PCI DSS 4.0: o que a plataforma cobre

O PCI DSS é o padrão de segurança do setor de cartões de pagamento. Ele é diferente das outras normas do catálogo em dois aspectos que mudam completamente o planejamento.

Ele é contratualmente obrigatório. Não é uma escolha de mercado: quem processa, armazena ou transmite dados de cartão precisa atender, por exigência das bandeiras e do adquirente.

Ele é prescritivo. Enquanto a ISO 27001 diz gerencie o risco de acesso, o PCI diz o que fazer, com que frequência e em que configuração. Isso torna o padrão mais claro e menos flexível.

Para quem serve

Para empresas que tocam dados de cartão. E a pergunta que mais importa é justamente esta: você toca?

Essa é a decisão mais valiosa do projeto, e ela vem antes de qualquer trabalho na plataforma.

Reduzir o escopo vale mais que qualquer controle

Se há uma recomendação a levar deste documento, é esta: antes de atender o padrão, reduza o que ele alcança.

Terceirizar o processamento para um provedor certificado, usar campos hospedados pelo provedor em vez de coletar o cartão no próprio formulário, deixar de armazenar o número: cada uma dessas decisões reduz drasticamente o número de exigências aplicáveis.

Empresas que fazem isso primeiro atendem o padrão com uma fração do esforço. Empresas que começam trabalhando os controles antes de discutir arquitetura gastam meses a mais.

O que ele cobra, em linhas gerais

O padrão se organiza em requisitos que cobrem, entre outras coisas:

• Proteção do ambiente onde os dados de cartão circulam, com segmentação de rede.
• Proteção do dado em si, em armazenamento e em trânsito.
• Gestão de vulnerabilidades, com varreduras e correções periódicas.
• Controle de acesso restrito ao estritamente necessário.
• Registro e monitoramento de tudo o que acontece nesse ambiente.
• Testes periódicos de segurança.
• Uma política de segurança da informação que sustente o resto.

A periodicidade é parte da exigência

Aqui está a diferença mais prática em relação às outras normas. O PCI não pergunta apenas você faz?, e sim você faz na frequência definida, e tem registro de cada vez?

Vários requisitos têm periodicidade própria: varreduras, revisões de regra, testes, revisões de acesso. Isso significa que a evidência é recorrente, e é aqui que a plataforma ajuda mais: as datas de validade das evidências e os itens de ação avisam antes de o prazo passar.

Uma empresa que fez tudo uma vez e não repetiu está fora de conformidade, mesmo tendo feito.

O que é comprovado automaticamente e o que não é

Por onde começar

1. Defina o alcance. Onde os dados de cartão entram, por onde passam, onde param. Diagrama de fluxo é o entregável que organiza tudo.
2. Reduza o alcance onde for possível, antes de trabalhar controles.
3. Confirme o seu nível de exigência com o adquirente. Ele define o rigor da validação.
4. Conecte as integrações de nuvem e identidade.
5. Estabeleça as rotinas periódicas e registre cada execução como evidência com validade.
6. Publique as políticas e vincule aos requisitos.

O que costuma dar problema

• Escopo indefinido. Sem saber onde o dado circula, não há como afirmar conformidade.
• Rotina periódica feita uma vez. É a falha mais comum, e a mais fácil de evitar com as datas de validade da plataforma.
• Armazenar dado que não precisava ser armazenado. Muita empresa guarda número de cartão por hábito, não por necessidade.
• Ambiente sem segmentação. Se tudo está na mesma rede, tudo entra no escopo.

⚠️ Esta página descreve o propósito e a estrutura geral do padrão em linguagem própria. Ela não reproduz o texto normativo. O conteúdo oficial, o seu nível de validação e a forma de comprovação devem ser confirmados com o adquirente e com as publicações do conselho responsável pelo padrão.