O Que é Conformidade PCI DSS e Quem Precisa

Se a sua empresa aceita cartão de crédito ou débito, de forma direta ou por meio de um sistema que passa por dados de cartão, então a sigla PCI DSS diz respeito a você, mesmo que você nunca tenha ouvido falar dela. É comum descobrir a existência dessa norma da pior forma possível: quando a adquirente cobra a comprovação de conformidade, quando uma auditoria trava um contrato ou, no cenário mais grave, depois de um vazamento de dados de cartão que gera multas e perda de reputação. Este artigo explica de forma direta o que é a conformidade PCI DSS, quais são seus doze requisitos, quem precisa cumpri-la, o que acontece se você não cumprir e como um parceiro de TI ajuda a se adequar sem transformar isso num pesadelo.

O que é PCI DSS

PCI DSS é a sigla de Payment Card Industry Data Security Standard, ou Padrão de Segurança de Dados do Setor de Cartões de Pagamento. É um conjunto de requisitos de segurança criado para proteger os dados de cartão de pagamento em todas as etapas: quando são processados, quando trafegam pela rede e quando ficam armazenados. O objetivo é reduzir fraudes e vazamentos que envolvam informações de portadores de cartão.

A norma foi criada e é mantida pelo PCI Security Standards Council, um conselho formado pelas principais bandeiras de cartão do mundo, incluindo Visa, Mastercard, American Express, Discover e JCB. Embora não seja uma lei governamental, o PCI DSS é uma exigência contratual: ao aceitar cartões, a empresa assina contratos com adquirentes e bandeiras que impõem a conformidade. Descumprir tem consequências práticas e financeiras concretas.

É importante entender que o PCI DSS não protege apenas o cliente final. Ele protege também a própria empresa, que é responsável legal e financeiramente pelos dados que manipula. Um vazamento de números de cartão não é problema só do banco: é problema de quem deixou o dado escapar. A norma existe para estabelecer um piso mínimo de segurança que evite justamente esse tipo de incidente.

A versão atual da norma, o PCI DSS 4.0, trouxe uma abordagem mais flexível e orientada a risco, permitindo que as empresas adotem controles customizados desde que atinjam o objetivo de segurança de cada requisito, além de reforçar áreas como autenticação, criptografia e proteção contra ataques em páginas de pagamento.

Os 12 requisitos do PCI DSS

O coração da norma são doze requisitos, organizados em seis grandes objetivos de controle. Conhecer essa estrutura ajuda qualquer gestor a entender o tamanho do esforço e a conversar de igual para igual com auditores e fornecedores.

Construir e manter uma rede e sistemas seguros

• Requisito 1: Instalar e manter controles de segurança de rede, como firewalls, para proteger o ambiente de dados de cartão contra acessos não autorizados.
• Requisito 2: Aplicar configurações seguras em todos os componentes, eliminando senhas padrão de fábrica e serviços desnecessários que ampliam a superfície de ataque.

Proteger os dados do titular do cartão

• Requisito 3: Proteger os dados de cartão armazenados, com criptografia forte e retenção mínima. A regra de ouro é: se você não precisa guardar, não guarde.
• Requisito 4: Proteger com criptografia os dados de cartão que trafegam por redes abertas e públicas, como a internet.

Manter um programa de gestão de vulnerabilidades

• Requisito 5: Proteger todos os sistemas contra malware e manter softwares antivírus ou antimalware atualizados.
• Requisito 6: Desenvolver e manter sistemas e aplicações seguros, corrigindo vulnerabilidades com patches e adotando boas práticas de desenvolvimento seguro.

Implementar medidas fortes de controle de acesso

• Requisito 7: Restringir o acesso aos dados de cartão apenas a quem precisa deles para o trabalho, com base na necessidade de conhecer.
• Requisito 8: Identificar usuários e autenticar o acesso a componentes do sistema, com autenticação multifator para acessos ao ambiente de dados de cartão.
• Requisito 9: Restringir o acesso físico aos dados de cartão, protegendo instalações, mídias e equipamentos.

Monitorar e testar as redes regularmente

• Requisito 10: Registrar e monitorar todos os acessos a componentes do sistema e aos dados de cartão, mantendo trilhas de auditoria que permitam investigar incidentes.
• Requisito 11: Testar a segurança de sistemas e redes com regularidade, incluindo varreduras de vulnerabilidade e testes de invasão.

Manter uma política de segurança da informação

• Requisito 12: Manter uma política que sustente a segurança da informação para todo o pessoal, com treinamento, gestão de fornecedores e resposta a incidentes.

Quem precisa cumprir o PCI DSS

A resposta curta é: qualquer organização que armazene, processe ou transmita dados de cartão de pagamento. Isso é muito mais gente do que a maioria imagina. Não são só grandes varejistas e bancos. Entram nessa conta lojas virtuais, restaurantes, clínicas, escolas, prestadores de serviço que cobram por cartão, empresas de software que processam pagamentos e provedores que hospedam ambientes de pagamento de terceiros.

A extensão da obrigação varia conforme o papel da empresa e o volume de transações. O PCI DSS classifica os participantes em duas categorias principais: comerciantes (merchants), que aceitam cartões como forma de pagamento, e prestadores de serviço (service providers), que processam, armazenam ou transmitem dados de cartão em nome de terceiros.

Dentro dessas categorias, o volume anual de transações determina o nível de validação. Empresas com grande volume, os chamados nível 1, precisam de uma auditoria formal conduzida por um avaliador qualificado, o QSA (Qualified Security Assessor), que emite um relatório detalhado de conformidade. Empresas com volumes menores podem validar a conformidade por meio de um questionário de autoavaliação, o SAQ (Self-Assessment Questionnaire), acompanhado de varreduras de vulnerabilidade quando aplicável.

Comerciante nível 1 (grande volume) Auditoria por QSA e relatório de conformidade Alto, com avaliação externa formal Comerciante níveis 2 a 4 Questionário de autoavaliação (SAQ) e varreduras Médio, conforme o modelo de aceitação Prestador de serviço SAQ ou auditoria por QSA, conforme volume Médio a alto Quem terceiriza o pagamento Escopo reduzido, mas não zero Menor, mas ainda existe

Um ponto essencial: terceirizar o processamento de pagamento para um gateway ou adquirente reduz o escopo, mas não elimina a responsabilidade. A empresa ainda precisa garantir que a integração é segura, que não guarda dados que não deveria e que os fornecedores envolvidos também são conformes. O escopo diminui, a obrigação não desaparece.

O que acontece se você não cumprir

Ignorar o PCI DSS não é uma opção neutra. As consequências vão do financeiro ao reputacional, e costumam aparecer no pior momento.

A consequência mais imediata são as multas. As bandeiras podem aplicar penalidades às adquirentes por não conformidade, e essas penalidades são repassadas ao comerciante. Os valores variam conforme a gravidade e a duração da não conformidade, e podem se acumular mensalmente enquanto a situação não é resolvida.

A segunda consequência aparece em caso de vazamento. Se uma empresa não conforme sofre um incidente com dados de cartão, ela enfrenta custos de investigação forense, notificação de titulares, reemissão de cartões, possível responsabilização por fraudes decorrentes e um aumento significativo nas taxas cobradas pela adquirente. Em casos extremos, a empresa pode até perder o direito de aceitar cartões, o que na prática inviabiliza muitos negócios.

A terceira, e talvez mais duradoura, é o dano à reputação. Um vazamento de dados de pagamento vira notícia, quebra a confiança do cliente e afasta parceiros. Reconstruir essa confiança leva muito mais tempo e dinheiro do que teria custado a adequação preventiva.

Vale lembrar que, no Brasil, o PCI DSS convive com a LGPD, a Lei Geral de Proteção de Dados. Dados de cartão são dados pessoais, e um vazamento pode gerar sanções da autoridade nacional de proteção de dados além das penalidades contratuais das bandeiras. As duas exigências se somam, não se substituem.

Como se adequar ao PCI DSS na prática

A boa notícia é que a conformidade PCI DSS é alcançável e, mais do que isso, o processo de adequação melhora a segurança geral da empresa, não apenas a parte que toca em cartões. O caminho passa por algumas etapas bem definidas.

O primeiro passo é mapear o escopo. É preciso descobrir por onde os dados de cartão entram, por onde trafegam, onde são processados e onde eventualmente ficam armazenados. Esse mapeamento define o chamado ambiente de dados do titular do cartão, e tudo o que toca esse ambiente entra no escopo da norma. Reduzir o escopo é a jogada mais inteligente: quanto menos sistemas tocam em dados de cartão, menor o esforço de conformidade.

O segundo passo é a análise de lacunas. Compara-se o estado atual da segurança com o que cada um dos doze requisitos exige, identificando o que falta. Esse diagnóstico revela a distância entre onde a empresa está e onde precisa chegar.

O terceiro passo é a remediação. Aqui se implementam os controles faltantes: segmentação de rede, criptografia, autenticação multifator, gestão de patches, monitoração de logs, políticas e treinamento. É a fase mais trabalhosa, e a que mais se beneficia de apoio especializado.

O quarto passo é a validação, por auditoria formal ou autoavaliação, conforme o nível da empresa. E o quinto, frequentemente esquecido, é a manutenção contínua. Conformidade não é um selo que se conquista uma vez: é um estado que precisa ser sustentado, com monitoração permanente, varreduras periódicas e revisão constante dos controles. A versão 4.0 da norma reforça exatamente essa ideia de segurança como processo contínuo, não como evento pontual.

É nesse ponto que um parceiro de TI faz toda a diferença. Muitos dos requisitos do PCI DSS, como monitoração de logs, gestão de vulnerabilidades, controle de acessos e resposta a incidentes, são atividades operacionais que exigem estrutura e disciplina no dia a dia. A Ródio Tech ajuda empresas a implantar e sustentar esses controles como parte de uma operação de segurança e monitoração contínuas. Conheça em /monitoração.

Perguntas frequentes sobre PCI DSS

PCI DSS é lei? Não. É um padrão do setor de cartões, imposto por contrato entre bandeiras, adquirentes e empresas. Mas suas consequências são bem reais: multas, aumento de taxas e até a perda do direito de aceitar cartões. No Brasil, ainda se soma à LGPD, que é lei.

Minha empresa é pequena, preciso mesmo cumprir? Sim, se você armazena, processa ou transmite dados de cartão. O que muda com o tamanho é a forma de validação: empresas menores costumam usar o questionário de autoavaliação (SAQ), enquanto as de grande volume precisam de auditoria formal por um QSA.

Se eu uso um gateway de pagamento, estou dispensado? Não totalmente. Terceirizar o processamento reduz bastante o escopo, mas não elimina a responsabilidade. Você ainda precisa garantir uma integração segura, não guardar dados que não deveria e verificar a conformidade dos fornecedores envolvidos.

Quanto tempo dura a conformidade? A conformidade é um estado contínuo, não um selo permanente. Ela precisa ser mantida e revalidada periodicamente, com monitoração, varreduras e revisão dos controles. A versão 4.0 da norma reforça essa ideia de segurança como processo constante.

Qual o primeiro passo para se adequar? Mapear o escopo, ou seja, descobrir por onde os dados de cartão entram, trafegam, são processados e armazenados. Reduzir esse escopo ao mínimo é a jogada mais inteligente, porque diminui diretamente o esforço e o custo de toda a adequação.

Conclusão

PCI DSS é o padrão de segurança que protege dados de cartão de pagamento por meio de doze requisitos organizados em seis objetivos, mantido pelo PCI Security Standards Council e exigido por contrato de qualquer empresa que armazene, processe ou transmita esses dados. Não cumprir a norma expõe o negócio a multas, custos de vazamento, aumento de taxas e dano de reputação, além de somar-se às obrigações da LGPD no Brasil. A adequação, embora trabalhosa, é alcançável e eleva a segurança da empresa como um todo, especialmente quando se reduz o escopo e se apoia a operação em monitoração contínua.

A Ródio Tech está no mercado desde 2004, é certificada Great Place to Work e atende empresas que precisam conciliar segurança, conformidade e continuidade operacional. Ajudamos a diagnosticar, implantar e sustentar os controles necessários para a conformidade PCI DSS dentro de uma estratégia de monitoração e suporte contínuos. Conheça nossas ofertas de monitoração e outsourcing de TI.

Referências

• PCI Security Standards Council. "PCI DSS: Requirements and Testing Procedures, v4.0". https://www.pcisecuritystandards.org/document_library/
• PCI Security Standards Council. "Official site and resources". https://www.pcisecuritystandards.org/
• PCI Security Standards Council. "PCI DSS Quick Reference Guide". https://www.pcisecuritystandards.org/documents/PCI_DSS-QRG-v4_0.pdf
• ANPD. "Lei Geral de Proteção de Dados (LGPD)". https://www.gov.br/anpd/pt-br
• NIST. "Cybersecurity Framework". https://www.nist.gov/cyberframework

Principais pontos

1. Definição: PCI DSS (Payment Card Industry Data Security Standard) é um conjunto de requisitos de segurança para proteger dados de cartão de pagamento, mantido pelo PCI Security Standards Council (Visa, Mastercard, American Express, Discover e JCB).
2. Estrutura da norma: são 12 requisitos organizados em seis objetivos de controle, cobrindo desde rede segura e proteção de dados armazenados até controle de acesso, monitoramento e política de segurança.
3. Quem precisa cumprir: qualquer organização que armazene, processe ou transmita dados de cartão, incluindo lojas virtuais, restaurantes, clínicas e prestadores de serviço, não só grandes varejistas e bancos.
4. Níveis de validação: comerciantes de grande volume (nível 1) precisam de auditoria formal por um QSA (Qualified Security Assessor); volumes menores validam por questionário de autoavaliação (SAQ).
5. Consequências do descumprimento: multas repassadas pela adquirente, custos de investigação forense e reemissão de cartões em caso de vazamento, possível perda do direito de aceitar cartões, e sanções adicionais sob a LGPD no Brasil.