O que é PCI DSS
O Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS) é um conjunto de requisitos de segurança estabelecidos pelo Conselho de Padrões de Segurança PCI (PCI SSC), fundado pela American Express, Discover, JCB, Mastercard e Visa. O PCI DSS v4.0, publicado em março de 2022, é agora o padrão ativo (v3.2.1 descontínuado em março de 2024).
A conformidade é obrigatória para qualquer organização que armazene, processe ou transmita dados de titulares de cartões, independentemente do volume de transações. O não cumprimento pode resultar em multas, aumento de taxas de transação e perda dos direitos de aceitação de cartões.
Níveis de conformidade PCI DSS
- Nível 1 — Comerciantes que processam mais de 6 milhões de transações/ano; requer ROC anual por um QSA e varredura trimestral de rede.
- Nível 2 — 1–6 milhões de transações/ano; SAQ anual e varredura trimestral.
- Nível 3 — 20.000–1 milhão de transações de comércio eletrônico; SAQ anual e varredura trimestral.
- Nível 4 — Menos de 20.000 transações de comércio eletrônico ou até 1 milhão de outras transações; SAQ anual recomendado.
Cambios chave de PCI DSS v4.0
- Opción de abordagem personalizado para organizações com controles maduros
- Novos requisitos para MFA resistente a phishing
- Requisitos ampliados para segurança de comércio electrónico e páginas de pago (Requisito 6.4)
- Novos requisitos de análisis de riscos dirigido
- 64 novos requisitos com fecha futura (obligatorios desde marzo de 2025)
Compromiso PCI DSS de BALTUM
- Definición de escopo e mapeo do entorno de dados de tarjetahabientes (CDE)
- Análisis de brechas contra os requisitos de PCI DSS v4.0
- Hoja de ruta de remediação e soporte em la implementação de controles
- Soporte em la elaboración de SAQ (SAQ A, A-EP, B, C, D conforme corresponda)
- Preparação de ROC e coordenação com QSA para comerciantes de Nivel 1
- Coordenação de escaneos trimestrales de vulnerabilidades ASV
Integração com ISO 27001
PCI DSS e ISO 27001 comparten uma sobreposição significativa de controles em control de acceso, gestão de vulnerabilidades, registo e monitoreo e resposta a incidentes. El programa integrado de BALTUM mapea ambos conjuntos de requisitos a um marco de control unificado, minimizando la duplicação e reduciendo o costo total de conformidade.