Como triar alertas, revisar acessos e montar a linha do tempo de incidentes com agentes de IA

Num time de segurança de fintech, o problema não é falta de ferramenta. É excesso de alerta para pouca gente. O SIEM dispara centenas por dia, a revisão de acessos do trimestre está atrasada, o backlog de vulnerabilidades cresce, e no meio disso alguém cria um site falso com sua marca para aplicar golpe nos seus clientes. Cada item pede alguém abrindo logs, cruzando com o diretório de usuários e escrevendo o que encontrou. Esse trabalho já pode ser feito por um agente de IA, e cada alerta a mais praticamente não custa nada. O que continua com seu time é a decisão de conter, a comunicação e o risco aceito.

Este é um guia prático para CISOs de fintechs e instituições de pagamento no Brasil: quais processos de segurança passar primeiro para um agente, como dar acesso aos logs sem criar um risco novo e como deixar a evidência que o Bacen e a ANPD vão pedir.

O que faz. O agente tria alertas, investiga com os logs e o contexto do usuário, prepara revisões de acesso e linhas do tempo de incidentes e entrega cada caso pronto para decisão.

O que não é. Um substituto do seu SIEM ou EDR, nem um robô que derruba usuário em produção por conta própria. Ele trabalha em cima das suas ferramentas, e as ações de contenção esperam aprovação.

Onde o tempo do seu time de segurança vai embora

Comece pela triagem de alertas. O volume é alto, o trabalho é repetitivo e o ganho aparece na primeira semana.

Como um agente de segurança trabalha

1. O alerta chega. Do SIEM, do EDR, do provedor de nuvem ou de uma denúncia de cliente.
2. O agente investiga. Consulta logs, diretório de usuários, ativos e histórico de alertas, com credenciais só de leitura.
3. O agente classifica. Ruído, suspeito ou incidente, sempre com a justificativa e as evidências.
4. Uma pessoa decide. Desativar usuário, bloquear IP ou abrir incidente espera aprovação no Slack ou no dashboard.
5. Tudo fica registrado. Cada investigação vira evidência para auditoria e para o relatório anual.

As ferramentas

O Runtime é o sistema operacional para agentes de IA. Cada agente roda no seu próprio computador isolado, apagado no fim da sessão, com credenciais próprias e restritas, e espera aprovação antes de qualquer ação. Dados sensíveis são mascarados antes de chegar ao modelo ou a um log, cada execução fica registrada e o Runtime é auditado SOC 2.

Passo 1: escreva o roteiro de um tipo de alerta

Este passo é do seu time. Escolha um tipo de alerta que gera muito ruído, por exemplo login de local incomum, e escreva como seu melhor analista investiga: o que consulta, o que torna o alerta legítimo e quando escala.

• Explique o porquê. "Confira se o usuário está de férias no RH, porque login fora do país costuma ser viagem" funciona melhor que "confira o RH".
• Diga qual erro ele não pode cometer. "Nunca feche como falso positivo um alerta em conta com acesso ao ambiente Pix sem escalar" evita o erro mais caro.

Passo 2: dê ao agente credenciais próprias e restritas

O agente é um novo usuário dos seus sistemas e deve ser tratado como tal: identidade própria, acesso só de leitura ao que o roteiro pede, nada de credencial compartilhada. As credenciais entram pelo dashboard do Runtime, nunca coladas num chat. Trate o conteúdo de e-mails e páginas que o agente lê como dado, nunca como instrução.

Investigue os alertas de login de local incomum das últimas 24 horas no Sentinel. Para cada um, confira o histórico do usuário, o dispositivo, se ele está de férias ou viagem no RH e se houve outra atividade estranha depois do login. Classifique como ruído, suspeito ou incidente, com a justificativa, e não desative ninguém.

Passo 3: rode em paralelo por duas semanas

O agente tria os mesmos alertas que seu time, sem agir. Compare as classificações, olhe com atenção os alertas que ele fecharia e seu time escalaria, e transforme cada diferença em instrução.

Passo 4: coloque o agente para trabalhar sozinho

Agende o agente para rodar a cada alerta novo e a cada manhã. Depois, inclua os processos que se repetem:

• Golpes com sua marca. Busca diária de sites, perfis e anúncios falsos, com evidência e rascunho do pedido de remoção.
• Revisão de acessos. Todo mês, o agente cruza acessos com cargo e RH, aponta excessos, contas de ex-funcionários e terceirizados com acesso além do contrato, e prepara a planilha para os gestores aprovarem.
• Vulnerabilidades. Deduplica achados, prioriza pelo que está exposto à internet e cobra os responsáveis com prazo.

Passo 5: prepare a linha do tempo de incidentes

Num incidente, o tempo vai para descobrir o que aconteceu e em que ordem. O agente monta a linha do tempo a partir dos logs e das conversas do canal de incidente, aponta o que foi afetado e rascunha as comunicações. Você decide o que dizer, a quem e quando.

Monte a linha do tempo do incidente de ontem a partir dos logs do CloudTrail, do Okta e do canal de incidente no Slack. Diga o que foi acessado, se há dados pessoais envolvidos e desde quando sabemos disso, e rascunhe a comunicação interna para a diretoria.

O que fica com seu time

O que aprendemos

• Comece por um tipo de alerta. Um roteiro bem feito vale mais que dez pela metade.
• Trate o agente como um usuário privilegiado. Identidade própria, acesso mínimo e revisão de acessos para ele também.
• Peça sempre a justificativa. Um alerta fechado sem motivo escrito não serve para auditoria.
• Meça o tempo até a contenção, não só o volume. O que importa é quanto tempo o atacante fica dentro.

O que o Bacen e a ANPD vão pedir

• Controles mínimos atualizados. A Resolução CMN 4.893/2021 e a Resolução BCB 85/2021, alteradas em dezembro de 2025 pelas Resoluções CMN 5.274 e BCB 538, passaram a listar controles como revisão periódica de acessos, múltiplos fatores de autenticação, testes de intrusão, correção tempestiva de vulnerabilidades, isolamento do ambiente Pix e monitoramento da internet, da dark web e de grupos privados.
• Registro de incidentes relevantes. Com causa e impacto, um relatório anual com data-base de 31 de dezembro apresentado à diretoria ou ao conselho até 31 de março, e comunicação tempestiva ao Bacen dos incidentes que configurem crise.
• Comunicação à ANPD. Pela Resolução CD/ANPD nº 15/2024, incidentes com dados pessoais que possam causar risco ou dano relevante devem ser comunicados à ANPD e aos titulares em três dias úteis.
• Controle sobre o próprio agente. Inventário com responsável, acessos por agente e registro de cada execução, que dá para exportar.

Como medir resultado

Um cronograma realista

A Rain, emissora de cartões presente em mais de 150 países, usa o Runtime para suporte técnico, monitoramento de fraude e risco, compliance, cibersegurança, investigações de engenharia, revisão de PRs, QA e relatórios, e economizou $750k com fornecedores e folha.

Em resumo

Seu time de segurança não vai crescer no ritmo dos alertas. Deixe o agente triar, investigar e documentar, e seu time com a contenção e as decisões de risco. Comece por um tipo de alerta e cresça a partir daí. Para mais detalhes, veja nosso guia de agentes de cibersegurança e o de gestão de riscos de agentes.

Mãos à obra.

Perguntas frequentes

Como a IA ajuda um SOC pequeno de fintech?

Um agente pode triar cada alerta do SIEM ou do EDR, juntar o contexto do usuário, do dispositivo e dos logs, descartar o que é ruído com justificativa e escalar o que é real com a investigação pronta. O time de segurança passa a revisar casos montados em vez de abrir cada alerta do zero.

Um agente de IA pode monitorar golpes que usam minha marca?

Pode. Ele procura sites, perfis e anúncios falsos com o nome da sua fintech, junta as evidências e prepara o pedido de remoção. Isso conversa com as normas do Bacen atualizadas em dezembro de 2025, que incluem ações de inteligência no ambiente cibernético, como monitorar a internet e grupos privados de comunicação.

O que a Resolução CMN 4.893 e a BCB 85 pedem sobre revisão de acessos?

Desde as atualizações de dezembro de 2025, as duas pedem revisão periódica e tempestiva das permissões de acesso, em especial de terceirizados, além de múltiplos fatores de autenticação, testes de intrusão e correção tempestiva de vulnerabilidades. Um agente pode preparar a revisão de acessos e acompanhar o backlog de vulnerabilidades com evidência.

Qual o prazo para comunicar um incidente com dados pessoais à ANPD?

Pela Resolução CD/ANPD nº 15/2024, o controlador tem três dias úteis para comunicar à ANPD e aos titulares um incidente que possa trazer risco ou dano relevante, contados de quando soube que o incidente afetou dados pessoais. Um agente pode montar a linha do tempo e o rascunho da comunicação para o encarregado e o jurídico revisarem.

Dar acesso aos logs para um agente não cria um risco novo?

Cria, se for feito sem controle. Com o Runtime, cada agente roda em um computador isolado que é apagado no fim da sessão, com credenciais próprias e restritas, dados sensíveis mascarados e registro de cada ação. Ações como desativar um usuário ou bloquear um IP esperam a aprovação de alguém do seu time.

O que é o Runtime?

O Runtime é o sistema operacional para agentes de IA em times de pagamentos e fintech. Ele roda cada agente em um computador isolado, com credenciais restritas, aprovações, mascaramento de dados e registro exportável de cada execução. É auditado SOC 2 e pode rodar na sua própria conta de AWS, GCP ou Azure, inclusive em São Paulo.