O que é o PCI DSS? Visão geral, requisitos e benefícios

Saiba mais sobre o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS), desenvolvido em conjunto para simplificar a conformidade de comerciantes e processadores de pagamentos.

Publicado pela primeira vez em 2004, o PCI DSS é um conjunto de padrões de segurança desenvolvido por cinco grandes bandeiras de cartões de pagamento para proteger os dados de pagamento contra roubo e uso indevido. Toda empresa ou organização que lide com dados de cartões de pagamento — seja no processamento, na transmissão ou no armazenamento desses dados — deve cumprir os padrões do PCI DSS, sob pena de sofrer consequências graves, incluindo multas, ações judiciais ou o encerramento de contas de comerciante.

Qual é a finalidade do PCI DSS?

O PCI DSS foi desenvolvido para promover e aprimorar a segurança dos dados de contas de pagamento e facilitar a ampla adoção de medidas consistentes de segurança de dados em todo o mundo. O PCI DSS estabelece uma base de requisitos técnicos e operacionais destinados a proteger os dados de contas de pagamento e resguardar consumidores e empresas contra fraudes financeiras e danos à reputação.

Um dos principais objetivos do PCI DSS é proteger os dados dos titulares de cartões contra acesso não autorizado e possível uso indevido. Isso inclui números de conta principal, nomes dos titulares, datas de validade e outras informações confidenciais. A norma também visa minimizar o risco de violações de dados, que podem resultar em acesso não autorizado ou roubo de informações de cartões de pagamento. Ao implementar os controles do PCI DSS, as organizações também ajudam a prevenir e detectar atividades fraudulentas relacionadas a transações com cartões de pagamento.

É importante observar que os requisitos do PCI DSS evoluem ao longo do tempo para lidar com novas ameaças à segurança, avanços tecnológicos e mudanças no cenário regulatório. Consulte os requisitos mais recentes no PCI Security Standard Council site.

Quatro fontes comuns de vulnerabilidades na conformidade com o PCI DSS

A conformidade com o PCI DSS exige que as organizações tratem uma série de possíveis vulnerabilidades para garantir a segurança dos dados dos titulares de cartões. A seguir, apresentamos quatro áreas comuns de vulnerabilidade que as organizações devem abordar para manter a conformidade com o PCI DSS.

• Sistemas de ponto de venda (PDV): Os sistemas de PDV processam dados confidenciais de cartões de pagamento durante as transações e estão sujeitos a diversas vulnerabilidades que podem resultar em violações de dados e acesso não autorizado. Muitos sistemas de PDV operam com hardware e software desatualizados, que podem não receber atualizações de segurança regulares, deixando vulnerabilidades expostas que podem ser exploradas por invasores. Nomes de usuário e senhas fracos ou padrão em sistemas de PDV também podem ser explorados por invasores. Além disso, os sistemas de PDV frequentemente envolvem integrações com terceiros. Se esses fornecedores terceirizados adotarem práticas de segurança inadequadas ou se houver vulnerabilidades na cadeia de suprimentos, isso poderá representar riscos para o sistema como um todo.
• Redes sem fio não seguras: Elas podem servir como um possível ponto de entrada para invasores comprometerem dados confidenciais de titulares de cartões, pois redes sem fio não seguras podem ser facilmente acessadas por pessoas não autorizadas para se conectarem a sistemas de ponto de venda (POS) e a outros dispositivos que processam informações de cartões de pagamento. Além disso, o tráfego sem fio pode não ser criptografado, expondo os dados transmitidos à interceptação e à espionagem.
• Controles de acesso e autenticação fracos: Quando os controles de acesso não são robustos, pessoas não autorizadas podem obter acesso a recursos confidenciais, aumentando o risco de violações de dados, atividades não autorizadas e outros incidentes de segurança. Por exemplo, o uso de senhas simples sem requisitos de complexidade ou de contas de usuário mal gerenciadas, que não verificam de forma eficaz a identidade dos usuários, pode levar à visualização, modificação ou exfiltração não autorizada de informações confidenciais de pagamento. O PCI DSS também enfatiza o uso da autenticação multifator (MFA) para reforçar a segurança dos controles de acesso. De acordo com o princípio do privilégio mínimo, usuários e sistemas devem receber apenas o nível mínimo de acesso ou as permissões necessárias para realizar suas tarefas. Os direitos de acesso devem ser adaptados a cargos, responsabilidades e funções específicos.
• Criptografia, tokenização e armazenamento de dados inadequados: A falta de implementação de medidas robustas de criptografia, tokenização e armazenamento seguro de dados pode resultar em não conformidade com o PCI DSS e aumentar o risco de violações de dados e comprometimento de informações confidenciais de cartões de pagamento. A criptografia de ponta a ponta garante que as informações confidenciais de pagamento sejam criptografadas no ponto de entrada (no PDV) e permaneçam assim durante todo o percurso por diversos sistemas e redes, até chegarem ao destino, onde o destinatário usa a chave correta para descriptografar os dados. Como alternativa, as informações de pagamento podem ser tokenizadas, um processo que consiste em substituir dados confidenciais, como números de cartão de crédito, por valores substitutos não confidenciais chamados tokens. Quando ocorre uma transação de pagamento, os dados reais do titular do cartão são substituídos por um token exclusivo, que não possui valor intrínseco e é inútil para invasores sem acesso ao sistema de tokenização. Tanto a criptografia quanto a tokenização ajudam a impedir a escuta clandestina ou a interceptação por agentes mal-intencionados e preservam a confidencialidade dos dados dos titulares de cartões.

Os seis princípios do PCI DSS

O PCI DSS estabelece um conjunto básico de requisitos técnicos e operacionais destinados a proteger os dados de contas de pagamento. Esses requisitos são detalhados nos seis princípios do PCI DSS a seguir.

1. Criar e manter redes e sistemas seguros

A proteção dos dados dos titulares de cartões começa pelo estabelecimento de uma infraestrutura de rede segura. Isso inclui o uso de firewalls para controlar e monitorar o tráfego entre redes e restringir acessos não autorizados. Microssegmentação é outra estratégia de segurança recomendada que consiste em dividir uma rede em segmentos pequenos e distintos para aumentar a segurança, controlando o tráfego lateral “leste-oeste” dentro da rede e no nível da aplicação ou da carga de trabalho, a fim de reduzir a superfície de ataque potencial. A adoção de práticas recomendadas de gerenciamento de vulnerabilidades também é fundamental para garantir que os sistemas estejam atualizados e com as correções de segurança aplicadas.

2. Proteja os dados dos titulares de cartões

Este princípio se concentra na criptografia e na proteção dos dados dos titulares de cartões durante a transmissão e o armazenamento, a fim de impedir o acesso não autorizado a informações confidenciais. O requisito determina o uso de criptografia robusta para proteger os dados dos titulares de cartões durante a transmissão por redes públicas, bem como o desenvolvimento de políticas de retenção de dados que evitem o armazenamento de dados confidenciais de autenticação após a autorização. As políticas de proteção de dados também exigem o mascaramento ou o truncamento dos números de conta principal (PANs) para minimizar o risco de acesso não autorizado e de exposição de informações confidenciais dos titulares de cartões. De acordo com os requisitos do PCI DSS, os seis primeiros e os quatro últimos dígitos de um PAN são a quantidade máxima de dígitos que pode ser exibida quando o PAN estiver visível.

3. Mantenha um programa de gerenciamento de vulnerabilidades

Manter um ambiente seguro exige identificar e corrigir vulnerabilidades regularmente. Isso inclui realizar varreduras periódicas de vulnerabilidades, que alertam as empresas sobre falhas preexistentes em seus códigos, e testes de penetração, que determinam se é possível obter acesso não autorizado ou realizar outras atividades maliciosas, simulando ataques reais para avaliar a eficácia das medidas de segurança existentes. Corrigir prontamente qualquer fragilidade encontrada por meio de varreduras ou testes é fundamental para evitar o possível comprometimento dos sistemas e dos dados de titulares de cartão que eles possam armazenar. Além disso, as organizações devem desenvolver e aplicar diretrizes de codificação segura, como as definidas por organizações como a OWASP, para evitar a introdução de vulnerabilidades durante o ciclo de vida de desenvolvimento de software.

4. Implemente medidas rigorosas de controle de acesso

Restringir o acesso aos componentes do sistema e aos dados dos titulares de cartões ajuda a impedir o acesso de pessoas ou sistemas não autorizados. O PCI DSS determina que o acesso seja limitado de acordo com a necessidade de conhecimento para fins profissionais, prática frequentemente chamada de princípio do menor privilégio, segundo o qual um usuário ou sistema deve ter acesso apenas aos dados, recursos e aplicativos específicos necessários para realizar uma tarefa. Da mesma forma, os controles de acesso baseados em função (RBAC) restringem o acesso ao sistema a usuários autorizados de acordo com suas funções na organização. Essas políticas exigem que os controles de acesso sejam revisados e atualizados com frequência para refletir mudanças no quadro de pessoal e nas funções. Elas também exigem a implementação da autenticação multifator (MFA) para o acesso a sistemas e dados dos titulares de cartões, bem como o aprimoramento das políticas e práticas recomendadas de senhas.

5. Monitore e teste as redes regularmente

O monitoramento e os testes contínuos são essenciais para detectar incidentes de segurança e responder prontamente a eles. Isso envolve a implementação de mecanismos de registro de logs, a realização periódica de testes de segurança e a análise contínua das atividades da rede. As ferramentas de monitoramento de rede também incluem sistemas de detecção de intrusão (IDS) e sistemas de prevenção de intrusão (IPS), que analisam e avaliam a integridade do tráfego de rede para identificar padrões de ataque, atividades anormais e uso não autorizado. As organizações também devem estabelecer um plano de resposta a incidentes e procedimentos de emergência, além de garantir que esses processos sejam testados regularmente.

6. Mantenha uma Política de Segurança da Informação

O PCI DSS também exige que as organizações estabeleçam e mantenham uma política de segurança abrangente, que defina as diretrizes para proteger os dados dos titulares de cartões e orientar as práticas de segurança dentro da organização. A política deve ser documentada, revisada regularmente e atualizada para refletir as mudanças na tecnologia e nos processos de negócios. As organizações também devem garantir que os funcionários conheçam as políticas e os procedimentos de segurança e recebam treinamento sobre eles.

Entendendo os requisitos do PCI DSS

A conformidade com os 12 requisitos do PCI DSS a seguir é essencial para que as organizações estabeleçam uma postura de segurança robusta, protejam os dados dos titulares de cartões e minimizem o risco de violações de dados.

1. Instale e mantenha controles de Network security. Os controles de Network security (NSCs), como firewalls e outras tecnologias de Network security, são pontos de aplicação de políticas de rede que normalmente controlam o tráfego entre dois ou mais segmentos de rede lógicos ou físicos (ou sub-redes). Os NSCs atuam como uma barreira entre a rede interna segura e as redes externas e controlam o tráfego de entrada e saída com base em regras ou políticas de segurança predefinidas, ajudando a impedir o acesso não autorizado aos dados dos titulares de cartões.
2. Aplique configurações seguras a todos os componentes do sistema. Alterar as configurações padrão garante que os sistemas sejam configurados com segurança desde o início, reduzindo o risco de acesso não autorizado, pois as senhas e configurações padrão são amplamente conhecidas pelos invasores. Não use os padrões fornecidos pelo fabricante para senhas do sistema e outros parâmetros de segurança.
3. Proteja os dados armazenados dos titulares de cartões. As organizações devem criptografar os dados armazenados dos titulares de cartões para protegê-los contra acesso não autorizado, mesmo em caso de violação, tornando os dados roubados ilegíveis sem as chaves de descriptografia adequadas.
4. Proteja os dados dos titulares de cartão com criptografia robusta durante a transmissão por redes abertas e públicas. Isso protege contra interceptações e acessos não autorizados durante a transmissão de dados.
5. Proteja todos os sistemas e redes contra softwares maliciosos. Atualizações regulares do software antivírus e o uso de ferramentas antimalware ajudam a prevenir, detectar e remover softwares maliciosos, reduzindo o risco de comprometimento.
6. Desenvolva e mantenha sistemas e softwares seguros. Desenvolva aplicações com foco em segurança, enfatizando a importância de práticas de codificação segura e da manutenção contínua de sistemas e aplicações. Atualize e aplique correções ao software regularmente para ajudar a solucionar vulnerabilidades que possam ser exploradas por invasores.
7. Restrinja o acesso aos componentes do sistema e aos dados dos titulares de cartão com base na necessidade de conhecimento para fins comerciais. Os controles de acesso limitam o acesso aos dados dos titulares de cartão apenas às pessoas que precisam deles para desempenhar suas funções. Isso reduz o risco de acesso não autorizado e ajuda as organizações a seguir o princípio do privilégio mínimo.
8. Identifique os usuários e autentique o acesso aos componentes do sistema. Atribua IDs exclusivos e senhas fortes para autenticar os usuários. Isso ajuda a garantir que somente pessoas autorizadas possam acessar os dados dos titulares de cartões. A autenticação multifator pode adicionar uma camada extra de segurança.
9. Restrinja o acesso físico aos dados dos titulares de cartões. Controles de acesso físico, como restrições de entrada e vigilância, ajudam a impedir que pessoas não autorizadas acessem fisicamente os sistemas que armazenam dados dos titulares de cartões.
10. Registre e monitore todos os acessos aos componentes do sistema e aos dados dos titulares de cartões. Arquivos de log, sistemas de detecção/prevenção de intrusões e outras ferramentas de rastreamento contribuem para um monitoramento contínuo eficaz, permitindo que as organizações detectem e respondam prontamente a atividades suspeitas.
11. Teste regularmente a segurança dos sistemas e das redes. Testes proativos, incluindo avaliações de vulnerabilidades e testes de invasão, ajudam a identificar e corrigir falhas de segurança antes que invasores possam explorá-las.
12. Apoie a segurança da informação com políticas e programas organizacionais. Implemente uma política de segurança abrangente para garantir a conformidade contínua, estabelecendo regras e diretrizes para proteger os dados dos titulares de cartões, e assegure que todos os colaboradores conheçam, recebam treinamento e cumpram essa política.

Níveis de conformidade com o PCI DSS

Os níveis de conformidade com o PCI são divididos em quatro categorias com base no volume total de transações com cartões de crédito, débito e pré-pagos ao longo de 12 meses. As organizações devem determinar com precisão seu volume de transações e atender aos requisitos do nível correspondente para garantir e manter a conformidade com o PCI DSS. Manter o nível adequado de conformidade é fundamental para proteger as transações de comércio eletrônico, preservar um ambiente seguro para os dados dos titulares de cartões e evitar possíveis violações de segurança.

Nível 1: empresas com mais de 6 milhões de transações anuais

O Nível 1 de conformidade com o PCI é o nível mais elevado e rigoroso do PCI DSS e foi desenvolvido para garantir o mais alto nível de segurança às empresas que armazenam, transmitem ou processam dados de cartões de crédito. Além disso, comerciantes e prestadores de serviços de qualquer porte que tenham sofrido uma violação ou um ataque cibernético que tenha resultado no comprometimento de dados de cartões de crédito ou de titulares de cartões devem atender aos requisitos do PCI Nível 1. A validação do PCI Nível 1 exige um relatório anual de conformidade (ROC) elaborado por um avaliador de segurança qualificado (QSA) ou por um avaliador de segurança interno e, normalmente, também exige testes de invasão, que envolvem a simulação de ataques cibernéticos reais a sistemas e aplicativos para identificar vulnerabilidades. A validação do PCI Nível 1 também exige uma varredura trimestral da rede realizada por um fornecedor de varredura aprovado (ASV).

Nível 2: empresas com 1 a 6 milhões de transações por ano

Os comerciantes de Nível 2 do PCI DSS devem realizar uma avaliação de conformidade uma vez por ano usando um questionário de autoavaliação (SAQ) e executar varreduras trimestrais de rede por meio de um ASV. Eles também devem preencher o formulário de Atestado de Conformidade (AOC). Assim como no Nível 1, alguns comerciantes de Nível 2 podem ser obrigados a realizar testes de invasão. Uma auditoria presencial do PCI DSS não é exigida para comerciantes de Nível 2, a menos que tenham sofrido uma violação de dados ou um ataque cibernético que comprometa dados de cartões de crédito ou de titulares de cartões.

Nível 3: empresas com 20 mil a 1 milhão de transações de comércio eletrônico por ano

Os comerciantes do Nível 3 do PCI DSS devem preencher anualmente o SAQ apropriado e realizar trimestralmente uma varredura de rede por um ASV. O comerciante também deve preencher e enviar um formulário AOC.

Nível 4: empresas com menos de 20.000 transações de comércio eletrônico ou até 1 milhão de outras transações por ano

Os comerciantes PCI de Nível 4 devem preencher anualmente o SAQ apropriado, e pode ser necessária uma varredura trimestral de segurança da rede externa realizada por um ASV. O comerciante também deve preencher e enviar um formulário AOC. Nem todas as bandeiras de cartão adotam a classificação de Nível 4.

Benefícios da conformidade com o PCI DSS

Cumprir os 12 requisitos do PCI DSS é fundamental para reforçar a segurança dos dados e contribuir para a conformidade geral. Esses requisitos atuam em conjunto para criar uma estrutura abrangente de proteção dos dados dos titulares de cartões e prevenção de violações de segurança.

A conformidade com o PCI DSS demonstra o compromisso com a proteção dos dados confidenciais dos titulares de cartões, assegurando aos clientes que os dados de seus cartões de crédito são tratados de acordo com os mais elevados padrões de segurança e reforçando a confiança na capacidade da empresa de proteger suas informações pessoais. Além disso, as empresas que seguem o PCI DSS estão mais bem preparadas para se defender de ações judiciais e penalidades regulatórias relacionadas à segurança inadequada dos dados.

Manter a conformidade com o PCI DSS oferece outras vantagens de longo prazo à medida que os cenários tecnológico e de segurança evoluem. O cumprimento dos requisitos do PCI DSS mantém as organizações vigilantes e mais bem preparadas para prevenir ataques avançados e sofisticados, além de permitir que se adaptem mais rapidamente às ameaças cibernéticas em constante evolução. A adesão ao PCI DSS também promove uma cultura centrada na segurança em toda a organização, que vai além da conformidade e incentiva esforços contínuos para fortalecer as práticas de segurança de dados.

Como exemplo de como o PCI DSS pode ajudar a conquistar (e reconquistar) a confiança dos clientes, em 2012, a Global Payments, uma importante empresa de processamento de pagamentos, sofreu uma violação de dados que resultou em acesso não autorizado a informações confidenciais de cartões de pagamento. A violação afetou cerca de 1,5 milhão de cartões de crédito e débito, gerando preocupações quanto à segurança das transações de pagamento. A Global Payments tomou medidas imediatas para conter a violação e iniciou uma investigação para determinar a extensão do comprometimento. Órgãos de segurança pública, incluindo o Serviço Secreto dos EUA, participaram da investigação.

Em resposta à violação, a Global Payments se comprometeu a aprimorar sua infraestrutura de segurança e implementar medidas adicionais para evitar incidentes semelhantes no futuro. A empresa também se comprometeu a priorizar a obtenção e a manutenção da conformidade com os requisitos do PCI DSS, o que ajudou a assegurar aos clientes e às partes interessadas que a Global Payments estava tomando medidas concretas para proteger os dados de pagamento.

Ao abordar proativamente as vulnerabilidades de segurança, investir em medidas de segurança aprimoradas e alcançar a conformidade com o PCI DSS, a Global Payments demonstrou seu compromisso com a reconstrução da confiança. O compromisso da empresa com a transparência, o investimento em segurança e a conformidade com o PCI DSS desempenharam papéis fundamentais para recuperar a confiança dos clientes e reconstruir sua reputação no setor de processamento de pagamentos.

Desafios da conformidade com o PCI DSS

Complexidade dos requisitos

A implementação dos 12 requisitos do PCI DSS pode representar diversos desafios para as organizações, pois são necessários recursos adequados, tanto em termos de pessoal quanto de tecnologia, para implementar e manter a conformidade com o PCI DSS. Organizações de todos os portes podem ter dificuldades para definir e limitar com precisão o escopo da implementação, mas isso é particularmente desafiador para empresas menores, com orçamento e conhecimento técnico limitados, ou para aquelas que utilizam sistemas legados que precisam ser atualizados para atender aos padrões atuais do PCI DSS. As empresas frequentemente recorrem a fornecedores terceirizados para diversos aspectos da implementação, mas garantir que esses fornecedores cumpram os requisitos do PCI DSS e proteger a cadeia de suprimentos também são responsabilidades importantes.

Manutenção contínua

Manter a conformidade com o PCI DSS é um processo contínuo que exige monitoramento, testes e avaliações regulares. Isso requer que as organizações permaneçam vigilantes e atualizem periodicamente suas medidas de segurança e políticas de gerenciamento de patches. A manutenção da conformidade também envolve um compromisso contínuo com a realização de testes regulares dos sistemas e processos de segurança, incluindo testes de penetração abrangentes e avaliações de vulnerabilidades, que podem demandar muitos recursos, apresentar desafios logísticos e sobrecarregar os recursos ao longo do tempo.

Implicações de custos

O cenário da cibersegurança está em constante evolução, com o surgimento frequente de ameaças novas e sofisticadas. A conformidade com o PCI DSS exige que as empresas monitorem e analisem continuamente o cenário de ameaças para compreender esses riscos e se antecipar a eles. Identificar e mitigar vulnerabilidades de dia zero também representa um desafio significativo para manter a conformidade com o PCI DSS, pois essas vulnerabilidades são falhas de segurança desconhecidas que agentes mal-intencionados exploram antes que os fornecedores tenham a oportunidade de disponibilizar correções. A melhoria contínua e o compromisso de se manter informado sobre as tendências de segurança mais recentes são fundamentais para superar com sucesso os desafios de se antecipar às ameaças emergentes, garantindo ao mesmo tempo que a conformidade com o PCI DSS se adapte à natureza dinâmica das ameaças cibernéticas.

Cenário de ameaças em constante evolução

O cenário da cibersegurança está em constante evolução, com o surgimento frequente de ameaças novas e sofisticadas. A conformidade com o PCI DSS exige que as empresas monitorem e analisem continuamente o cenário de ameaças para compreender esses riscos e se antecipar a eles. Identificar e mitigar vulnerabilidades de dia zero também representa um desafio significativo para a manutenção da conformidade com o PCI DSS, pois essas vulnerabilidades são falhas de segurança desconhecidas que agentes mal-intencionados exploram antes que os fornecedores tenham a oportunidade de disponibilizar correções. A melhoria contínua e o compromisso de se manter informado sobre as tendências de segurança mais recentes são fundamentais para superar com sucesso os desafios de se antecipar às ameaças emergentes, garantindo, ao mesmo tempo, que a conformidade com o PCI DSS se adapte à natureza dinâmica das ameaças cibernéticas.

Insights e recursos de especialistas

Acesse o site do PCI Security Standard Council website para obter as informações mais recentes sobre os requisitos de conformidade com o PCI DSS, treinamentos e qualificações, além de acesso a profissionais qualificados em PCI. O site também oferece uma ampla biblioteca de recursos, que inclui perguntas frequentes, um glossário e um prático guia de referência rápida do PCI DSS.

Como a F5 pode ajudar

A conformidade com o PCI DSS é essencial para organizações que processam transações com cartões de crédito, pois seus requisitos ajudam a garantir a segurança dos dados dos titulares dos cartões, a proteção das redes de transações e o monitoramento e os testes obrigatórios dos sistemas de segurança. A F5 oferece um conjunto de produtos, serviços e soluções de segurança de aplicações para ajudar sua organização a alcançar e manter a conformidade com o PCI DSS. Além disso, os serviços do F5 Distributed Cloud estão em conformidade com o PCI DSS como provedor de serviços de Nível 1.

A F5 também oferece liderança de pensamento em estratégias de segurança e proteção de aplicações, além de insights por meio de pesquisas, análises, blogs e relatórios do F5 Labs.