1. Por que os requisitos ficaram mais rígidos em 2026
O mercado brasileiro de seguro cibernético viveu três cenários sucessivos que explicam a rigidez atual do questionário de subscrição:
2021–2022 (cenário permissivo). Após a Circular SUSEP 637/2021, o mercado abriu com apetite alto por proteção cyber. Seguradoras aceitavam empresas com controles mínimos, questionários de 15–20 perguntas eram comuns, franquias baixas e limites amplos. Ataques como JBS (US$ 11 milhões de resgate) e Grupo Fleury pressionaram sinistralidade já nesse período.
2023–2024 (endurecimento inicial). Após onda global de ransomware (LockBit, Conti, BlackCat) e alta de sinistros no Brasil, seguradoras começaram a exigir MFA como requisito mínimo. Questionários expandiram para 40–60 perguntas. Franquias mínimas subiram 30–50%.
2025–2026 (regime atual). Indenizações cyber no Brasil saltaram 253% entre janeiro e abril de 2026, atingindo R$ 30 milhões (CNseg). Casos C&M Software e Sinqia mostraram vulnerabilidade sistêmica do setor financeiro. A Resolução BCB 498 tornou seguro cyber obrigatório para PSTIs do SFN. Resultado: questionário de 80–150 perguntas, sete controles técnicos mínimos não-negociáveis, escaneamento externo (BitSight, SecurityScorecard) obrigatório antes de emissão.
O que era bom ter em 2021 (MFA em VPN) é hoje pré-requisito para conseguir cotação. O que era diferencial competitivo (EDR de ponta) é hoje mínimo aceitável. Empresas que investiram em segurança nos últimos anos têm enorme vantagem em prêmio e capacidade disponível — e a NextGuard trabalha exatamente essa faixa de médias empresas e grandes contas já maduras que buscam otimizar termos.
2. Os 7 requisitos técnicos mínimos
Requisitos adicionais por setor
Além dos sete mínimos gerais, setores regulados enfrentam camadas adicionais:
- Setor financeiro (PSTIs sob BCB 498): política formal de gestão de risco cyber, plano de continuidade de negócios (BCP) testado, DPO designado, comprovação de cobertura no processo de autorização Bacen.
- Saúde (LGPD Art. 11): segmentação de rede para dispositivos IoMT, criptografia em trânsito e repouso para dados de saúde, controle de acesso granular por perfil profissional.
- Manufatura / OT: segmentação IT/OT (rede industrial isolada da rede corporativa), monitoramento passivo de tráfego OT (Claroty, Nozomi, Dragos), inventário de sistemas SCADA/PLC.
- E-commerce e varejo: conformidade PCI-DSS, tokenização de dados de cartão, WAF ativo, teste de intrusão anual.
- SaaS e cloud-first: revisão de CSPM (Cloud Security Posture Management), IAM com privilégios mínimos, criptografia gerenciada por cliente (CMK), configurações de bucket S3/Blob.
3. MFA: o controle mais importante
MFA (Autenticação Multifator) é o controle isolado com maior impacto em sinistralidade cyber. Segundo Microsoft, MFA mitiga 99% dos ataques baseados em credenciais comprometidas — e credenciais são o vetor #1 de comprometimento em incidentes de ransomware no Brasil e globalmente. Para a seguradora, MFA é fácil de auditar, barato de implementar e com impacto mensurável na probabilidade de sinistro.
Onde MFA é obrigatório em 2026:
- VPN corporativa — todos os funcionários, contratados, integradores. Sem exceções.
- VPN industrial / OT — acesso remoto para engenheiros de campo e fornecedores. Ponto de MFA frequentemente esquecido em manufatura.
- RDP e SSH — qualquer acesso administrativo a servidores.
- E-mail corporativo — Microsoft 365, Google Workspace, e-mail on-premise.
- Contas administrativas — Active Directory, Azure AD, AWS IAM, Google Cloud IAM, contas root de serviços críticos.
- SaaS críticos — Salesforce, HubSpot, ERPs (Totvs, SAP, Oracle), sistemas financeiros.
- Sistemas de pagamento e core banking — obrigatório para instituições sob BCB 498.
Tecnologias aceitas: MFA nativo do provedor (Microsoft Authenticator, Google Authenticator, Duo), tokens FIDO2/WebAuthn, YubiKey, Okta, Ping Identity. SMS OTP é aceito mas considerado fraco — algumas seguradoras já excluem SMS como MFA válido para acesso administrativo.
4. EDR/XDR: além do antivírus tradicional
EDR (Endpoint Detection and Response) e sua evolução XDR (Extended Detection and Response) substituíram o antivírus tradicional como padrão exigido. A diferença é estrutural:
- Antivírus tradicional depende de assinaturas de malware conhecido — ineficaz contra ransomware moderno, malware fileless, living-off-the-land, ataques de dia zero.
- EDR/XDR monitora comportamento em tempo real, detecta anomalias, correlaciona eventos entre endpoints, permite resposta automática (isolar host, matar processo, reverter alterações), e mantém telemetria para forense.
Ferramentas típicas aceitas pelas seguradoras brasileiras: CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint (E5), Sophos Intercept X, Palo Alto Cortex XDR, Trend Micro Vision One, Elastic Security, Bitdefender GravityZone. Antivírus tradicionais isolados (McAfee, Symantec, Kaspersky sem módulo avançado) têm sido rejeitados como controle mínimo.
Empresa com apenas antivírus tradicional enfrenta: (a) cotação recusada por seguradoras Tier 1 (Chubb, AIG, Zurich); (b) franquia mínima elevada em 50–100%; (c) exclusão expressa de ransomware ou sublimite drástico para essa cobertura; (d) placement apenas em mercado secundário com prêmio significativamente maior. Em 2026, EDR é investimento com ROI direto no prêmio de seguro.
5. Backup imutável e regra 3-2-1
Grupos de ransomware modernos executam deleteon-detection: identificam servidores de backup no ambiente comprometido e deletam cópias antes de iniciar criptografia. Sem backup imutável, a empresa fica sem alternativa a pagar o resgate — cenário que motivou 73% das vítimas brasileiras de ransomware em 2024 a considerar pagamento.
A regra 3-2-1 com imutável exigida em 2026:
- 3 cópias dos dados (produção + 2 backups).
- 2 mídias diferentes (disco local + cloud, ou disco + fita).
- 1 cópia offline ou imutável — que não pode ser alterada nem por administrador comprometido.
Tecnologias comuns de imutabilidade aceitas: AWS S3 Object Lock, Azure Blob immutable, Google Cloud Storage retention policies, Veeam Hardened Repository, Rubrik Retention Lock, Cohesity DataLock, tape offline (tradicional mas ainda válido). Além da tecnologia, seguradoras exigem teste de restauração completo nos últimos 90 dias, com log documentado de tempo e sucesso.
6. Como é o processo de subscrição cyber
O processo típico de subscrição cyber para média empresa ou grande conta corporate no Brasil leva de 3 a 8 semanas, com as seguintes etapas:
- Kick-off e questionário (7–14 dias). Corretora explica o processo, disponibiliza questionário da(s) seguradora(s) escolhida(s), organiza reuniões com TI, segurança, jurídico e financeiro para coleta de informações.
- Análise de underwriter (7–14 dias). Seguradora avalia respostas, faz perguntas de acompanhamento (follow-up questions), pode solicitar evidências adicionais (screenshots de MFA, relatórios de patch, laudos de PenTest, ISO 27001, SOC 2).
- Cotação e negociação (5–10 dias). Recebimento de indicativos de prêmio, franquia, limite, endossos. Corretora negocia termos — sublimites de engenharia social, waiting period, data retroativa, exclusões específicas.
- Escaneamento externo (5–7 dias). Seguradora executa scan externo automatizado (BitSight, SecurityScorecard, Kovrr) da superfície da empresa — portas expostas, certificados vencidos, serviços vulneráveis, reputação IP. Falhas críticas podem alterar termos ou impedir emissão.
- Fechamento e emissão (5–7 dias). Aceite final de termos, pagamento do prêmio (à vista ou parcelado), emissão da apólice e endossos.
Para PSTIs sob BCB 498 o processo é mais complexo pela comprovação regulatória adicional. Para grandes contas com programa multi-camada (primário + excesso), pode chegar a 12 semanas.
7. Roadmap se a empresa não atende hoje
Muitas médias empresas descobrem — só ao iniciar cotação cyber — que não atendem aos requisitos mínimos. Três caminhos possíveis:
Caminho 1: Roadmap de adequação (recomendado)
Implementar os controles faltantes em 60–120 dias e cotar depois, com maior chance de bons termos. Prioridade típica: (1) MFA em 100% dos acessos (30–45 dias), (2) EDR em endpoints críticos (45–60 dias), (3) backup imutável + teste de restauração (30–60 dias), (4) documentação de patch management e PAM (45–60 dias em paralelo), (5) plano de resposta a incidentes + tabletop (30 dias). Investimento típico R$ 100 mil a R$ 500 mil para média empresa — que se paga na diferença de prêmio no primeiro ano.
Caminho 2: Placement com termos agravados
Algumas seguradoras aceitam empresas em transição com franquia elevada, sublimites restritivos e compromisso contratual de implementação dos controles em prazo determinado. Opção válida para empresas com urgência (renovação contratual com cliente que exige cyber, licitação, aporte de investidor).
Caminho 3: Placement em mercado especializado
Corretoras que trabalham com Lloyd's e seguradoras especializadas em riscos elevados podem colocar cobertura com prêmio significativamente maior. Caminho de último recurso, mas garante proteção imediata enquanto empresa segue roadmap paralelo.
8. Como a NextGuard prepara empresas para cotação
Atendemos médias empresas e grandes contas corporate no Brasil que buscam contratar seguro cyber pela primeira vez ou otimizar termos em renovação. Nossa abordagem trabalha em quatro camadas:
- Diagnóstico pré-subscrição. Avaliação gap-a-gap contra os 7 requisitos mínimos das principais seguradoras, identificação de controles ausentes ou insuficientemente documentados, priorizando o que mais impacta prêmio.
- Roadmap de adequação. Plano de 60–120 dias com priorização técnica e financeira, articulação com fornecedores de tecnologia (integradores CrowdStrike/SentinelOne/Veeam), acompanhamento de execução.
- Colocação com as principais seguradoras do Brasil. Cotação comparativa com as seguradoras brasileiras líderes em cyber, negociação de termos (sublimites, waiting period, data retroativa, endossos setoriais).
- Manutenção em vigência. Documentação contínua de controles, preparação para renovação com termos otimizados, ativação em incidente.
Circular SUSEP 637/2021 e 710/2024; Resolução BCB 498/2025; Microsoft (MFA mitiga 99% de ataques de credencial); CNseg dados de mercado (indenizações +253% jan–abr 2026); Splashtop 7 requirements for cyber insurance; Encontre um Nerd — Guia Seguro Cyber 2026; Ittu Seguros; MP-MT sobre obrigatoriedade de seguro em mercado de cibersança; SOCRadar / Check Point sobre ransomware Brasil 2024–2025 (166 confirmados).
