Mudanças importantes no PCI DSS 4.0.1 que você precisa conhecer

O Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) v3.2.1 não expirou em 31 de março de 2024 e foi substituído pelo PCI DSS v4.0?

Sim, e sim.

Mas, para responder aos comentários e às perguntas recebidos após a publicação do PCI DSS v4.0, o Conselho de Padrões de Segurança do PCI (PCI SSC) decidiu lançar uma revisão limitada do padrão: PCI DSS v4.0.1. (Quando o PCI DSS v4.0 for descontinuado em 31 de dezembro de 2024, a v4.0.1 se tornará o único padrão ativo com suporte do PCI SSC.)

Há várias mudanças importantes no PCI DSS v4.0.1 que você deve conhecer ao atualizar ou implementar a segurança e a conformidade das transações. Para sermos breves, este blog abordará as mudanças e atualizações contempladas pelas soluções de segurança de aplicações e APIs da F5. Você pode encontrar uma lista mais completa das mudanças no site do PCI SSC.

As atualizações mais relevantes incluídas no PCI DSS v4.0.1 visam esclarecer o escopo dos requisitos de segurança do lado do cliente.

Quem é responsável pelo quê?

Requisito 6.4.3

Esse requisito estabelece que todos os scripts da página de pagamento carregados e executados no navegador do consumidor devem ser gerenciados da seguinte forma:

• É implementado um método para confirmar que cada script está autorizado.
• Um método é implementado para garantir a integridade de cada script.
• É mantido um inventário de todos os scripts, com uma justificativa comercial ou técnica por escrito explicando por que cada um deles é necessário.

Normalmente, os comerciantes dependem de provedores de serviços de pagamento ou de provedores de serviços terceirizados (PSPs ou TPSPs) para processar pagamentos, o que determina o método pelo qual o consumidor paga pelos bens ou serviços adquiridos. Esse requisito do PCI gerou dúvidas quanto ao modelo de responsabilidade aplicável a cenários em que os comerciantes usavam quadros embutidos (iframes) de PSPs/TPSPs contendo a página de pagamento. Um iframe é, essencialmente, uma pequena página da web renderizada para uma funcionalidade específica. Scripts também podem ser executados nele, tornando-o suscetível aos mesmos riscos que as páginas da web principais. Portanto, os iframes precisam cumprir os mesmos requisitos do PCI que as páginas principais?

A atualização v4.0.1 esclarece que os comerciantes são responsáveis apenas pelos scripts executados em sua própria página (a página principal), e não por aqueles executados em iframes de PSPs/TPSPs.

Prática recomendada: É responsabilidade do comerciante trabalhar com o fornecedor das páginas em iframes de PSP/TPSP para garantir que estejam em conformidade e sejam seguras. Se o comerciante não cumprir esse requisito, ficará sujeito a fraudes em pagamentos, o que pode resultar em perdas comerciais e em uma fiscalização rigorosa pelo PCI.

Requisito 11.6.1

Esclarecimentos semelhantes foram incluídos em relação ao requisito 11.6.1, com ênfase no sistema de cabeçalhos HTTP e scripts recebidos pelo navegador do consumidor que afetam a segurança. Essa é uma mudança importante, pois o PCI deixa claro que seu foco está nos riscos associados a esse requisito, em vez de exigir uma proteção mais ampla contra incidentes envolvendo cabeçalhos HTTP e scripts não relacionados à segurança.

Também há atualizações sobre o modelo de responsabilidade para iframes incorporados por PSPs/TPSPs, esclarecendo que o comerciante é responsável apenas pela página web principal, enquanto o fornecedor de PSP/TPSP é responsável pelos cabeçalhos HTTP e scripts com impacto na segurança renderizados em seus iframes.

O tempo está correndo

Com menos de nove meses até o prazo de março de 2025 para a implementação dos novos requisitos, as organizações precisam lidar com todas as complexidades relacionadas às mudanças propostas e à conformidade com o PCI DSS v4.0.1.

F5 e PCI DSS v4.0.1

F5 Distributed Cloud Web App and API Protection (WAAP), Distributed Cloud Bot Defense, Distributed Cloud Client-Side Defense e Mobile App Security Suite da F5 Distributed Cloud Services formam a base para proteger toda a transação entre empresas e consumidores. Para scripts do lado do cliente, o Distributed Cloud Client-Side Defense pode fornecer visibilidade e controle para viabilizar a conformidade. Atualmente, a F5 Distributed Cloud Services está em conformidade com o PCI DSS v4.0 e passa periodicamente por auditorias de conformidade realizadas por uma empresa de auditoria aprovada. As organizações devem estar em conformidade com o PCI DSS v4.0.1 até 1º de janeiro de 2025, e os Questionários de Autoavaliação devem ser atualizados para refletir essa exigência.

Por fim, as organizações sujeitas aos requisitos do PCI DSS podem esperar alterações na documentação a seguir nos próximos trimestres:

• Questionários de Autoavaliação (SAQs)
• Relatório de Conformidade (ROC)
• Atestados de Conformidade (AOCs)

Prática recomendada: Monitore https://blog.pcisecuritystandards.org para acompanhar atualizações ou revisões das normas e converse com seu auditor de PCI DSS para garantir que sua organização esteja no caminho certo para atender aos requisitos do PCI DSS.

Para saber mais, acesse f5.com/products/distributed-cloud-services.