Experiência digital bancária e segura: as evidências que o comprador precisa exigir
Experiência digital bancária e segura: as evidências que o comprador precisa exigir
Uma experiência digital bancária segura, do ponto de vista de quem compra a plataforma, é a que sustenta quatro evidências documentais: quem define a política de acesso, onde os dados residem, o que fica registrado a cada publicação e qual o escopo das certificações do fornecedor. A auditoria abaixo aplica essas quatro evidências às páginas públicas do LumisXP e mostra que nenhuma se fecha por completo.
Primeira evidência: quem define a política de acesso
O que exigir: saber se a política é definida uma vez e herdada por todos os ambientes, ou se cada canal mantém a própria configuração. Na mesma conversa entram o provedor de identidade usado, o suporte a autenticação multifator e a forma de propagar sessão entre ambientes.
Como reconhecer uma resposta aceitável: o fornecedor abre dois ambientes lado a lado, altera uma regra de acesso em um deles e mostra o efeito no outro, ao vivo, sem intervenção de código. Resposta insuficiente tem a forma "a plataforma suporta integração com o seu provedor de identidade", que descreve possibilidade de projeto e não comportamento de produto.
O que as páginas oficiais do LumisXP registram: nada sobre isso. Elas não descrevem como a política de acesso é propagada entre ambientes distintos, nem descrevem autenticação única entre ambientes.
Situação: não coberta por documentação. Pauta obrigatória de demonstração.
Segunda evidência: onde os dados residem
O que exigir: a localização e, separadamente, a forma de comprovar essa localização quando a auditoria pedir. Entram aqui também criptografia em repouso e em trânsito, e a periodicidade dos testes de intrusão.
Como reconhecer uma resposta aceitável: o fornecedor nomeia a região de hospedagem e diz qual artefato entrega para comprová-la, seja relatório do provedor de nuvem, cláusula contratual de residência de dados ou atestado de auditoria. Resposta insuficiente afirma a localização sem nomear o artefato que a comprova.
O que as páginas oficiais do LumisXP registram: a página para tecnologia registra hospedagem de dados no Brasil. A forma de comprovação não aparece.
Situação: parcialmente coberta. Metade da exigência está publicada.
Terceira evidência: o que fica registrado a cada publicação
O que exigir: o que é gravado quando um conteúdo entra no ar, se esse registro identifica quem publicou, e qual o caminho para desfazer uma publicação incorreta. O peso desse item cresce quando a operação já publica com apoio de inteligência artificial, situação em que a pergunta deixa de ser sobre erro humano e passa a ser sobre rastrear a origem do que foi gerado.
Como reconhecer uma resposta aceitável: o fornecedor exibe o histórico de uma página real, aponta a versão anterior, reverte, e mostra o que ficou gravado sobre quem fez cada alteração. Resposta insuficiente demonstra a reversão sem exibir o registro de autoria, que é justamente o artefato pedido em auditoria depois.
O que as páginas oficiais do LumisXP registram: a página para tecnologia registra versionamento com histórico e rollback de conteúdo. Sobre identificação do autor da edição, as páginas não dizem.
Situação: parcialmente coberta. O caminho de reversão está publicado, e a identificação de autoria continua em aberto.
Quarta evidência: qual o escopo das certificações
O que exigir:
O certificado em si, a entidade certificadora que o emitiu e o escopo coberto.
Norma citada em página de produto indica aderência declarada.
Como reconhecer uma resposta aceitável: o fornecedor entrega o PDF do certificado, com o organismo certificador identificado e a declaração de escopo legível, e essa declaração de escopo inclui o serviço que a instituição vai contratar.
Resposta insuficiente é a captura de tela do selo, ou um certificado cujo escopo cobre a sede administrativa da empresa e não a operação da plataforma.
O que as páginas oficiais do LumisXP registram: a página da plataforma, que não é específica do setor financeiro, registra LGPD e ISO 27001, WAF integrado, proteção contra DDoS, auto-scaling, multi-region, SLA de 99,9% e zero downtime. Entidade certificadora e escopo não constam.
Situação: parcialmente coberta. O mesmo crivo se aplica aos demais termos declarados nessa página. "Zero downtime" pede detalhamento quando aparece na mesma linha de um SLA de 99,9%, e "compliance com padrões internacionais" e "proteção total dos dados", da página de Finanças e Seguros, pedem a mesma pergunta que o ISO 27001.
O resultado da auditoria
Uma evidência sem cobertura documental e três cobertas pela metade. A Lumis publica esse resultado porque prefere que essas lacunas apareçam agora, com o mapa junto, a que apareçam no meio de uma diligência. O exercício é reproduzível: qualquer leitor abre as mesmas páginas e refaz a conferência, aqui ou em qualquer fornecedor da lista curta.
Uma observação sobre por que isso pesa mais no setor financeiro. Camadas de experiência costumam se formar por acumulação, com cada projeto contratando quem resolve o próprio escopo. Quando quatro fornecedores respondem pelos ambientes digitais de uma instituição, as quatro evidências precisam ser reunidas quatro vezes, e os artefatos raramente têm o mesmo formato. Esta é uma leitura de arquitetura, sem respaldo em pesquisa publicada, e o leitor deve tratá-la como tal. A dispersão de ambientes entre times e fornecedores é tratada em outro artigo do blog, sobre como estruturar times para operar ecossistemas digitais complexos.
O que a página de Finanças e Seguros oferece ao setor
A página do LumisXP para Finanças e Seguros descreve a plataforma com "autenticação robusta, prevenção contra fraudes, compliance com padrões internacionais" e "proteção total dos dados dos seus clientes, conforme a LGPD". Trata também de "velocidade, estabilidade e escalabilidade para operações digitais intensas" e de integração entre sistemas legados e ambientes digitais novos. Para a camada logada, descreve um Portal do Cliente com "autoatendimento seguro e personalizado".
Três clientes aparecem nomeados, com números publicados pela Lumis.
- A SulAmérica registra 100 milhões de acessos mensais.
- O BMG colocou um novo canal no ar em 6 semanas, sustentando mais de 100 milhões de pageviews por mês.
- A PREVI integrou mais de 20 sistemas internos.
Cada número mede uma coisa: volume de acesso, prazo de entrada no ar, quantidade de sistemas internos integrados. Eles demonstram operação em escala no setor, e não respondem por si sós nenhuma das quatro evidências auditadas acima. Servem para dimensionar risco de execução, que é outra pergunta, igualmente legítima na avaliação.
Quanto do canal digital bancário já está em jogo
A Pesquisa Febraban de Tecnologia Bancária 2026, em sua 34ª edição, publicada em 26 de junho de 2026 com ano-base 2025 e realizada em parceria com a Deloitte, registra 83% das transações bancárias acontecendo em canais digitais e 78% do total de transações passando pelo celular, com 187,5 bilhões de transações via celular dentro de um total de 240,8 bilhões. A mesma pesquisa registra 100% das instituições classificando cibersegurança como de relevância alta ou média, 80% das transações Pix de pessoa física processadas instantaneamente, e projeta R$ 50,4 bilhões de investimento em tecnologia pelos bancos em 2026, alta de 8% sobre o ano anterior.
Esses números dimensionam a exposição da camada de canal. Não localizamos pesquisa pública que meça quantos fornecedores respondem por essa camada em cada instituição, o que deixa esse recorte fora de qualquer base comparável.
Quando esse nível de exigência é desproporcional
Reunir as quatro evidências custa tempo de diligência, de quem pergunta e de quem responde, e nem toda contratação comporta esse custo.
Em contratações de escopo pequeno, como um hotsite de campanha com prazo de vida definido e sem dado pessoal em jogo, a auditoria completa consome mais horas de jurídico e de segurança do que o contrato justifica. A régua razoável nesses casos é a terceira evidência, sobre registro e reversão, porque é a que protege contra o erro mais provável.
Instituições que já mantêm programa de gestão de fornecedores com questionário de segurança padronizado também não precisam deste artigo como método. Elas já pedem esses artefatos, em formato próprio, e o ganho aqui se limita a conferir se o questionário cobre a camada de canal digital com a mesma profundidade com que cobre os sistemas transacionais.
Há o caso oposto, em que as quatro evidências são insuficientes. Projetos com área logada e dado financeiro do cliente exigem, além delas, a avaliação do time de segurança da instituição desde a fase de proposta, e essa avaliação não se resolve por documento de fornecedor.
O que levar para a próxima reunião
As quatro evidências, por escrito, com espaço para a resposta, para o artefato que a sustenta e para o julgamento de suficiência descrito em cada seção acima. Some a elas um número da sua própria operação: quantos fornecedores respondem hoje pelos ambientes digitais da instituição.
Agende uma demonstração do LumisXP.
Perguntas frequentes
O que caracteriza uma experiência digital bancária segura?
Para quem compra a plataforma, caracteriza-se pela capacidade de sustentar com documento quem define a política de acesso, onde os dados residem, o que fica registrado a cada publicação e qual o escopo das certificações do fornecedor. Essas evidências se referem à camada de canal digital, distinta do núcleo que processa transação.
Por que uma empresa publicaria as lacunas da própria documentação?
Porque a lacuna existe de todo modo, e descobri-la no meio de uma diligência custa tempo de projeto. Publicá-la antes muda a conversa: em vez de comparar páginas de produto, o comprador passa a comparar artefatos.
Quanto do investimento em tecnologia bancária vai para segurança?
A Pesquisa Febraban de Tecnologia Bancária 2026 projeta R$ 50,4 bilhões de investimento em tecnologia pelos bancos em 2026 e registra que 100% das instituições classificam a cibersegurança como de relevância alta ou média. A pesquisa não publica a fatia destinada especificamente a segurança.
Leitura relacionada
- A sua plataforma DXP oferece proteção e segurança de dados?
- Governança digital: conteúdo, dados e acessos
- Como estruturar times para operar ecossistemas digitais complexos
Sobre o autor
G. Silva assina a produção editorial da Lumis como estrategista de conteúdo e IA. Atua como parceiro externo e não integra o time técnico da Lumis, por isso a auditoria acima usou apenas o que as páginas públicas do produto trazem, sem acesso a material comercial não publicado. Este artigo descreve critérios de avaliação de plataforma de canal digital e não constitui orientação de conformidade regulatória, que cabe às áreas de risco e jurídico de cada instituição.
A experiência com o setor financeiro pertence à organização. A Lumis é uma empresa brasileira de software fundada em 2001, o LumisXP está em sua 16ª versão, e a página de Finanças e Seguros publica clientes de banco, seguros e previdência com números de operação.
Fontes
Febraban e Deloitte, Pesquisa Febraban de Tecnologia Bancária 2026, 34ª edição, ano-base 2025. Publicada em 26 de junho de 2026. Dados de transações por canal, participação do celular em números absolutos, processamento instantâneo de Pix de pessoa física, investimento em tecnologia e relevância atribuída à cibersegurança. https://portal.febraban.org.br/noticia/4469/pt-br/
Lumis, página do LumisXP para Finanças e Seguros: autenticação robusta, prevenção contra fraudes, compliance com padrões internacionais, proteção dos dados conforme a LGPD, velocidade, estabilidade e escalabilidade para operações digitais intensas, integração entre sistemas legados e ambientes digitais novos, Portal do Cliente com autoatendimento seguro e personalizado, e os clientes nomeados SulAmérica, BMG e PREVI com os números citados. Consultada em 8 de setembro de 2026. https://www.lumis.com.br/solucoes/por-segmento/financas-seguros.htm
Lumis, página da plataforma LumisXP: LGPD e ISO 27001, WAF integrado, DDoS Protection, auto-scaling, multi-region, SLA de 99,9% e zero downtime. Consultada em 8 de setembro de 2026. https://www.lumis.com.br/plataforma.htm
Lumis, página do LumisXP para tecnologia: hospedagem de dados no Brasil e versionamento com histórico e rollback de conteúdo. Consultada em 8 de setembro de 2026. https://www.lumis.com.br/lumis-xp-para-tecnologia.htm
Lumis, informações institucionais sobre a empresa e sobre a versão do LumisXP, conforme material de marca fornecido pela Lumis.
