Saiba mais sobre o Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS), que foi desenvolvido em conjunto para simplificar a conformidade para comerciantes e processadores de pagamento.
Publicado pela primeira vez em 2004, o PCI DSS é um conjunto de padrões de segurança desenvolvidos por cinco grandes marcas de cartões de pagamento, projetados para manter os dados de pagamento protegidos contra roubo e exploração. Qualquer empresa ou organização que lide com dados de cartão de pagamento, seja processando, transmitindo ou armazenando dados, precisa obedecer aos padrões PCI DSS ou correr o risco de consequências sérias, incluindo penalidades financeiras, ações legais ou encerramento de contas de comerciantes.
O PCI DSS foi desenvolvido para incentivar e aprimorar a segurança de dados de contas de pagamento e facilitar a ampla adoção de medidas consistentes de segurança de dados em todo o mundo. O PCI DSS fornece uma base de requisitos técnicos e operacionais projetados para proteger dados de contas de pagamento e salvaguardar consumidores e empresas contra fraudes financeiras e danos à reputação.
Um dos principais objetivos do PCI DSS é proteger os dados do titular do cartão contra acesso não autorizado e possível uso indevido. Isso inclui números de contas principais, nomes de titulares de cartão, datas de validade e outras informações confidenciais. O padrão também foi criado para minimizar o risco de violações de dados, o que pode resultar em acesso não autorizado ou roubo de informações de cartão de pagamento. Ao implementar controles PCI DSS, as organizações também ajudam a prevenir e detectar atividades fraudulentas relacionadas a transações com cartão de pagamento.
É importante observar que os requisitos do PCI DSS evoluem com o tempo para lidar com novas ameaças de segurança, avanços tecnológicos e mudanças no cenário regulatório. Encontre os requisitos mais recentes no site do PCI Security Standard Council .
A conformidade com o PCI DSS exige que as organizações abordem uma série de vulnerabilidades potenciais para garantir a segurança dos dados do titular do cartão. A seguir estão quatro áreas de vulnerabilidade comuns que as organizações devem abordar para manter a conformidade com o PCI DSS.
O PCI DSS determina uma linha de base de requisitos técnicos e operacionais projetados para proteger dados de contas de pagamento. Esses requisitos são detalhados nos seis princípios do PCI DSS a seguir.
A proteção dos dados do titular do cartão começa com o estabelecimento de uma infraestrutura de rede segura. Isso inclui o uso de firewalls para controlar e monitorar o tráfego entre redes e restringir o acesso não autorizado. A microssegmentação é outra estratégia de segurança recomendada que envolve dividir uma rede em segmentos pequenos e distintos para melhorar a segurança ao controlar o tráfego lateral "leste-oeste" dentro da rede e no nível do aplicativo ou da carga de trabalho para reduzir a superfície potencial de ataque. Estabelecer práticas recomendadas de gerenciamento de vulnerabilidades também é fundamental para garantir que os sistemas sejam corrigidos e atualizados.
Este princípio se concentra na criptografia e proteção dos dados do titular do cartão durante a transmissão e o armazenamento para evitar acesso não autorizado a informações confidenciais. O requisito determina o uso de criptografia forte para proteger os dados do titular do cartão durante a transmissão por redes públicas e o desenvolvimento de políticas de retenção de dados que evitem o armazenamento de dados de autenticação confidenciais após a autorização. As políticas de proteção de dados também exigem o mascaramento ou truncamento de números de contas primárias (PANs) para minimizar o risco de acesso não autorizado e exposição de informações confidenciais do titular do cartão. De acordo com os requisitos do PCI DSS, os primeiros seis e os últimos quatro dígitos de um PAN são o número máximo de dígitos exibidos quando o PAN está visível.
Manter um ambiente seguro exige identificar e abordar vulnerabilidades regularmente. Isso inclui a realização de varreduras regulares de vulnerabilidades, que alertam as empresas sobre falhas preexistentes em seu código, e testes de penetração, que determinam se o acesso não autorizado ou outra atividade maliciosa é possível. simulando ataques do mundo real para testar a eficácia das medidas de segurança existentes. É essencial abordar prontamente qualquer fraqueza encontrada por meio de varreduras ou testes para proteger contra possíveis comprometimentos dos sistemas e dos dados do titular do cartão que eles podem conter . Além disso, as organizações são obrigadas a desenvolver e aplicar diretrizes de codificação segura, como aquelas descritas por organizações como a OWASP , para evitar a introdução de vulnerabilidades durante o ciclo de vida de desenvolvimento de software.
Restringir o acesso aos componentes do sistema e aos dados do titular do cartão ajuda a impedir que pessoas ou sistemas não autorizados tenham acesso. O PCI DSS determina a limitação do acesso conforme a necessidade empresarial, geralmente chamada de princípio do menor privilégio, que sustenta que um usuário ou sistema deve ter acesso somente aos dados, recursos e aplicativos específicos necessários para concluir uma tarefa necessária. Da mesma forma, os controles de acesso baseados em funções (RBAC) restringem o acesso ao sistema a usuários autorizados com base em suas funções dentro de uma organização. Essas políticas exigem que os controles de acesso sejam frequentemente revisados e atualizados para refletir mudanças em pessoal e funções. Eles também pedem a implementação de MFA para acesso a sistemas e dados de titulares de cartão e para melhorar as políticas de senha e melhores práticas.
Monitoramento e testes contínuos são essenciais para detectar e responder prontamente a incidentes de segurança. Isso envolve implementar mecanismos de registro, realizar testes de segurança regulares e revisar continuamente a atividade da rede. As ferramentas de monitoramento de rede também incluem sistemas de detecção de intrusão (IDS) e sistemas de prevenção de intrusão (IPS) que analisam e avaliam a integridade do tráfego de rede para identificar padrões de ataque, atividades anormais e uso não autorizado. As organizações também devem estabelecer um plano de resposta a incidentes e procedimentos de emergência e garantir que esses processos sejam testados regularmente.
O PCI DSS também exige que as organizações estabeleçam e mantenham uma política de segurança abrangente que defina a estrutura para proteger os dados do titular do cartão e orientar as práticas de segurança dentro da organização. A política deve ser documentada, revisada regularmente e atualizada para refletir mudanças na tecnologia e nos processos de negócios. As organizações também devem garantir que os funcionários estejam cientes e treinados sobre as políticas e procedimentos de segurança.
A conformidade com os 12 requisitos do PCI DSS a seguir é essencial para que as organizações criem uma postura de segurança robusta, protejam os dados dos titulares do cartão e minimizem o risco de violações de dados.
Os níveis de conformidade com o PCI são divididos em quatro níveis com base no volume total de transações com cartão de crédito, débito e cartão pré-pago ao longo de 12 meses. As organizações devem determinar seu volume de transações com precisão e cumprir os requisitos do nível correspondente para garantir e manter a conformidade com o PCI DSS. Manter o nível apropriado de conformidade é essencial para proteger transações de comércio eletrônico, manter um ambiente seguro para dados do titular do cartão e prevenir possíveis violações.
O Nível 1 de Conformidade com PCI é o nível mais alto e rigoroso do PCI DSS e foi projetado para garantir o mais alto nível de segurança para empresas que armazenam, transmitem ou processam dados de cartão de crédito. Além disso, comerciantes e provedores de serviços de qualquer tamanho que tenham sido expostos a uma violação ou ataque cibernético resultando no comprometimento de dados de cartão de crédito ou do titular do cartão devem atender aos requisitos do PCI Nível 1. A validação PCI Nível 1 exige um relatório anual de conformidade (ROC) por um avaliador de segurança qualificado (QSA) ou um avaliador de segurança interno e, normalmente, também exige testes de penetração, que envolvem a simulação de ataques cibernéticos do mundo real em sistemas de computador e aplicativos para identificar vulnerabilidades. A validação PCI Nível 1 também exige uma varredura de rede trimestral por um fornecedor de varredura aprovado (ASV).
Os comerciantes PCI DSS Nível 2 devem conduzir uma avaliação de conformidade uma vez por ano usando um questionário de autoavaliação (SAQ) e executar varreduras de rede trimestrais por um ASV. Eles também devem preencher o Formulário de Atestado de Conformidade (AOC). Assim como no Nível 1, alguns comerciantes do Nível 2 podem ser obrigados a realizar testes de penetração. Uma auditoria PCI DSS no local não é necessária para comerciantes de Nível 2, a menos que tenham sofrido uma violação de dados ou ataque cibernético que comprometa os dados do cartão de crédito ou do titular do cartão.
Os comerciantes PCI DSS Nível 3 devem preencher o SAQ anual apropriado e executar uma varredura de rede trimestral por um ASV. O comerciante também deve preencher e enviar um formulário AOC.
Os comerciantes PCI Nível 4 devem concluir o SAQ anual apropriado, e uma verificação trimestral de segurança de rede externa ASV pode ser necessária. O comerciante também deve preencher e enviar um formulário AOC. Nem todos os provedores de cartão têm designações de Nível 4.
Aderir aos 12 requisitos do PCI DSS é fundamental para fortalecer a segurança dos dados e contribuir para a conformidade geral. Os requisitos trabalham juntos para criar uma estrutura abrangente para proteger os dados do titular do cartão e evitar violações de segurança.
A conformidade com o PCI DSS demonstra um comprometimento em proteger dados confidenciais do titular do cartão, garantindo aos clientes que os detalhes do seu cartão de crédito são tratados com os mais altos padrões de segurança e promovendo a confiança na capacidade da empresa de proteger suas informações pessoais. Além disso, as empresas que aderem ao PCI DSS estão melhor posicionadas para se defender contra ações legais e penalidades regulatórias relacionadas à segurança inadequada de dados.
Manter a conformidade com o PCI DSS oferece outras vantagens de longo prazo à medida que os cenários de tecnologia e segurança evoluem. Aderir aos requisitos do PCI DSS significa que as organizações permanecem vigilantes e estão mais bem equipadas para evitar ataques avançados e sofisticados e podem se adaptar mais rapidamente às ameaças cibernéticas em evolução. A adesão ao PCI DSS também promove uma cultura centrada na segurança dentro de uma organização que vai além da conformidade, incentivando esforços contínuos para fortalecer as práticas de segurança de dados.
Como exemplo de como o PCI DSS pode ajudar a construir (e reconstruir) a confiança do cliente, em 2012 , a Global Payments, uma grande empresa de processamento de pagamentos, sofreu uma violação de dados que resultou em acesso não autorizado a informações confidenciais de cartões de pagamento. A violação afetou cerca de 1,5 milhão de cartões de crédito e débito, levantando preocupações sobre a segurança das transações de pagamento. A Global Payments tomou medidas imediatas para conter a violação e iniciou uma investigação para determinar a extensão do comprometimento. As agências de aplicação da lei, incluindo os EUA Serviço Secreto, estavam envolvidos na investigação.
Em resposta à violação, a Global Payments se comprometeu a aprimorar sua infraestrutura de segurança e implementar medidas adicionais para evitar incidentes semelhantes no futuro. A empresa também se comprometeu a priorizar a obtenção e manutenção da conformidade com os requisitos do PCI DSS, o que ajudou a garantir aos clientes e partes interessadas que a Global Payments estava tomando medidas concretas para proteger os dados de pagamento.
Ao abordar proativamente vulnerabilidades de segurança, investir em medidas de segurança aprimoradas e alcançar a conformidade com o PCI DSS, a Global Payments demonstrou comprometimento em reconstruir a confiança. O compromisso da empresa com a transparência, o investimento em segurança e a obtenção da conformidade com o PCI DSS desempenharam papéis essenciais na recuperação da confiança do cliente e na reconstrução de sua reputação no setor de processamento de pagamentos.
A execução dos 12 requisitos do PCI DSS pode representar vários desafios para as organizações porque recursos adequados, tanto em termos de pessoal quanto de tecnologia, são necessários para implementar e manter a conformidade com o PCI DSS. Organizações de todos os tamanhos podem ter dificuldade para definir e limitar com precisão o escopo de sua implementação, mas é particularmente desafiador para empresas menores com orçamentos e experiência limitados, ou para aquelas com sistemas legados que precisam ser atualizados para atender aos padrões atuais do PCI DSS. As empresas geralmente dependem de fornecedores terceirizados para vários elementos da implementação, mas garantir que esses fornecedores cumpram os requisitos do PCI DSS e protejam a cadeia de suprimentos também é uma grande responsabilidade.
Manter a conformidade com o PCI DSS é um processo contínuo e requer monitoramento, testes e avaliações regulares. Isso exige que as organizações permaneçam vigilantes e atualizem suas medidas de segurança e políticas de gerenciamento de patches regularmente. Manter a conformidade também envolve um compromisso contínuo com testes regulares de sistemas e processos de segurança, incluindo a realização de testes de penetração completos e avaliações de vulnerabilidade, que podem exigir muitos recursos, apresentar desafios logísticos e sobrecarregar os recursos ao longo do tempo.
O cenário da segurança cibernética está em constante evolução, com ameaças novas e sofisticadas surgindo regularmente. A conformidade com o PCI DSS exige que as empresas monitorem e analisem continuamente o cenário de ameaças para entender e se antecipar a esses riscos. Identificar e mitigar vulnerabilidades de dia zero também representa um desafio significativo para manter a conformidade com o PCI DSS, pois essas vulnerabilidades são falhas de segurança desconhecidas que os agentes de ameaças exploram antes que os fornecedores tenham a chance de lançar patches. A melhoria contínua e o compromisso de se manter informado sobre as últimas tendências de segurança são essenciais para enfrentar com sucesso os desafios de se manter à frente das ameaças emergentes e, ao mesmo tempo, garantir que a conformidade com o PCI DSS se adapte à natureza dinâmica das ameaças cibernéticas.
O cenário da segurança cibernética está em constante evolução, com ameaças novas e sofisticadas surgindo regularmente. A conformidade com o PCI DSS exige que as empresas monitorem e analisem continuamente o cenário de ameaças para entender e se antecipar a esses riscos. Identificar e mitigar vulnerabilidades de dia zero também representa um desafio significativo para manter a conformidade com o PCI DSS, pois essas vulnerabilidades são falhas de segurança desconhecidas que os agentes de ameaças exploram antes que os fornecedores tenham a chance de lançar patches. A melhoria contínua e o compromisso de se manter informado sobre as últimas tendências de segurança são essenciais para enfrentar com sucesso os desafios de se manter à frente das ameaças emergentes e, ao mesmo tempo, garantir que a conformidade com o PCI DSS se adapte à natureza dinâmica das ameaças cibernéticas.
Visite o site do PCI Security Standard Council para obter as informações mais recentes sobre os requisitos de conformidade do PCI DSS, informações sobre treinamento e qualificação e acesso a profissionais qualificados do PCI. O site também oferece uma extensa biblioteca de recursos que inclui perguntas frequentes, um glossário e um prático guia de referência rápida do PCI DSS.
A conformidade com o PCI DSS é essencial para organizações que lidam com transações de cartão de crédito, pois seus requisitos ajudam a garantir a segurança dos dados do titular do cartão, a proteção das redes de transações e o monitoramento e teste obrigatórios dos sistemas de segurança. A F5 oferece um conjunto de produtos, serviços e soluções de segurança de aplicativos para ajudar sua organização a atingir e manter a conformidade com o PCI DSS. Além disso, a F5 Distributed Cloud Services está em conformidade com o PCI DSS como provedora de serviços de Nível 1.
A F5 também fornece liderança inovadora para estratégias e insights de segurança e proteção de aplicativos por meio de pesquisas, análises, blogs e relatórios do F5 Labs .