Conformidade com o PCI DSS

Implemente os requisitos do PCI DSS v4.0 para proteger dados do titular do cartão em todo o Ambiente de Dados do Titular do Cartão (CDE), incluindo segmentação de rede, criptografia, controles de acesso e testes contínuos.

Quando Usar

• Processamento, armazenamento ou transmissão de dados de cartão de pagamento
• Escopo do Ambiente de Dados do Titular do Cartão para avaliação PCI
• Seleção do Questionário de Autoavaliação (SAQ) apropriado
• Implementação de segmentação de rede para reduzir o escopo do CDE
• Preparação para avaliação QSA ou varredura ASV

Tipos de SAQ e Aplicabilidade

saq_types:
  SAQ_A:
    description: "Card-not-present merchants using fully outsourced payment"
    applies_when:
      - All payment processing fully outsourced to PCI-compliant third party
      - No electronic storage, processing, or transmission of cardholder data
      - Only payment page redirects or iframes from compliant provider
    requirements: ~22 questions

  SAQ_A_EP:
    description: "E-commerce merchants with website that affects payment security"
    applies_when:
      - E-commerce channel only
      - Website controls redirect to or loads payment page from third party
      - No direct processing but website could affect transaction security
    requirements: ~191 questions

  SAQ_B:
    description: "Merchants with only imprint machines or standalone terminals"
    applies_when:
      - Only standalone POS terminals (dial-out or IP connected)
      - No electronic cardholder data storage
      - No e-commerce channel
    requirements: ~41 questions

  SAQ_C:
    description: "Merchants with payment application systems connected to internet"
    applies_when:
      - Payment application connected to internet
      - No electronic cardholder data storage
      - No e-commerce channel
    requirements: ~160 questions

  SAQ_D:
    description: "All other merchants and all service providers"
    applies_when:
      - Stores cardholder data electronically
      - Does not fit any other SAQ type
      - Service providers eligible for SAQ D
    requirements: "Full set of PCI DSS requirements"

  scope_reduction_strategies:
    - Use tokenization to replace PAN with non-sensitive tokens
    - Use P2PE (Point-to-Point Encryption) validated solutions
    - Outsource payment processing to reduce your CDE footprint
    - Implement network segmentation to isolate CDE

Visão Geral dos Requisitos do PCI DSS v4.0

requirements:
  req_1_network_security:
    "1.1": "Controles de segurança de rede definidos e mantidos"
    "1.2": "Controles de segurança de rede configurados e mantidos"
    "1.3": "Acesso à rede de e para o CDE é restrito"
    "1.4": "Conexões de rede entre redes confiáveis e não confiáveis controladas"
    "1.5": "Riscos ao CDE de dispositivos que se conectam a redes não confiáveis mitigados"

  req_2_secure_configuration:
    "2.1": "Padrões de configuração segura definidos e aplicados"
    "2.2": "Componentes do sistema configurados e gerenciados de forma segura"

  req_3_protect_stored_data:
    "3.1": "Processos para proteger dados de conta armazenados definidos"
    "3.2": "Armazenamento de dados de conta minimizado"
    "3.3": "Dados de autenticação sensíveis não armazenados após autorização"
    "3.4": "PAN mascarado quando exibido (primeiros 6, últimos 4 no máximo)"
    "3.5": "PAN protegido onde quer que seja armazenado"
    "3.6": "Chaves criptográficas gerenciadas de forma segura"
    "3.7": "Procedimentos de gerenciamento de chaves documentados"

  req_4_transmission_encryption:
    "4.1": "Criptografia forte protege dados do titular do cartão durante a transmissão"
    "4.2": "PAN protegido quando enviado por mensagens de usuário final"

  req_5_malware_protection:
    "5.1": "Processos para proteger contra malware definidos"
    "5.2": "Malware prevenido ou detectado e tratado"
    "5.3": "Mecanismos antivírus ativos e mantidos"
    "5.4": "Mecanismos anti-phishing protegem contra phishing"

  req_6_secure_development:
    "6.1": "Processos de desenvolvimento seguro definidos"
    "6.2": "Software personalizado e sob medida desenvolvido de forma segura"
    "6.3": "Vulnerabilidades de segurança identificadas e tratadas"
    "6.4": "Aplicações web voltadas para o público protegidas contra ataques"
    "6.5": "Alterações em todos os componentes do sistema gerenciadas de forma segura"

  req_7_access_restriction:
    "7.1": "Acesso a componentes do sistema e dados restrito por necessidade de negócio"
    "7.2": "Acesso apropriadamente definido e atribuído"
    "7.3": "Acesso a componentes do sistema e dados gerenciado por controle de acesso"

  req_8_user_identification:
    "8.1": "Processos para identificação de usuário definidos"

…