CevroConformidade PCI DSS para equipes fintech e de pagamentos
O Payment Card Industry Data Security Standard se aplica a qualquer organização que armazene, processe ou transmita dados de cartões de pagamento, ou que possa afetar a segurança desse ambiente. É definido pelo PCI Security Standards Council e aplicado por meio das bandeiras e dos adquirentes.
Os doze requisitos
O PCI DSS agrupa seus requisitos em seis objetivos: segurança de rede, proteção de dados da conta, gestão de vulnerabilidades, controle de acesso, monitoramento e testes, e política de segurança.
- Instalar e manter controles de segurança de rede
- Aplicar configurações seguras
- Proteger dados de conta armazenados
- Proteger dados de portadores em trânsito
- Proteger contra software malicioso
- Desenvolver e manter sistemas seguros
- Restringir o acesso conforme a necessidade de conhecer
- Identificar usuários e autenticar o acesso
- Restringir o acesso físico
- Registrar e monitorar os acessos
- Testar a segurança regularmente
- Sustentar a segurança com políticas e programas
Reduzir o seu escopo
A forma mais eficaz de simplificar o PCI DSS é manter os dados de cartão fora dos seus sistemas, por exemplo usando campos hospedados de um provedor de pagamentos para que os números de cartão nunca passem pelos seus servidores. Um escopo menor significa menos controles a comprovar.
Como funciona a validação
Comerciantes e prestadores menores costumam validar com um Questionário de Autoavaliação (SAQ), enquanto os maiores passam por uma avaliação de um Avaliador de Segurança Qualificado (QSA) e apresentam um Relatório de Conformidade (ROC). Os requisitos anunciados como futuros na versão 4.0 tornaram-se obrigatórios em 31 de março de 2025.
Como a Cevro ajuda
- A Cevro executa verificações automáticas em 11 sistemas conectados (nuvem, código-fonte, identidade, pessoas e pagamentos) e associa cada resultado ao PCI DSS e aos demais referenciais que você acompanha.
- Cada controle reprovado vem com uma correção específica e uma forma de verificá-lo de novo, e a lista de lacunas vira uma lista de tarefas.
- As evidências coletadas para um referencial são reaproveitadas nos outros, e o que uma varredura não consegue produzir vai para o cofre de evidências.
- Uma página de confiança ao vivo e evidências exportáveis permitem responder a clientes e auditores sem começar de uma planilha em branco.
Perguntas frequentes
Preciso de PCI DSS se uso o Stripe ou outro provedor?
Em geral você ainda tem obrigações, mas bem mais leves quando o provedor trata os dados de cartão e você nunca os armazena nem processa. Confirme qual questionário se aplica à sua integração.
O PCI DSS é o mesmo que uma norma de cibersegurança bancária?
Não. O PCI DSS protege dados de cartões de pagamento. Os reguladores bancários nacionais publicam suas próprias expectativas de cibersegurança para instituições autorizadas, e elas se aplicam além dele.