01 — proporção
A regulação está clara. A Resolução BCB 85/2021 e a Política de Segurança Cibernética obrigatória pegam fintechs de qualquer porte — BaaS, gateway Pix, conta digital, exchange cripto. O problema é que a maioria das opções no mercado foi desenhada para banco grande: MSSP enterprise cobra de R$ 80 mil a R$ 300 mil por mês, contratos longos, oversold. Quem está começando precisa de outra coisa: o mínimo defensável, registrado, auditável, e que cabe no budget de um Series Seed.
02 — o que o regulador pede
Não é teoria. É o que aparece em supervisão direta do Bacen e em due diligence de banco custodiante quando uma fintech tenta fechar contrato de BaaS, Pix indireto ou IP de pagamento.
Resolução BCB 85/2021
Documento obrigatório, atualizado, com escopo, governança e plano de resposta. Quarry gera o template inicial a partir do desenho de incidentes reais e mantém a versão vigente vinculada às detecções ativas.
Res. BCB 85/2021 · Art. 8
Cada incidente classificado como relevante precisa estar registrado, datado e com evidência rastreável. O agente Triage marca classificação e cadeia probatória já no momento do achado — não depende de analista preencher planilha depois.
Res. BCB 85/2021 · Art. 9
Quando o incidente cruza o limiar de relevância, o relatório regulatório é montado em formato de comunicação imediata ao Bacen, com classificação, vetores e medidas tomadas. O relógio começa no momento da detecção, não no momento em que alguém abriu o ticket.
IN BCB 314
Plano de continuidade testado, com responsáveis, RTO e RPO. Quarry executa drills cinematográficos a partir de cenários sintéticos (fraude Pix, SIM swap, scraping Open Finance) e arquiva o resultado como evidência de teste periódico.
LGPD · Art. 48
Quando o incidente toca dado pessoal de cliente, a notificação para ANPD e titular precisa ser específica. O relatório separa o que é vazamento, o que é exposição e o que é uso indevido — três regimes diferentes na ANPD.
03 — o que a IA fecha sem humano
36%
dos alertas o auto-triage classifica com confiança suficiente para fechar sem chegar ao analista humano. Contra 7% de uma baseline de regras estáticas — 5.1× mais. Zero falso-fechamento nas duas estratégias (nenhum incidente real foi indevidamente arquivado).
O auto-triage do Quarry foi medido contra o dataset FinPlay BR (sintético, 100 alertas) — distribuição de 60 true-positives, 30 false-positives e 10 eventos benignos representando fraude Pix, scraping Open Finance, SIM swap e outros vetores típicos de fintech regulada BR. Ground truth embutido no gerador, métrica reproduzível por commit. Foi a primeira rodada publicada; vamos manter cadência a cada release do agente.
| estratégia | auto-close | falso-fech. | p95 ms |
|---|---|---|---|
| Baseline · regras estáticas | 7% | 0% | < 1 |
| Quarry · auto-triage agêntico | 36% | 0% | 2.498 |
todo alerta fechado era de fato dispensável
todo true-positive chegou ao humano
por mil alertas processados (gpt-4o-mini)
Dataset é sintético. Em piloto com cliente, rodamos contra os alertas reais dos últimos 30 dias e republicamos o número específico daquele ambiente — nenhuma fintech tem distribuição de alerta idêntica à outra.
04 — o número que pesa
R$ 27,40
custo médio de uma investigação cinematográfica de fraude Pix organizada conduzida pelos agentes Quarry — incluindo modelo, consultas, geração de relatório regulatório e arquivamento de evidência. Medido no dataset sintético FinPlay Pagamentos (R$ 1,84 mi reconstituídos em ~4 min 30 s).
Os números abaixo vieram de cotações reais de MSSP brasileiros (2025-2026) atendendo fintech de porte Seed/Series A. Cada caixa é um spread, não um ponto. Quarry não cobre tudo que um SOC enterprise cobre — cobre o que o regulador exige de fintech começando, com auditoria e evidência arquivada.
| opção | custo mensal | cobertura regulatória |
|---|---|---|
| MSSP enterprise (Splunk + 24×7) | R$ 80k – 300k | sobra capacidade; contrato de 24 meses; oversold pra fintech pequena |
| SOC interno (1 squad + ferramentas) | R$ 180k – 420k | contratação demora ~6 meses; risco de burnout em time pequeno |
| Sem SOC formal | R$ 0 | risco regulatório com Bacen; bloqueio de Pix; recusa de banco custodiante |
| Quarry · plano fintech BR | R$ 2,4k – 9,8k(a definir) | cobre os cinco artefatos do bloco 02; sem cobertura de fraude transacional em tempo real (esse é outro produto) |
Spread Quarry calculado contra perfil de uso típico Seed (3-8 conectores, 1-3 incidentes relevantes/mês). Preço final ainda não publicado.
05 — o que sai do produto
i — comunicação Bacen
Formato pronto para envio em até 24h. Inclui classificação, vetores, medidas tomadas e evidência indexada. Versão imutável fica arquivada com hash; supervisor pode comparar com a versão recebida pelo regulador.
ii — cadeia probatória
Cada chamada de modelo, cada query rodada, cada decisão dos agentes Detect/Triage/Hunt/Respond fica registrada. Auditor externo consegue refazer a investigação do zero, com os mesmos dados e os mesmos prompts.
iii — controle mapeado
Catálogo público liga cada artigo da Res. 85, IN BCB 314 e itens da LGPD que tocam segurança cibernética a regras Sigma específicas em customizations/detections/br-fintech. Quando um item perde cobertura, o CI marca antes de chegar em produção.
“O Bacen não exige que você tenha o SOC mais caro do mercado. Exige que você consiga, na hora da inspeção, mostrar o que detectou, quando detectou, como classificou e o que fez.”
leitura informal da Res. BCB 85/2021 e IN BCB 314, por quem já passou pela inspeção
06 — para quem isso não é
Banco grande, conglomerado ou IF S1/S2.
Quarry foi feito propositalmente abaixo do escopo de SOC enterprise. Se a sua área de cibersegurança já tem squad dedicado, MSSP contratado e SIEM próprio, este produto não acrescenta nada — provavelmente substitui mal.
Fintech que precisa de antifraude transacional em tempo real.
Antifraude no instante da transação (score, velocity, device fingerprint para bloquear o Pix antes do envio) é outro produto. Quarry investiga depois — encontra o anel, monta a evidência, gera o relatório. Os dois são complementares, não substitutos.
Empresa que quer “AI-powered cyber” como argumento de captação.
Quarry usa modelos, sim, mas o relógio do produto é o relógio do regulador, não o do pitch deck. Se a expectativa é vender IA para fundo, esta provavelmente não é a ferramenta certa.
Quem ainda não decidiu se vai operar regulado no Brasil.
Se o roadmap regulatório está aberto (talvez Pix indireto, talvez BaaS, talvez nada disso), vale primeiro fechar o desenho. Quarry depende de saber qual regime se aplica.
07 — o que perguntam
Atualizado conforme a conversa evolui. Se sua dúvida não está aqui, escreva — provavelmente ela vira item desta lista.