O Payment Card Industry Data Security Standard (PCI DSS, ou PCI para abreviar) é um conjunto de regras e processos concebidos para proteger os dados sensíveis dos titulares de cartões contra violações de dados e fraudes. Basicamente, indica aos comerciantes como tratar de forma segura a informação dos cartões de crédito dos seus clientes, para que esta não caia nas mãos erradas.
O PCI DSS foi introduzido pela primeira vez nos EUA em dezembro de 2004. As 5 principais empresas de cartões de crédito que criaram a norma formaram depois o Payment Card Industry Security Standards Council (PCI SSC) como organismo de governação. O PCI SSC supervisiona a administração e o desenvolvimento contínuo do PCI DSS.
A norma continua a evoluir e está atualmente na versão 4.0, lançada em março de 2022.
O PCI DSS aplica-se globalmente a todas as entidades que processam, transmitem ou armazenam dados de titulares de cartões, independentemente da dimensão ou do número de transações.
Em termos simples, se for uma organização ou empresa que lida com cartões de crédito ou débito com os logótipos de pelo menos uma das 5 empresas membros, o PCI DSS aplica-se-lhe. Bancos adquirentes, comerciantes online e offline, e prestadores de serviços, todos têm de cumprir o PCI.
No entanto, não é uma situação "tamanho único". Existem 4 níveis de conformidade que de facto dependem do número de transações processadas por uma empresa.
Outros critérios são também tidos em conta, como se um negócio sofreu anteriormente uma violação de dados ou a forma como aceita pagamentos com cartão (apenas offline vs. um gateway de pagamento online).
|
Cada empresa emissora de cartões tem a sua própria tabela com critérios exatos para cada nível, mas, em geral, é assim:
Cada nível terá requisitos diferentes para a validação e relato PCI — quanto maior o negócio, mais pesados os requisitos. |
O PCI DSS é um conjunto abrangente de orientações destinado a proteger os dados de cartões de crédito de serem divulgados ou roubados a um comerciante ou organização. Existem 12 requisitos gerais. Falaremos deles a seguir.
É importante perceber que manter-se em dia com o PCI DSS é um esforço contínuo, e não um obstáculo único. Para manter a conformidade, são submetidas avaliações e relatórios anualmente, e são realizadas análises aos sistemas com ainda mais frequência.
Os procedimentos específicos de teste e validação variam de nível para nível.
Em geral, todas as organizações sujeitas às orientações do PCI DSS são obrigadas a completar uma autoavaliação anual. Esta indicará quão seguras são as suas práticas de processamento e armazenamento de cartões.
O formulário de avaliação pode ter apenas 9 páginas e ser relativamente fácil de preencher, ou pode ser uma tarefa de 80 páginas que exige assistência de terceiros. Os formulários só têm perguntas de "sim" e "não", o que pode parecer simples, mas a natureza técnica e cada vez mais exigente das perguntas pode levar à incerteza. As empresas também são obrigadas a resolver quaisquer "nãos" antes de submeter o formulário, o que acrescenta outro nível de dificuldade.
Outros requisitos de validação PCI podem incluir a apresentação de prova de aprovação numa análise de vulnerabilidades aprovada ou a conclusão de um atestado de conformidade.
Embora cumprir o PCI DSS possa ser um fardo significativo para uma empresa, é basicamente uma lista de melhores práticas (obrigatórias) que não são assim tão rebuscadas. Cada um dos 12 requisitos é depois desenvolvido em 3 secções: definição, processo de teste e explicação da finalidade.
Os 12 requisitos do PCI são, em resumo:
|
Se uma empresa estiver sujeita ao PCI mas não cumprir ou violar os termos definidos no seu contrato, enfrentará consequências. Estas podem ir desde sanções impostas pelas empresas de cartões de crédito até consequências naturais.
Quais são alguns dos riscos do incumprimento do PCI?
Uma empresa pode ser cobrada com uma "taxa por incumprimento do PCI" de centenas de milhares de USD por mês, dependendo da dimensão do negócio. Independentemente de como olhe para isto, esta taxa é uma multa recorrente. Será cobrada todos os meses até que o negócio cumpra os padrões PCI.
Naturalmente, se não estiver a cumprir os padrões PCI, aumenta o risco da sua empresa de violação de dados. Embora os requisitos do PCI não garantam que os dados dos titulares de cartões de um negócio se mantenham seguros contra ataques, reduzem significativamente a probabilidade de uma violação bem-sucedida.
Será necessário realizar uma auditoria forense a expensas da empresa que foi comprometida, de modo a avaliar a causa da violação de dados.
Se os dados de cartões de crédito de clientes forem comprometidos, a empresa incorrerá em custos adicionais como compensar clientes, custos de responsabilidade ou multas por cada cartão cujos dados tenham sido roubados ou postos em risco e possíveis aumentos de tarifas cobradas por bancos ou empresas de cartões de crédito após a violação.
Não é raro que se siga um processo judicial após uma violação de segurança, caso em que os custos podem multiplicar-se rapidamente.
Qualquer empresa que perca ou ponha em risco os dados dos titulares de cartões sofrerá aos olhos dos seus clientes. Os inevitáveis danos à marca podem tornar reconquistar a confiança dos clientes uma tarefa impossível. Muitos negócios fecharam portas após uma violação de dados.
Ignorar os requisitos tecnicamente mais complicados do PCI DSS é um exemplo óbvio de quebra de conformidade. Mas há instâncias em que a violação é puramente não intencional. Eis alguns exemplos:
Muitas vezes, basta a falta de compreensão ou de atenção às orientações PCI para não implementar os processos corretamente, ou em alguns casos para nem os implementar de todo.
Garantir que o pessoal de uma empresa está devidamente formado em PCI DSS é também uma parte importante do processo.
Não. A entidade que governa e administra o PCI DSS é o PCI SSC. Os requisitos do PCI DSS são impostos com base em contratos entre uma empresa e o seu banco e empresa de cartões de crédito.
Alguns estados nos EUA incorporaram o PCI DSS nas suas leis estaduais, sobretudo no sentido de que as empresas que cumprem o PCI DSS ficam protegidas de responsabilidades em caso de violação de dados.
Na Europa, o PCI DSS é uma norma amplamente utilizada que tem sido cada vez mais promovida nos últimos anos. Tal como nos EUA, o PCI não é exigido por lei.
Saiba mais sobre como a Safetica ajuda a cumprir o PCI DSS