O relógio do PCI DSS 3.2.1 bateu meia-noite... Você está pronto para a versão 4.0?

O domingo, 31 de março de 2024, uma data importante em todo o mundo, já passou. Por que digo isso? Para qualquer organização que aceite pagamentos de consumidores, essa é a data em que o padrão de conformidade PCI DSS 3.2.1 foi descontinuado (1º de maio de 2018 a 31 de março de 2024). Agora, sua organização está sujeita ao cronograma do PCI DSS 4.0 e deverá concluir um SAQ em conformidade com a versão 4.0 e uma auditoria realizada por uma organização externa até março de 2025. Não estar em conformidade com o PCI DSS 4.0 não é uma opção se você deseja contabilizar receitas provenientes de pagamentos de consumidores.

A especificação PCI DSS 4.0 representa uma grande evolução em relação à versão 3.2.1, e você pode consultar o resumo das alterações aqui. A versão 4.0 introduz inúmeras mudanças (além de um SAQ atualizado); no entanto, há duas áreas totalmente novas que precisam ser protegidas na estrutura geral para alcançar e manter a conformidade:

• Interface de programação de aplicações (API) [2.2.7; 6.2.3; 6.2.4]
• Software sob medida [6.X; 8.6.2; 12.8.1]

Para simplificar, vamos nos aprofundar um pouco mais apenas em uma parte dos “softwares sob medida”. Trata-se de um software personalizado, desenvolvido pela organização para facilitar o pagamento pelos consumidores. Os softwares sob medida são os seguintes:

• Desenvolvido internamente ou por fornecedores externos
• Software desenvolvido para o aplicativo de pagamento (no lado do servidor da transação) ou enviado ao navegador do consumidor (no lado do cliente da transação) para viabilizar a coleta de dados

Um desafio para muitas organizações será estender a segurança e a conformidade com o PCI DSS do software personalizado até o navegador do consumidor (Requisitos 6.4.1 e 11.6.1). Proteger as transações agora significa não apenas proteger o lado do servidor, mas também monitorar e proteger o navegador do consumidor contra o “software personalizado” disponibilizado nele. Além disso, obter de terceiros o software personalizado (por exemplo, JavaScript) destinado ao navegador do cliente não isenta o responsável pela coleta de pagamentos da obrigação de monitorá-lo e protegê-lo. Tentar atribuir a responsabilidade à fonte não levará a nada com o auditor.

Então, quais são os requisitos para software personalizado no lado do cliente? De acordo com a seção 6.4.1, eles se resumem ao seguinte:

Todos os scripts da página de pagamento carregados e executados no navegador do consumidor são gerenciados da seguinte forma:

• É implementado um método para confirmar que cada script está autorizado.
• Um método é implementado para garantir a integridade de cada script.
• É mantido um inventário de todos os scripts, com uma justificativa por escrito sobre a necessidade de cada um.

Isso significa que todos os softwares (scripts) implantados devem ser inventariados, justificados e monitorados, com um plano de ação para correção caso uma violação seja identificada. A equipe de segurança de aplicativos/TI está preparada para gerenciar, monitorar e elaborar relatórios sobre esse requisito? Você e sua equipe já conversaram com o auditor de PCI DSS sobre o agendamento da avaliação de conformidade com a versão 4.0? É hora de garantir que seu plano de segurança e conformidade com o PCI DSS esteja no caminho certo e não prejudique suas operações de segurança nem, mais importante, a arrecadação de receitas da sua organização. Afinal, o prazo para proteger o lado do cliente das suas transações e atender aos requisitos de conformidade com o PCI DSS 4.0 está muito mais próximo do que você imagina.