Glossário
O que é o PCI DSS — o padrão de segurança para lidar com dados de cartão de crédito
O PCI DSS é o padrão internacional de segurança para empresas que lidam com dados de cartão de crédito. Isto explica a quem se aplica, o que exige — criptografia, controle de acesso, monitoramento — e a opção mais segura de todas: não guardar dados de cartão você mesmo. Enquadramento defensivo.
O PCI DSS é inevitável se você lida com dados de cartão. Aqui estão o escopo e o essencial — e a escolha mais segura de todas, "não guardar" — em termos defensivos.
O que ele exige (em linhas gerais)
Menos sobre uma tecnologia do que sobre uma postura operacional: proteger dados sensíveis no menor escopo, em profundidade, e manter registros.
Proteger (criptografia, controle de acesso)
Criptografe os dados armazenados com gestão de chaves, criptografe os dados em trânsito e imponha controle de acesso de menor privilégio (restrinja quem pode tocar em dados de cartão). Autenticação vs autorização é a base.
Endurecer (sem padrões, gestão de vulnerabilidades)
Elimine senhas padrão e credenciais fracas, e monitore CVEs de dependências e aplique patches. Antimalware incluído.
Registrar (logs, monitoramento, testes regulares)
Mantenha logs de quem fez o quê e quando, e monitore. Faça varreduras e testes regularmente para manter o padrão.
A escolha mais segura: reduzir o escopo
A visão deste site: a melhor defesa é não guardar
Atender a cada requisito do PCI DSS um por um dá muito trabalho; o que mais ajuda é o design em que você não guarda números de cartão no seu próprio sistema de jeito nenhum. Entregue o processamento do cartão a um provedor em conformidade e trabalhe apenas com uma referência tokenizada, e o escopo do seu ambiente encolhe fortemente. Mesmo princípio que este site segue: com dados sensíveis, não guarde, não coloque, minimize — isso é conformidade e a defesa mais forte ao mesmo tempo. Verifique se as telas e o tráfego que lidam com cartão nunca caem em diretórios públicos ou logs (→ mantenha segredos fora de diretórios públicos).
A ideia relacionada
Ampliar o seu escopo (difícil)
- armazenar números de cartão no seu próprio banco de dados
- muitos servidores e pessoas podem tocar em dados de cartão
- a superfície de auditoria e criptografia cresce, a carga explode
Reduzir o seu escopo (seguro)
- entregue o processamento do cartão a um provedor em conformidade
- você trabalha apenas com uma referência tokenizada
- escopo minimizado, o risco de vazamento encolhe junto
Leia em seguida
- Básico: autenticação vs autorização (acesso de menor privilégio) · criptografia de chave pública (a base da criptografia)
- Na prática: mantenha segredos fora de diretórios públicos · monitorar CVEs de dependências
- Relacionado: GDPR (proteção de dados pessoais) · OWASP Top 10 · a história da segurança (linha do tempo)
Fonte
- PCI Security Standards Council (oficial): pcisecuritystandards.org
FAQ
QA quem se aplica o PCI DSS?
A qualquer empresa que armazene, processe ou transmita dados de cartão de crédito (números de cartão, etc.) — sites de e-commerce, lojas físicas, SaaS que lida com pagamentos. O rigor da comprovação escala com o volume de transações, mas 'volume pequeno' não significa 'isento'. No momento em que você toca em dados de cartão, o padrão entra em jogo.
QO que o PCI DSS de fato exige?
Em linhas gerais: proteger a rede (firewalls, etc.), criptografar os dados armazenados com gestão de chaves, eliminar padrões e credenciais fracas, controle de acesso de menor privilégio, criptografar os dados em trânsito, gestão de vulnerabilidades (patches, antimalware), registro e monitoramento, e testes regulares. Menos sobre uma tecnologia do que sobre uma postura operacional: proteger dados sensíveis no menor escopo, em profundidade, e manter registros.
QQual a melhor forma de reduzir a carga de conformidade?
Não guardar números de cartão no seu próprio sistema em primeiro lugar. Entregue o processamento do cartão a um provedor de pagamento em conformidade e trabalhe apenas com uma referência tokenizada, e o escopo do seu ambiente encolhe drasticamente. Dados que você não guarda não podem vazar — a defesa mais forte, muito além dos cartões.