requisitos
Agrupados nos 6 objetivos do padrão.
Segurança em Meios de Pagamento
PCI DSS: requisitos, níveis e conformidade
Adequação completa ao padrão de segurança para cartões. A INFOPROTECT mapeia o escopo, corrige lacunas e apoia a auditoria com parceiro QSA até o AOC.
Métricas do Padrão
O padrão PCI DSS em quatro números
Entenda os pilares essenciais que estruturam qualquer projeto de conformidade PCI DSS.
objetivos de controle
Rede, dados, vulnerabilidades, acesso, monitoramento e política.
níveis de comerciante
Definidos pelo volume anual de transações.
versão vigente
Publicada pelo PCI Security Standards Council.
Serviços Especializados
Serviços de adequação PCI DSS da INFOPROTECT
Conte com apoio técnico em cada etapa da jornada, da análise de gaps ao suporte contínuo para auditoria.
Consultoria PCI DSS
Apoio completo para interpretar requisitos, definir escopo e conduzir a jornada de conformidade.
Ver linhaDiagnóstico PCI DSS
Análise de lacunas entre o ambiente atual e os requisitos aplicáveis, com prioridades claras.
Ver linhaAdequação PCI DSS
Plano de remediação e apoio na implantação de controles, políticas e procedimentos.
Ver linhaSAQ PCI DSS
Escolha do questionário de autoavaliação correto e apoio no preenchimento com evidências.
Ver linhaPreparação para ASV
Preparação do ambiente externo para as varreduras trimestrais de vulnerabilidades.
Ver linhaPreparação para ROC e AOC
Organização de evidências e prontidão para a auditoria PCI DSS conduzida pelo QSA parceiro da INFOPROTECT.
Ver linhaO que é PCI DSS e por que ele é obrigatório
PCI DSS (Payment Card Industry Data Security Standard) é o padrão de segurança criado pelo PCI Security Standards Council, conselho formado pelas principais bandeiras de cartão. Ele define requisitos técnicos e operacionais para proteger dados de titulares de cartão e dados sensíveis de autenticação.
No Brasil, a obrigação não vem de uma lei, mas de contrato: bandeiras, adquirentes e processadores exigem que comerciantes e prestadores de serviços mantenham a conformidade. Quem não cumpre pode sofrer multas contratuais, custos de investigação após vazamentos, aumento de taxas e até perder a capacidade de aceitar cartões.
A versão vigente é a 4.0.1. Ela reforça autenticação multifator, gestão de riscos direcionada, segurança de páginas de pagamento e monitoramento contínuo, e permite abordagens customizadas quando a empresa comprova que o objetivo do controle é atingido.
Precisa estar em conformidade toda organização que armazena, processa ou transmite dados de cartão, ou que pode afetar a segurança desse ambiente: lojas físicas e virtuais, e-commerces, gateways, fintechs, provedores de nuvem e empresas de atendimento. Terceirizar o pagamento reduz o escopo, mas não elimina a responsabilidade.
Classificação de Comerciantes
Níveis de conformidade do PCI DSS
O volume anual de transações define o nível da sua organização e as exigências formais de validação.
/01
Nível 1
Mais de 6 milhões de transações por ano, ou empresas que já sofreram vazamento. Exigem avaliação anual por QSA, com emissão de ROC e AOC.
/02
Nível 2
Entre 1 e 6 milhões de transações por ano. Normalmente validam com SAQ, e algumas bandeiras exigem avaliação por QSA ou auditor interno certificado.
/03
Nível 3
Entre 20 mil e 1 milhão de transações de comércio eletrônico por ano. Em geral validam com SAQ e varreduras ASV trimestrais.
/04
Nível 4
Menos de 20 mil transações de e-commerce ou até 1 milhão de transações totais por ano. A validação costuma ser definida pelo adquirente.
/05
Prestadores de serviços
Empresas que processam ou armazenam dados em nome de terceiros têm níveis próprios. Acima de 300 mil transações por ano, a avaliação por QSA é obrigatória.
/06
Confirme com o adquirente
O enquadramento final é definido pelo adquirente ou pela bandeira. A INFOPROTECT ajuda a confirmar o nível e o método de validação antes de começar.
Documentos de validação do PCI DSS: ROC, AOC e SAQ
Identifique os relatórios e questionários aplicáveis ao seu negócio para evitar retrabalho e custos extras.
/01
ROC (Report on Compliance)
Relatório detalhado, elaborado por um QSA, que descreve como cada requisito é atendido no ambiente avaliado. Obrigatório para o nível 1.
/02
AOC (Attestation of Compliance)
Declaração que resume o resultado da avaliação e é entregue a bandeiras, adquirentes e clientes como prova de conformidade.
/03
SAQ (Self-Assessment Questionnaire)
Questionário de autoavaliação para empresas que podem validar por conta própria. Existem tipos diferentes, conforme o modo de aceitar pagamentos.
Como funciona a auditoria PCI DSS
A INFOPROTECT prepara seu ambiente com antecedência e atua em conjunto com o QSA para mitigar apontamentos.
/01
1. Definição de escopo
Identificação dos sistemas, redes, pessoas e fornecedores que armazenam, processam ou transmitem dados de cartão.
/02
2. Coleta de evidências
Reunião de políticas, configurações, registros e relatórios de testes que comprovam cada requisito aplicável.
/03
3. Entrevistas e testes
O auditor entrevista as equipes, observa processos e verifica tecnicamente os controles no ambiente.
/04
4. Relatório de lacunas
Requisitos não atendidos são registrados com a evidência que falta e o ajuste necessário.
/05
5. Correções
A empresa corrige as lacunas, com apoio da INFOPROTECT, e apresenta as novas evidências.
/06
6. ROC, AOC e recertificação
Com os requisitos atendidos, o QSA emite o ROC e o AOC. A validação é refeita todo ano.
Auditoria PCI DSS ou autoavaliação SAQ?
Descubra o formato de validação exigido por adquirentes e bandeiras para o perfil da sua empresa.
Auditoria com QSA
Obrigatória para comerciantes nível 1 e prestadores de serviço de maior volume. Resulta no ROC e no AOC, assinados pelo avaliador.
Autoavaliação (SAQ)
Usada pelos demais níveis. A própria empresa responde o questionário adequado ao seu modelo de pagamento e assina o AOC.
Quando a bandeira pede mais
Adquirentes e bandeiras podem exigir auditoria mesmo em níveis menores, por exemplo após um incidente.
Requisitos Técnicos
Os 12 requisitos do PCI DSS 4.0.1
Conheça os controles técnicos e operacionais divididos em seis objetivos de proteção para dados de pagamento.
- /01
01. Controles de segurança de rede
Firewalls e regras que isolam o ambiente de dados de cartão.
- /02
02. Configurações seguras
Sistemas sem senhas e configurações padrão de fábrica.
- /03
03. Proteção de dados armazenados
Guardar só o necessário e tornar ilegível o que for mantido.
- /04
04. Criptografia na transmissão
Proteção forte dos dados que trafegam em redes abertas.
- /05
05. Proteção contra malware
Antimalware ativo e atualizado nos sistemas expostos.
- /06
06. Sistemas e software seguros
Correções aplicadas e desenvolvimento com práticas seguras.
- /07
07. Acesso restrito por necessidade
Cada pessoa acessa apenas o que a função exige.
- /08
08. Identificação e autenticação
Usuários únicos e autenticação multifator nos acessos ao ambiente.
- /09
09. Acesso físico restrito
Controle de entrada a locais e mídias com dados de cartão.
- /10
10. Registro e monitoramento
Logs de todos os acessos, revisados de forma contínua.
- /11
11. Testes regulares de segurança
Varreduras, testes de invasão e validação de segmentação.
- /12
12. Políticas e programas
Governança, treinamento e gestão de riscos documentados.
Como a INFOPROTECT conduz a jornada PCI DSS
Metodologia prática que prioriza a redução do escopo auditável e acelera a validação das evidências.
/01
Avaliação inicial e escopo
Mapeamos canais de pagamento, fluxos de dados, sistemas, redes e fornecedores para delimitar o ambiente de dados de cartão (CDE) e confirmar o nível de conformidade.
/02
Diagnóstico de lacunas
Comparamos o ambiente com os requisitos aplicáveis e classificamos cada lacuna por risco, esforço e dependência.
/03
Plano de remediação
Definimos ações, responsáveis, prazos e critérios de conclusão, priorizando o que reduz mais risco primeiro.
/04
Testes técnicos
Coordenamos pentest, varreduras de vulnerabilidade e validação de segmentação para comprovar que os controles funcionam.
/05
Preparação para a avaliação
Organizamos políticas, registros e evidências para o SAQ ou para a auditoria formal com o QSA parceiro.
/06
Sustentação contínua
Mantemos cadência de revisões, monitoramento e atualizações para que a conformidade dure o ano inteiro.
Validações Técnicas
Testes de segurança obrigatórios no PCI DSS
Comprove a resiliência do seu ambiente com testes de intrusão, scans ASV e análises de vulnerabilidades periódicas.
/01
Pentest PCI DSS
Teste de invasão interno e externo, ao menos uma vez por ano e após mudanças relevantes, conduzido pelo time de Pentest da INFOPROTECT.
/02
Varredura ASV
Varredura externa trimestral feita por um fornecedor aprovado (ASV), com correção e nova varredura até o resultado aprovado.
/03
Validação de segmentação
Testes que comprovam que o CDE está isolado das demais redes, condição para reduzir o escopo da avaliação.
/04
Varreduras internas
Varreduras trimestrais de vulnerabilidades na rede interna, com tratamento das falhas de maior risco.
/05
Evidências técnicas
Relatórios, registros e configurações guardados de forma organizada para a avaliação e para auditorias futuras.
/06
Novas exigências da 4.0.1
Controles como monitoramento de scripts em páginas de pagamento e análise de risco direcionada também são preparados.
Governança e monitoramento contínuo PCI DSS
Conformidade PCI DSS não é um projeto de uma vez por ano. Políticas precisam ser revisadas, acessos reavaliados, logs analisados e mudanças no ambiente avaliadas antes de entrar em produção.
A INFOPROTECT apoia essa rotina com governança documentada e, quando necessário, com o monitoramento do SOC INFOPROTECT, que acompanha eventos de segurança 24x7 e gera os registros que o requisito 10 exige.
Por que escolher a INFOPROTECT para PCI DSS
Visão do ciclo completo
Consultoria, testes técnicos, monitoramento e soluções de segurança no mesmo parceiro.
Times de Blue Team e Red Team
Quem defende e quem testa trabalham juntos para comprovar a eficácia dos controles.
Foco em reduzir risco
Priorizamos o que diminui a exposição real, não apenas o que preenche um checklist.
Apoio depois da avaliação
Acompanhamos a sustentação para que a conformidade continue válida no próximo ciclo.
Inicie sua jornada de conformidade PCI DSS
Avalie seu ambiente de pagamentos com nossos consultores e encontre o caminho mais seguro para a conformidade.
Contato Especializado
Fale com um especialista em PCI DSS
Entre em contato para avaliar seu escopo de processamento e planejar as etapas necessárias para a certificação.
Atendimento prioritário
Consultoria especializada em privacidade e segurança.
Entre em contato
Preencha o formulário para falar com um especialista, agendar um contato ou uma reunião presencial.
Dúvidas comuns
Perguntas frequentes sobre PCI DSS
Respostas diretas para as dúvidas mais comuns sobre o padrão.