Dados de Pagamento e Revisão de Evidências PCI

Quando Usar

Revise fluxos de dados de pagamento, prepare controles de engenharia ou colete evidências para uma avaliação PCI com escopo definido. Esta habilidade não certifica a conformidade nem determina a elegibilidade da avaliação por si só.

Entradas e pré-requisitos

Identifique a função do comerciante/provedor de serviços, a instituição adquirente, a integração do processador, os sistemas que manipulam dados de conta e os documentos de avaliação aplicáveis. Obtenha os documentos atuais da biblioteca de documentos do PCI SSC; confirme a aplicabilidade com o avaliador responsável ou a instituição adquirente.

Procedimento

1. Siga resources/implementation-playbook.md para mapear formulários, APIs, armazenamento, filas, logs, telemetria, backups e exportações de suporte.
2. Prefira a coleta hospedada pelo provedor quando apropriado. Verifique o que a aplicação realmente recebe; uma alegação de tokenização não prova que dados brutos da conta nunca chegam a outro sistema.
3. Minimize os dados retidos e documente o propósito, acesso, retenção e exclusão. Não retenha dados de autenticação sensíveis após a autorização, mesmo que criptografados. Não crie um cofre de cartão personalizado a partir de um trecho de criptografia ilustrativo.
4. Mapeie os controles necessários para as evidências de implementação: limites de rede, configuração do sistema, proteção de dados, acesso, monitoramento, testes e propriedade operacional. Mantenha os controles não verificados marcados como lacunas.
5. Use campos de evento em lista de permissões em logs e respostas. Teste erros aninhados e novas tentativas com dados sintéticos; a filtragem por lista de negação não pode antecipar todos os nomes de campos sensíveis.
6. Verifique a autorização de função e recurso em conjunto. Uma função de pagamento ampla não concede acesso ao método de pagamento de todos os clientes.
7. Produza uma tabela de controle/evidência/lacuna/proprietário e um plano de remediação. Trate a elegibilidade do SAQ, os limites de transação e a atestação formal como decisões que exigem a orientação atual aplicável.

Exemplo

Entrada: um webhook de checkout é copiado para os logs da aplicação. Substitua a carga útil do log por tipo de evento aprovado, ID de solicitação interna e campos de resultado. Execute sucesso, falha e novas tentativas usando o ambiente de teste do processador. Verifique se os logs não contêm marcadores de dados de conta sintéticos e se o processamento de pagamentos ainda atende ao seu contrato.

Verificação

• Inventário de fluxo de dados reconciliado com a integração e telemetria reais.
• A negação de acesso não produz efeitos colaterais de pagamento ou dados.
• Redação verificada em dados aninhados e exceções.
• Evidências vinculadas à configuração real e resultados de testes, com lacunas explícitas.

Limitações

Criptografia, checkout hospedado ou um scan aprovado por si só não provam conformidade. Este pacote não inclui script de auditoria automatizado, cliente de processador de pagamento ou utilitário de criptografia certificado. Use o código de integração revisado e a avaliação qualificada para o ambiente real; nunca use dados de titular de cartão em tempo real como um dispositivo de teste.