Frameworks – PCI DSS 4.0: o que a plataforma cobre
O PCI DSS é o padrão de segurança do setor de cartões de pagamento. Ele é diferente das outras normas do catálogo em dois aspectos que mudam completamente o planejamento.
Ele é contratualmente obrigatório. Não é uma escolha de mercado: quem processa, armazena ou transmite dados de cartão precisa atender, por exigência das bandeiras e do adquirente.
Ele é prescritivo. Enquanto a ISO 27001 diz *gerencie o risco de acesso*, o PCI diz o que fazer, com que frequência e em que configuração. Isso torna o padrão mais claro e menos flexível.
Para quem serve
Para empresas que tocam dados de cartão. E a pergunta que mais importa é justamente esta: você toca?
| Situação | Alcance típico |
|---|---|
| A empresa armazena número de cartão | Alcance máximo. É o cenário mais exigente |
| A empresa transmite ou processa dados de cartão nos próprios sistemas | Alcance alto |
| A empresa redireciona o pagamento para um provedor certificado, sem os dados passarem por ela | Alcance bem menor |
| A empresa não lida com pagamento por cartão | Não se aplica |
Essa é a decisão mais valiosa do projeto, e ela vem antes de qualquer trabalho na plataforma.
Reduzir o escopo vale mais que qualquer controle
Se há uma recomendação a levar deste documento, é esta: antes de atender o padrão, reduza o que ele alcança.
Terceirizar o processamento para um provedor certificado, usar campos hospedados pelo provedor em vez de coletar o cartão no próprio formulário, deixar de armazenar o número: cada uma dessas decisões reduz drasticamente o número de exigências aplicáveis.
Empresas que fazem isso primeiro atendem o padrão com uma fração do esforço. Empresas que começam trabalhando os controles antes de discutir arquitetura gastam meses a mais.
O que ele cobra, em linhas gerais
O padrão se organiza em requisitos que cobrem, entre outras coisas:
- Proteção do ambiente onde os dados de cartão circulam, com segmentação de rede.
- Proteção do dado em si, em armazenamento e em trânsito.
- Gestão de vulnerabilidades, com varreduras e correções periódicas.
- Controle de acesso restrito ao estritamente necessário.
- Registro e monitoramento de tudo o que acontece nesse ambiente.
- Testes periódicos de segurança.
- Uma política de segurança da informação que sustente o resto.
A periodicidade é parte da exigência
Aqui está a diferença mais prática em relação às outras normas. O PCI não pergunta apenas *você faz?*, e sim *você faz na frequência definida, e tem registro de cada vez?*
Vários requisitos têm periodicidade própria: varreduras, revisões de regra, testes, revisões de acesso. Isso significa que a evidência é recorrente, e é aqui que a plataforma ajuda mais: as datas de validade das evidências e os itens de ação avisam antes de o prazo passar.
Uma empresa que fez tudo uma vez e não repetiu está fora de conformidade, mesmo tendo feito.
O que é comprovado automaticamente e o que não é
| Área | Como costuma ser comprovada |
|---|---|
| Configuração de nuvem, segmentação, criptografia em trânsito | Integrações |
| Controle de acesso, autenticação forte, privilégio mínimo | Integrações |
| Registro de logs e retenção | Integrações |
| Varredura de vulnerabilidades e correção | Evidência periódica |
| Testes de segurança | Evidência periódica |
| Políticas e procedimentos | Documentos publicados |
| Treinamento e responsabilidades | Evidência |
| Segurança física, quando aplicável | Evidência, ou exclusão de escopo |
Por onde começar
- Defina o alcance. Onde os dados de cartão entram, por onde passam, onde param. Diagrama de fluxo é o entregável que organiza tudo.
- Reduza o alcance onde for possível, antes de trabalhar controles.
- Confirme o seu nível de exigência com o adquirente. Ele define o rigor da validação.
- Conecte as integrações de nuvem e identidade.
- Estabeleça as rotinas periódicas e registre cada execução como evidência com validade.
- Publique as políticas e vincule aos requisitos.
O que costuma dar problema
- Escopo indefinido. Sem saber onde o dado circula, não há como afirmar conformidade.
- Rotina periódica feita uma vez. É a falha mais comum, e a mais fácil de evitar com as datas de validade da plataforma.
- Armazenar dado que não precisava ser armazenado. Muita empresa guarda número de cartão por hábito, não por necessidade.
- Ambiente sem segmentação. Se tudo está na mesma rede, tudo entra no escopo.
⚠️ Esta página descreve o propósito e a estrutura geral do padrão em linguagem própria. Ela não reproduz o texto normativo. O conteúdo oficial, o seu nível de validação e a forma de comprovação devem ser confirmados com o adquirente e com as publicações do conselho responsável pelo padrão.
Este artigo foi útil?