Blog/Artigos · Governança
Os doze requisitos, o ambiente de dados do titular, tokenização e a redução de escopo, com PCI DSS 4.0, SAQ e QSA.
Em Jericó, a prata e o ouro deviam ir ao tesouro, guardados sob regra estrita, separados de tudo o mais. Dado de cartão de pagamento é esse tesouro no mundo digital: concentra valor, atrai o atacante e exige guarda rigorosa. O PCI-DSS, o padrão de segurança da indústria de cartões, é o cofre e o regulamento desse tesouro. Mas quem opera pagamentos aprende cedo a verdade contraintuitiva do padrão: a melhor forma de proteger o tesouro não é construir um cofre maior, é guardar menos ouro.
O PCI-DSS não é lei; é um padrão contratual imposto pelas bandeiras, Visa, Mastercard e as outras, a todos que armazenam, processam ou transmitem dado de cartão. Descumprir não gera multa do Estado, gera algo pior para o negócio: multas das bandeiras, aumento de taxas e, no limite, a perda do direito de processar pagamentos, o que para uma fintech é a sentença de morte. O tesouro tem padrão próprio porque o dano de um vazamento de cartão é imediato e mensurável em fraude.
O padrão gira em torno de um conceito central: o CDE, o ambiente de dados do titular do cartão, o conjunto de sistemas que tocam o dado sensível. Tudo em PCI-DSS se aplica ao CDE, e o tamanho do CDE determina o tamanho do trabalho. É por isso que a estratégia inteligente ataca o escopo antes de atacar os controles: quanto menor o CDE, menos sistemas precisam cumprir os doze requisitos, e mais barato e mais seguro fica o programa.
O PCI-DSS organiza doze requisitos em seis objetivos de controle: construir e manter rede segura, proteger o dado do titular, manter programa de gestão de vulnerabilidade, implementar controle de acesso forte, monitorar e testar redes, e manter uma política de segurança. Não há novidade conceitual para quem conhece segurança; a força do padrão é ser específico e verificável, transformando boas práticas gerais em requisitos concretos com evidência exigida.
A versão 4.0, que substituiu a 3.2.1, modernizou o padrão para a realidade de nuvem e ameaças atuais: mais ênfase em autenticação multifator, controles mais rígidos para scripts de página de pagamento contra ataques de skimming, e a introdução da abordagem customizada, que permite atingir o objetivo de um requisito por um controle alternativo desde que se prove a eficácia. É a maturidade do padrão reconhecendo que o como pode variar, desde que o resultado de segurança seja demonstrado.
Aqui está a sabedoria operacional do PCI-DSS: se o dado de cartão não está no seu sistema, ele não pode vazar do seu sistema, e aquele sistema sai do escopo. A tokenização é a ferramenta central: o número real do cartão é substituído por um token sem valor, guardado por um provedor especializado, e o seu ambiente passa a lidar só com o token. O tesouro sai do seu cofre e vai para um cofre construído para isso, e o seu programa PCI encolhe drasticamente.
No PicPay e no PagoNxt, operando pagamentos em escala, essa foi sempre a estratégia: reduzir o footprint de dado sensível para reduzir superfície de ataque e custo de conformidade ao mesmo tempo. Tokenização, criptografia ponta a ponta e segmentação de rede não são só controles, são redutores de escopo. O programa PCI mais maduro que eu operei não era o que protegia mais dado de cartão; era o que quase não tinha dado de cartão para proteger, porque terceirizou o tesouro para quem tem o cofre certo.
O que não está no seu sistema não vaza dele. Terceirizar o tesouro para o cofre certo é a forma mais forte de proteger.
O rigor da validação depende do volume de transações e do modelo de negócio. Comerciantes menores podem se autoavaliar com o SAQ, o questionário de autoavaliação, na variante adequada ao seu cenário. Os maiores exigem avaliação por um QSA, um auditor certificado externo, com relatório de conformidade formal. Entender em qual nível você se encaixa é o primeiro passo, porque define quanto do padrão você precisa provar e como.
A armadilha é tratar PCI como projeto anual isolado, desconectado do resto da segurança. O maduro integra: os controles de acesso do PCI são os mesmos do IAM, a gestão de vulnerabilidade é o SSDLC, o monitoramento é a observabilidade, e o programa de política se ancora na ISO 27001. PCI-DSS não é uma ilha; é o tesouro específico dentro do abrigo geral. Quem opera pagamentos sob PCI, ISO 27001 e LGPD ao mesmo tempo, e eu operei, sustenta as três com um sistema só, e a conformidade PCI vira consequência de uma segurança bem arquitetada, não uma corrida à parte.
PCI-DSS é o cofre e o regulamento do tesouro do cartão: doze requisitos em seis objetivos, aplicados ao CDE, validados por SAQ ou QSA. Mas a sabedoria do padrão é guardar menos ouro: tokenizar e segmentar para encolher o escopo é mais forte que proteger um CDE inchado. A versão 4.0 modernizou para nuvem e skimming, e o programa maduro integra PCI ao IAM, ao SSDLC e à ISO 27001. A IA mapeia o CDE, caça o dado supérfluo e mantém a evidência viva, mas decidir terceirizar o tesouro e reduzir o que se guarda continua sendo estratégia de quem arquiteta o pagamento.
Gerente de Operações, Tecnologia e Infraestrutura (SRE) numa central de registros. Trabalho com tecnologia desde 2009 e com cibersegurança em tempo integral desde 2015, em infraestrutura crítica, fintech e banking. Escrevo sobre o que eu opero: confiabilidade, segurança, governança e IA que passa por gate antes de chegar em produção.
Governançaסֵתֶר
Dado pessoal não é ativo livre; é algo confiado à sua guarda. A LGPD exige base legal para cada uso, direitos ao titular e privacidade no desenho. Entenda o mapa que evita a multa e o vazamento.
Governançaצִנָּה
Risco sem método é opinião com gravata. GRC transforma incerteza em decisão registrada: ISO 31000 dá o processo, as três linhas definem quem responde, o apetite define a linha, e os quatro Ts definem a jogada.
