Implementando Controles de Conformidade PCI DSS

Visão Geral

O PCI DSS 4.0.1 estabelece 12 requisitos em 6 objetivos de controle para organizações que armazenam, processam ou transmitem dados de portadores de cartão. Com a aposentadoria do PCI DSS 3.2.1 em abril de 2024 e 51 novos requisitos se tornando obrigatórios em 31 de março de 2025, esta habilidade abrange a implementação de todos os requisitos, incluindo a nova abordagem de validação personalizada, autenticação aprimorada e controles de monitoramento contínuo.

Quando Usar

• Ao implantar ou configurar capacidades de implementação de controles de conformidade PCI DSS em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Compreensão dos fluxos de processamento de cartões de pagamento e do ambiente de dados de portadores de cartão (CDE)
• Conhecimento de segmentação de rede e arquitetura de segurança
• Acesso ao ambiente de dados de portadores de cartão para escopo
• Compreensão dos níveis de validação de conformidade PCI (níveis de comerciante 1-4, níveis de provedor de serviços 1-2)

Conceitos Principais

12 Requisitos PCI DSS por Objetivo de Controle

Construir e Manter uma Rede e Sistemas Seguros

1. Instalar e manter controles de segurança de rede (firewalls, NSCs)
2. Aplicar configurações seguras a todos os componentes do sistema

Proteger Dados da Conta 3. Proteger dados da conta armazenados (criptografia, tokenização, truncamento) 4. Proteger dados do portador do cartão com criptografia forte durante a transmissão

Manter um Programa de Gerenciamento de Vulnerabilidades 5. Proteger todos os sistemas e redes contra software malicioso 6. Desenvolver e manter sistemas e softwares seguros

Implementar Medidas Robustas de Controle de Acesso 7. Restringir o acesso a componentes do sistema e dados de portadores de cartão por necessidade de conhecimento de negócios 8. Identificar usuários e autenticar o acesso a componentes do sistema 9. Restringir o acesso físico aos dados de portadores de cartão

Monitorar e Testar Redes Regularmente 10. Registrar e monitorar todo o acesso a componentes do sistema e dados de portadores de cartão 11. Testar a segurança de sistemas e redes regularmente

Manter uma Política de Segurança da Informação 12. Apoiar a segurança da informação com políticas e programas organizacionais

Principais Mudanças do PCI DSS 4.0

• Abordagem Personalizada: Alternativa à abordagem definida, permitindo o design de controle personalizado com validação baseada em objetivos
• MFA para todo o acesso ao CDE: Estendido além do administrativo para todo o acesso aos dados do portador do cartão (Req 8.4.2)
• Análise de Risco Direcionada: Organizações realizam sua própria análise de risco para requisitos flexíveis
• Varredura de Vulnerabilidade Autenticada: Varreduras internas devem usar varredura autenticada (Req 11.3.1.1)
• Mecanismos Anti-phishing: Controles técnicos para detectar e proteger contra phishing (Req 5.4.1)
• Revisão automatizada de logs: Mecanismos automatizados para revisão de logs de auditoria (Req 10.4.1.1)

Fluxo de Trabalho

Fase 1: Escopo e Avaliação (Semanas 1-4)

1. Identificar todos os fluxos de dados de portadores de cartão (presença do cartão, ausência do cartão, armazenamento)
2. Definir os limites do Ambiente de Dados de Portadores de Cartão (CDE)
3. Validar a eficácia da segmentação de rede
4. Determinar o nível de validação de conformidade
5. Realizar avaliação de lacunas do PCI DSS em relação a todos os 12 requisitos

Fase 2: Segurança de Rede e Sistemas (Semanas 5-12)

1. Implantar e configurar controles de segurança de rede (Req 1)
2. Implementar segmentação de rede para minimizar o escopo do CDE
3. Fortalecer as configurações do sistema usando Benchmarks CIS (Req 2)
4. Implementar WAF para aplicações web voltadas para o público (Req 6.4.1)
5. Implantar anti-malware em todos os sistemas no escopo (Req 5)

Fase 3: Proteção de Dados (Semanas 13-20)

1. Implementar criptografia para dados de portadores de cartão armazenados (Req 3)
2. Implantar tokenização sempre que possível para reduzir o escopo
3. Forçar TLS 1.2+ para toda a transmissão de dados de portadores de cartão (Req 4)
4. Implementar procedimentos de gerenciamento de chaves
5. Implantar ferramentas de descoberta de dados para localizar dados de portadores de cartão não criptografados

Fase 4: Controles de Acesso (Semanas 21-28)

1. Implementar RBAC com base na necessidade de conhecimento de negócios (Req 7)
2. Implantar MFA para todo o acesso ao CDE (Req 8)
3. Implementar IDs de usuário exclusivos para todos os usuários
4. Forçar políticas de senha que atendam aos requisitos do PCI DSS 4.0
5. Implementar controles de acesso físico para instalações do CDE (Req 9)

Fase 5: Monitoramento e Testes (Semanas 29-36)

1. Implantar log centralizado para todos os componentes do CDE (Req 10)
2. Implementar mecanismos automatizados de revisão de logs
3. Realizar varreduras de vulnerabilidade internas e externas (Req 11)
4. Realizar testes de penetração (internos e externos)

…