataformas avançadas de SIEM e EDR, SOAR etc. Esse stack tecnológico é capaz de suportar a monitoria do negócio, quando bem aproveitado.
Embora aproveite a estrutura instalada do SOC, o CFC representa uma mudança profunda do ponto de vista organizacional, ampliando suas funções, responsabilidades e prioridades.
Fase 1: fundamentação
O primeiro passo é mapear jornadas críticas (PIX, cartões, mobile banking, open finance), principais cenários de fraude/ataque e obrigações regulatórias mais sensíveis.
Depois, consolidar o entendimento sobre a cobertura do SOC atual dos fluxos críticos de negócio mapeados: o que ele já entrega bem e onde estão os gaps de monitoria.
A partir disso podem ser enquadrados os problemas de negócio que o CFC precisa resolver.
Em paralelo, define‑se o modelo operacional: in‑house, cogerenciado ou outsourced com parceiros especializados, considerando maturidade interna, disponibilidade de talentos e exigência de cobertura 24×7.
Fase 2: construção
Com o problema bem definido, a construção começa pela priorização de poucos casos de uso de alto impacto. Por exemplo, anomalias em comportamentos de usuários, monitoramento de consultas ao DICT, atipicidades em certificados digitais.
Para cada caso, desenham‑se e validam-se as monitorias, onboarding de dados, playbooks integrados, com critérios claros de escalonamento e de tomada de decisão.
Também é o momento de estruturar rituais: war rooms para incidentes de alta criticidade, reports executivos periódicos, sessões de lições aprendidas com foco em mudanças estruturais (processos, produtos, parceiros).
Mesmo antes de o CFC estar “100% pronto”, esses ritos já começam a criar o comportamento de fusão entre times.
Fase 3: escala e automação
Com os primeiros fluxos rodando, o foco passa a ser ampliação de cobertura e eficiência. Aqui entram a expansão de fontes de dados e a automação de tarefas de baixo risco e alto volume: correlação inicial, enriquecimento, bloqueios temporários e notificações internas.
Ao mesmo tempo, refinam‑se indicadores orientados a negócio: tempo para mitigar incidentes relevantes, perdas evitadas em fraudes associadas a ataques, impacto em NPS ou em disponibilidade de jornadas críticas, aderência a SLAs regulatórios. Esses números alimentam o business case contínuo do CFC e ajudam a calibrar investimentos futuros.
Métricas que importam para provar o valor de um CFC
As instituições que avançam mais rápido tendem a conectar indicadores de segurança a métricas financeiras e de negócio, como:
- Redução de perdas por fraude vinculadas a incidentes de cyber ou campanhas específicas.
- Tempo para identificar e mitigar violações que afetem dados sensíveis de clientes ou serviços críticos.
- Redução de falsos positivos e de esforço operacional sem perda de cobertura.
Estudos da EY sobre liderança em cibersegurança mostram que organizações com abordagem integrada de segurança tendem a detectar e responder a incidentes mais rápido e a gerar valor financeiro tangível por iniciativa apoiada pela área de cyber.
Por onde começar: recomendações práticas para CISOs e líderes de segurança
Em muitos casos, faz sentido começar por um fusion team: um time núcleo que integra líderes de cyber, fraude, risco e compliance em jornadas específicas e evoluir para um CFC pleno à medida que a governança e a automação amadurecem.
O importante é que, qualquer que seja o nome, a arquitetura esteja presente: arquitetura do negócio compreendida do ponto de vista de segurança, vulnerabilidades identificadas, inteligência de detecção operando no dia a dia, playbooks estabelecidos, instância clara de coordenação em crises e métricas orientadas a negócio.
Serviços gerenciados e parceiros podem apoiar parte da monitoração ou da inteligência, mas o comando estratégico do modelo de CFC precisa permanecer dentro da instituição.
CFC como alavanca estratégica, não só técnica
O movimento em direção a Cyber Fusion Centers como expansão do SOC tem sido o modelo mais rápido de adequação às novas necessidades de compliance e de segurança cibernética das instituições.
Para estendermos essa conversa sobre conceitos para cases reais e para o seu cenários, agende uma conversa comigo.
