O Que é Conformidade Com PCI? Um Guia Simples Para Empresas

Você provavelmente aceita pagamentos com cartão de crédito e débito todos os dias. Mas com tantos dados confidenciais, você precisa de proteção robusta contra hackers. Felizmente, existe uma lista de verificação padronizada de medidas de defesa contra fraudes.

Esses protocolos de segurança são chamados de Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS). Como isso é demais, as pessoas simplesmente dizem que uma empresa é “compatível com PCI” para significar que segue essas medidas de proteção estritas. As principais empresas de cartão de crédito aplicam essas regras.

Vamos ver por que sua pequena empresa precisa permanecer compatível com PCI.

O que você vai ler:

O que é conformidade com PCI?

A conformidade com o PCI é uma prescrição de diretrizes de segurança destinadas a proteger os dados do titular do cartão durante as transações. Os padrões foram incorporados em 2004 pelo Payment Card Industry Security Standards Council (PCI SSC). Este órgão é composto pelas principais empresas de cartão de crédito, como Visa, MasterCard, American Express, Discover e JCB.

Qualquer empresa que lide com informações de cartão de crédito deve aderir a esses regulamentos. Isso ocorre porque a conformidade com o PCI também protege as empresas. Os protocolos reduzem o risco de violações de dados e fraudes de cartão de crédito. Os consumidores também confiam em entidades que levam a segurança a sério. Essa combinação de benefícios torna sua organização mais segura e mais bem-sucedida.

Por que a conformidade com PCI é crucial para pequenas empresas

Existem vantagens reais em seguir esses rígidos fundamentos de segurança. Aqui estão os três principais motivos por trás da conformidade:

Protege os dados do cliente: A conformidade com o PCI garante que os dados dos clientes sejam tratados com segurança, reduzindo o risco de violações destrutivas de dados para que você e seus clientes durmam melhor à noite.
Evita penalidades financeiras: O não cumprimento pode resultar em multas pesadas por parte de empresas de cartão de crédito ou bancos. Essas multas podem chegar a seis dígitos, o que pode paralisar rapidamente uma pequena empresa.
Fortalece a confiança do cliente: É preciso muito trabalho e muito tempo para ganhar a confiança de uma pessoa. A conformidade com o PCI acelera esse processo, pois proporciona tranquilidade à sua base de clientes.

Compreendendo os requisitos essenciais de conformidade do PCI

O PCI DSS envolve doze requisitos principais. Alguns mandatos envolvem mais conhecimento técnico para serem implementados. Mas todos eles são cruciais para um ambiente de pagamento seguro.

Vamos explorar cada um dos requisitos fundamentais.

Instale e mantenha uma rede segura: Esta etapa inclui o uso de firewalls para proteger dados e bloquear o acesso não autorizado à sua rede.
Use senhas robustas e configurações de segurança: Evite usar senhas padrão ou fracas para sistemas e dispositivos. Use senhas fortes e exclusivas que sejam difíceis de adivinhar.

Relacionado: Como criar uma senha segura

Proteja os dados armazenados do titular do cartão: Criptografe dados confidenciais, como números de cartão de crédito, ao armazená-los. Armazene apenas os dados necessários para as operações comerciais e garanta que estejam protegidos.
Criptografar a transmissão de dados do titular do cartão: Use protocolos de criptografia como SSL ou TLS para proteger os dados quando eles são transmitidos por redes públicas.
Use e mantenha software antivírus: O software antivírus ajuda a evitar que malware e outras ameaças comprometam seus sistemas. Mantenha este software atualizado para garantir que ele possa se defender contra novas ameaças.
Desenvolva e mantenha sistemas e aplicativos seguros: Atualize regularmente o software, incluindo patches de segurança, para protegê-lo contra vulnerabilidades conhecidas.
Restringir o acesso aos dados do titular do cartão: Limite o acesso apenas aos funcionários que precisam dele para suas funções profissionais. Esta etapa reduz o risco de os dados serem acessados por indivíduos não autorizados.
Identifique e autentique o acesso aos componentes do sistema: Implemente IDs de usuário e senhas para monitorar quem acessa os dados do titular do cartão e os componentes do sistema.
Restringir o acesso físico aos dados do titular do cartão: Certifique-se de que quaisquer cópias físicas dos dados do titular do cartão, como recibos e fotocópias, sejam armazenadas de forma segura e acessíveis apenas ao pessoal autorizado.
Rastreie e monitore o acesso aos recursos da rede: Use mecanismos de registro para monitorar o acesso aos recursos da rede e aos dados do titular do cartão. Revise regularmente esses registros em busca de qualquer atividade suspeita.
Teste regularmente sistemas e processos de segurança: Conduza verificações de vulnerabilidades e testes de penetração para identificar e resolver pontos fracos em seus sistemas de segurança.
Mantenha uma Política de Segurança da Informação: Desenvolva uma política de segurança por escrito que descreva claramente a abordagem da sua organização em relação à conformidade com PCI e proteção de dados.

Os quatro níveis de conformidade com PCI

A conformidade com o PCI é categorizada em quatro níveis com base no número de transações de cartão de crédito que sua empresa processa anualmente. Compreender esses níveis pode ajudá-lo a determinar quais requisitos se aplicam à sua situação.

Nível	Critérios	Requisitos
Nível 1	Mais de 6 milhões de transações com cartão por ano em todos os canais de vendas.	Deve passar por uma avaliação anual no local conduzida por um Avaliador de Segurança Qualificado (QSA).
Nível 2	1 a 6 milhões de transações com cartão anualmente em todos os canais de vendas.	Deve preencher um Questionário de Autoavaliação (SAQ) anual e realizar uma varredura de rede trimestral por um Fornecedor de Varredura Aprovado (ASV).
Nível 3	20.000 a 1 milhão de transações de comércio eletrônico anualmente.	Deve preencher um SAQ anual e passar por varreduras de rede trimestrais.
Nível 4	Menos de 20.000 transações de comércio eletrônico anualmente, OU 1 milhão ou menos de transações de todos os canais de vendas.	Deve preencher um SAQ anual e realizar verificações trimestrais.

A maioria das pequenas empresas se enquadra no Nível 3 ou no Nível 4. Como resultado, muitas vezes elas próprias conseguem gerenciar a conformidade com as ferramentas e orientações corretas.

Alcançando conformidade com PCI para sua pequena empresa

Alcançar a conformidade com o PCI pode parecer assustador. No entanto, cada etapa é administrável mesmo entre organizações menores. Aqui está um guia passo a passo para ajudá-lo a começar:

Etapa 1: determine seu nível de conformidade com PCI

Identifique seu nível com base no volume de transações de cartão de crédito que sua empresa processa anualmente. Este número determina o tipo de avaliação e documentação que você precisa preencher.

Etapa 2: preencher um questionário de autoavaliação (SAQ)

O SAQ é uma série de perguntas que avaliam as práticas de segurança da sua organização. Escolha o formulário que corresponde ao seu modelo de negócio e formas de pagamento. Por exemplo, o SAQ A é adequado para comerciantes que terceirizam todas as funções de dados do titular do cartão para terceiros.

Dica: SAQs e recursos relacionados podem ser encontrados no site do PCI Security Standards Council.

Etapa 3: realizar uma verificação de vulnerabilidade

Trabalhe com um fornecedor de digitalização aprovado (ASV) para realizar uma auditoria de vulnerabilidade dos seus sistemas. Este procedimento revela pontos fracos de segurança em sua rede.

Etapa 4: resolva quaisquer lacunas de segurança

Analise os resultados do SAQ e da verificação de vulnerabilidades para resolver quaisquer pontos fracos identificados. Essa resposta pode envolver a atualização do seu firewall, a melhoria das práticas de senha ou a implantação de uma criptografia mais robusta.

Etapa 5: enviar o atestado de conformidade (AOC)

Depois de passar pelas avaliações e verificações necessárias, envie seu atestado de conformidade ao seu banco ou processador de pagamentos. Esta documentação prova que você atendeu aos requisitos do PCI DSS.

Etapa 6: Manter a conformidade contínua

A conformidade com o PCI é um esforço contínuo. Monitore regularmente suas práticas de segurança, realize verificações trimestrais e mantenha o software e os sistemas atualizados para permanecerem limpos.

Relacionado: 14 práticas recomendadas de segurança de conformidade com PCI para sua empresa

Mitos comuns de conformidade com PCI desmascarados

Existem muitas alegações falsas e boatos em torno da conformidade com o PCI. Vamos desmascarar as afirmações mais comuns.

“Conformidade com PCI é apenas para grandes empresas”: Entidades de qualquer tamanho devem cumprir o PCI DSS para aceitar cartões bancários. Na verdade, os estabelecimentos mais pequenos são muitas vezes mais atraentes para os criminosos devido à percepção de segurança precária.
“Conformidade com PCI garante segurança completa”: A conformidade com PCI é apenas uma parte de sua estratégia mais ampla de segurança de dados. Não é totalmente infalível e ainda podem ocorrer violações de dados. Ainda assim, é uma medida de proteção significativa que reduz drasticamente a probabilidade de ser vítima de fraude.
“A conformidade com PCI é muito cara para pequenas empresas”: As pequenas empresas desfrutam de um processo de aprovação mais flexível (e menos caro). Além disso, independente do tamanho, a prevenção é o melhor remédio. Uma violação de dados pode resultar em custos enormes e danos à reputação, portanto, a conformidade com o PCI é um caminho prudente e econômico.

Perguntas frequentes

O que significa PCI?

PCI significa Indústria de Cartões de Pagamento. Este termo refere-se ao grupo de empresas que processam transações com cartão bancário. Algumas entidades proeminentes são Visa, Mastercard e Discover.

O que significa conformidade com PCI?

Conformidade com PCI significa aderir aos padrões descritos no Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS). O objetivo da conformidade é operar seus negócios com segurança para proteger os dados do consumidor e minimizar o risco de fraudes e ataques cibernéticos.

Quais são os quatro níveis de conformidade com PCI?

Os quatro níveis de conformidade com o PCI giram em torno do número de transações de cartão de crédito que uma empresa processa anualmente. Aqui estão os critérios para cada um:

Nível 1: Mais de 6 milhões de transações anualmente.
Nível 2: 1 a 6 milhões de transações por ano.
Nível 3: 20.000 a 1 milhão de transações de comércio eletrônico a cada ano.
Nível 4: Menos de 20.000 transações de comércio eletrônico ou até 1 milhão de transações em todos os canais todos os anos.

A conformidade com o PCI é exigida por lei?

A conformidade com o PCI não é exigida por lei. É uma exigência imposta por empresas de cartão de crédito e bancos. O não cumprimento pode gerar multas, aumento de taxas de transação ou a possibilidade de ser banido do processador de pagamentos.

Posso fazer a conformidade com o PCI sozinho?

Sim, os proprietários de pequenas empresas podem alcançar a conformidade com o PCI por conta própria. Entidades com menos de 20.000 transações de comércio eletrônico anualmente, ou menos de um milhão de transações de qualquer canal de vendas, têm requisitos de conformidade mais flexíveis. Se o seu negócio se enquadrar em qualquer uma dessas duas categorias, é mais provável que você consiga lidar com a conformidade com o PCI por conta própria.