0
0
Você realmente precisa da certificação PCI ou é apenas um mito?
Se você veio aqui procurando por “certificação PCI”, então deixe-nos dizer que tal coisa não existe. Confuso? Bem, você deveria estar. Mas relaxe, pois nem tudo o que você ouviu ou sabe sobre PCI está incorreto. Há uma coisa importante chamada “conformidade com PCI” que você deve conhecer! Neste artigo, falaremos sobre a conformidade com PCI, se você precisa segui-la e como ela pode ajudar seus negócios. E usaremos a palavra “certificação PCI” no restante do artigo para facilitar sua compreensão. Mas antes de fazermos isso, vamos viajar um pouco no tempo.
A bolha pontocom e os negócios virtuais: um novo horizonte se abre
Se você tem idade suficiente, deve se lembrar muito bem da bolha das pontocom e como todo mundo estava ficando louco por essa coisa chamada “internet”. Graças à mania louca, todos os tipos de negócios começaram a ficar online e começaram a criar seus sites. Foi realmente uma época louca. Embora muitos considerem isso como “bolha”, e em muitos sentidos, era uma. No entanto, não há como negar que adicionou um negócio totalmente novo à economia global na forma de negócios virtuais.
Como resultado, muitas pessoas começaram a comprar coisas e serviços online. Foi fácil, e foi uma loucura. Tornou-se uma espécie de tendência e depois começou a se tornar uma norma. Esse boom também deu origem a alguns setores indesejados, com as fraudes cibernéticas no topo deles. Esses criminosos começaram a enganar as pessoas em nome das compras online, e havia a necessidade de proteger os clientes, que eram totalmente novos no mundo da internet.
Surgiu o que é conhecido como “PCI Compliance”.
O que é a certificação/conformidade do PCI DSS?
Em 2006, o Payment Card Industry Security Standards Council (PCI SSC) anunciou o PCI DSS (padrões de segurança de dados da indústria de cartões de pagamento). Este conselho foi criado por gigantes da indústria de cartões de crédito, que inclui American Express, Discover Financial Services, JCB International, MasterCard e Visa Inc.
Vale ressaltar que o PCI SSC não possui autoridade legal, mas se aplica a empresas de todos os portes que aceitam, armazenam e processam pagamentos com cartão. Portanto, você não incorrerá em acusações criminais se não estiver em conformidade. No entanto, se você sofrer uma violação de dados por não estar em conformidade, poderá enfrentar algumas multas severas do PCI SSC. É absolutamente imperativo proteger as informações financeiras confidenciais dos clientes em todo o mundo. É por isso que é sempre uma decisão sábia manter a conformidade.
Objetivos e Requisitos da Certificação PCI
Até agora, o PCI SSC lançou nove versões do PCI DSS. Cada uma dessas versões dividiu a segurança de dados em seis objetivos que definem os requisitos de segurança de dados. Eles são chamados de “objetivos de controle”. Eles são:
- Construir e manter uma rede e sistemas seguros
- Proteger os dados do titular do cartão
- Manter um programa de gerenciamento de vulnerabilidades
- Implementar Medidas Fortes de Controle de Acesso
- Monitore e teste regularmente as redes
- Manter uma Política de Segurança da Informação
Esses requisitos são divididos em muitos subrequisitos, mas 12 requisitos foram definidos desde o momento em que o PCI DSS foi estabelecido. São como abaixo:
1. INSTALE E MANTENHA UMA CONFIGURAÇÃO DE FIREWALL PARA PROTEGER OS DADOS DO TITULAR DO CARTÃO.
2. NÃO USE OS PADRÕES FORNECIDOS PELO FORNECEDOR PARA SENHAS DO SISTEMA E OUTROS PARÂMETROS DE SEGURANÇA.
3. PROTEJA OS DADOS ARMAZENADOS DO TITULAR DO CARTÃO.
4. CRIPTOGRAFE A TRANSMISSÃO DE DADOS DO TITULAR DO CARTÃO EM REDES PÚBLICAS ABERTAS.
5. USE E ATUALIZE REGULARMENTE SOFTWARE OU PROGRAMAS ANTIVÍRUS.
6. DESENVOLVER E MANTER SISTEMAS E APLICATIVOS SEGUROS.
7. RESTRINJA O ACESSO AOS DADOS DO TITULAR DO CARTÃO POR NECESSIDADE DE CONHECIMENTO.
8. ATRIBUA UM ID EXCLUSIVO A CADA PESSOA COM ACESSO AO COMPUTADOR.
9. RESTRINJA O ACESSO FÍSICO AOS DADOS DO TITULAR DO CARTÃO.
10. ACOMPANHE E MONITORE TODO O ACESSO A RECURSOS DE REDE E DADOS DO TITULAR DO CARTÃO.
11. TESTE REGULARMENTE OS SISTEMAS E PROCESSOS DE SEGURANÇA.
12. MANTER UMA POLÍTICA QUE ABORDE A SEGURANÇA DA INFORMAÇÃO PARA FUNCIONÁRIOS E CONTRATADOS.
FONTE: HTTPS://WWW.PCISECURITYSTANDARDS.ORG/PCI_SECURITY/MAINTAINING_PAYMENT_SECURITY
Níveis de conformidade/certificação PCI
Com base no número de transações com cartão que uma empresa processa anualmente, a conformidade com o PCI é dividida em quatro níveis. Com base no seu nível, você precisa tomar as medidas apropriadas para manter a conformidade. Vamos dar uma olhada em cada um desses níveis.
Nível 1: Este nível se aplica a comerciantes que processam anualmente mais de seis milhões de transações reais com cartão de crédito ou débito. Os comerciantes que se enquadram nessa categoria devem passar por uma auditoria interna uma vez por ano, conduzida por um auditor autorizado do PCI. Eles também precisam realizar uma varredura PCI (feita por um fornecedor de varredura aprovado) a cada trimestre.
Nível 2: Se você processar anualmente entre um e seis milhões de transações reais com cartão de crédito ou débito, sua empresa será classificada nesse nível. Essas empresas são obrigadas a passar por uma avaliação uma vez por ano usando um Questionário de Autoavaliação (SAQ). Eles também podem precisar realizar uma varredura PCI trimestral.
Nível 3: Os comerciantes classificados no nível 3 são aqueles que processam anualmente entre 20.000 e um milhão de transações de comércio eletrônico. Essas empresas são obrigadas a passar por uma avaliação uma vez por ano usando um Questionário de Autoavaliação (SAQ). Eles também podem precisar realizar uma varredura PCI trimestral.
Nível 4: Este nível é para empresas que processam menos de 20.000 transações de comércio eletrônico anualmente ou aquelas que processam até um milhão de transações do mundo real. Essas empresas são obrigadas a passar por uma avaliação uma vez por ano usando um Questionário de Autoavaliação (SAQ). Eles também podem precisar realizar uma varredura PCI trimestral.
Meu negócio será afetado se eu não for certificado pelo PCI?
Sim e não. Não, porque, como vimos, você não está legalmente obrigado a ser compatível com PCI. No entanto, esses requisitos se aplicam a você se você processar dados de cartão dos clientes, seja online ou offline. Se você sofrer uma violação de dados e descobrir que não estava em conformidade com o PCI, poderá enfrentar multas severas (um eufemismo) que podem chegar a US$ 100.000. Você nunca quer estar nessa posição, não é?
Não apenas do ponto de vista da segurança, mas manter a conformidade com o PCI ajuda você a construir um vínculo de confiança com seus clientes. Muitos deles estão cientes desses padrões e, se virem que você é certificado pelo PCI, isso inevitavelmente cria uma boa impressão. Isso ajuda a melhorar sua reputação e, em última análise, reflete em seus resultados de alguma forma.
Comodo HackerGuardian: Melhor Scanner PCI do Mercado
Um requisito essencial dos 12 requisitos do PCI DSS é verificar o sistema em busca de vulnerabilidades de segurança. Isso é chamado de “varredura de vulnerabilidades”. Os serviços de verificação autorizados realizam essas verificações e você deve realizá-las para ter um sistema seguro de cima para baixo.
Comodo, o nome líder em soluções relacionadas à segurança da Web, possui um scanner chamado “ Comodo HackerGuardian PCI Vulnerability Scan Control Center ”. Tecnicamente, este scanner está bem à frente da concorrência em termos de especificações que oferece. E a melhor parte é que é o scanner de vulnerabilidades com preço mais baixo disponível no mercado.
Recursos do Comodo HackerGuardian:
- Serviço de conformidade com o PCI Scan – Serviço de auditoria de segurança sob demanda que fornece relatórios de conformidade com o PCI Scan e CVC de credencial de pagamento sem custo.
- Emissão dentro de 1-3 dias
- Relatórios diários de conformidade com PCI
- Recurso de digitalização ilimitado
- Processo de agendamento de varredura sob demanda
- Geração automática de relatórios
- Escalável de até 1 a 10.000 endereços IP
Palavra final
Você faria rafting sem colete salva-vidas? Bem, nós sabemos que você não faria. Quando se trata do mundo do comércio eletrônico, manter a conformidade com o PCI é tão vital quanto ter um colete salva-vidas. Ele pode protegê-lo de torções, curvas e acidentes inesperados. Portanto, é sempre uma decisão sábia usar um colete salva-vidas – err, fique em conformidade com o PCI!
FONTE: COMODO