🎓 Resumo para Iniciantes

O PCI DSS é como um selo de qualidade para a segurança do seu cartão. Se uma empresa não segue essas regras, ela é proibida de aceitar cartões de crédito.

PCI DSS (Payment Card Industry Data Security Standard)

O PCI DSS (Padrão de Segurança de Dados da Indústria de Cartões de Pagamento) é um conjunto de requisitos de segurança criado pelas principais bandeiras de cartão (Visa, Mastercard, Amex, Discover e JCB) para proteger os dados dos titulares de cartão e reduzir fraudes.

Qualquer organização que armazene, processe ou transmita dados de cartão de crédito deve estar em conformidade com o PCI DSS.

Os 12 Requisitos Principais

O padrão é organizado em 6 objetivos de controle, que se desdobram em 12 requisitos principais:

Instalar e manter uma configuração de firewall.
Não usar senhas padrão de fornecedores.
Proteger os dados armazenados do titular do cartão (Criptografia).
Criptografar a transmissão de dados do titular do cartão em redes públicas.
Usar e atualizar regularmente software antivírus.
Desenvolver e manter sistemas e aplicativos seguros.
Restringir o acesso aos dados do titular do cartão (Need-to-know).
Atribuir uma identificação única (ID) a cada pessoa com acesso ao computador.
Restringir o acesso físico aos dados do titular do cartão.
Rastrear e monitorar todo o acesso aos recursos de rede e dados do titular do cartão.
Testar regularmente sistemas e processos de segurança.
Manter uma política de segurança da informação.

Níveis de Compliance

A conformidade com o PCI DSS é dividida em 4 níveis, baseados no volume de transações anuais da empresa. Nível 1 (mais de 6 milhões de transações) exige auditoria externa anual por um QSA (Qualified Security Assessor). Níveis menores (2, 3 e 4) geralmente podem fazer autoavaliação (SAQ).

SAQ (Self-Assessment Questionnaire)

Para a maioria dos pequenos e médios e-commerces, a conformidade é demonstrada através do preenchimento de um questionário de autoavaliação (SAQ), que varia de acordo com a forma como a empresa lida com os dados do cartão (ex: se terceiriza tudo para o gateway, preenche o SAQ A, que é mais simples).

📚