PCI-DSS
Como garantir que suas transações estejam em conformidade de segurança?
Entenda o PCI-DSS
O PCI-DSS (Payment Card Industry Data Security Standard) é um padrão internacional de segurança que estabelece requisitos técnicos e operacionais para proteger os dados de cartões de pagamento.
Esses requisitos se aplicam às organizações que armazenam, processam ou transmitem dados de cartão e também àquelas cujos sistemas podem afetar a segurança desses dados.
Na integração com o Asaas, o escopo das suas responsabilidades depende de como os dados são coletados, por quais sistemas passam e onde são armazenados. Esta página explica como diferentes formas de integração influenciam esse escopo e quais cuidados sua empresa deve considerar.
Quando o PCI-DSS se aplica
O PCI-DSS se aplica quando seus sistemas armazenam, processam ou transmitem dados de cartão, ou ainda mantém sistemas que podem afetar a segurança desses dados. Isso inclui situações em que sua empresa realiza uma ou mais das seguintes atividades.
- Recebe dados de cartão em sua aplicação.
- Armazena o número completo do cartão, inclusive em logs ou registros de transações.
- Controla a página em que o cliente informa os dados do cartão.
- Mantém sistemas que podem afetar a segurança da coleta ou do envio desses dados.
Mesmo que sua empresa não armazene dados de cartão, ela pode ter responsabilidades de conformidade. Os sistemas e processos abrangidos pelo PCI-DSS dependem da forma de integração e do caminho percorrido pelos dados.
Responsabilidade compartilhada
O Asaas é responsável pela segurança dos dados de cartão tratados em seu próprio ambiente. Sua empresa permanece responsável pela segurança dos sistemas e processos sob seu controle.
Conforme a forma de integração, as responsabilidades da sua empresa incluem as seguintes atividades.
- Proteger a coleta e a transmissão dos dados de cartão ao Asaas.
- Restringir o acesso aos dados e sistemas às pessoas autorizadas.
- Manter a infraestrutura protegida e corrigir vulnerabilidades.
- Proteger os registros de atividade (logs) e evitar a inclusão indevida de dados de cartão.
- Orientar e treinar as pessoas envolvidas na operação sobre os cuidados de segurança.
Utilizar os serviços de um fornecedor certificado pode reduzir os sistemas e processos da sua empresa abrangidos pelo PCI-DSS. Porém, a certificação do fornecedor não se estende automaticamente à sua integração nem substitui os controles de segurança sob sua responsabilidade.
Impacto do formato de integração
| Formato | Tratamento dos dados de cartão | Possível impacto no escopo |
|---|---|---|
| Checkout Asaas | Os dados são inseridos em uma página controlada pelo Asaas | Pode reduzir o escopo da sua empresa |
| Fatura Asaas | O pagamento ocorre em uma interface controlada pelo Asaas | Pode reduzir o escopo da sua empresa |
| Link de Pagamento | O cliente informa os dados na página do Asaas | Pode reduzir o escopo da sua empresa |
| API Asaas | Os dados passam pelo back-end da sua aplicação antes de serem enviados ao Asaas | Sua infraestrutura permanece no escopo |
| Tokenização server-side | Os dados passam pelo seu servidor antes da tokenização | Sua infraestrutura permanece no escopo |
O formato da integração, isoladamente, não determina o tipo de SAQ aplicável.
A definição depende de todo o fluxo de dados, da arquitetura da aplicação e dos critérios de elegibilidade estabelecidos pelo PCI-DSS e pela entidade responsável pela validação.
Tipos comuns de SAQ
O SAQ — Self-Assessment Questionnaire — é uma ferramenta utilizada por organizações elegíveis para avaliar e declarar sua conformidade com os requisitos aplicáveis do PCI-DSS.
Entre os tipos mais comuns em operações online estão:
| Tipo | Aplicação geral |
|---|---|
SAQ A | Operações em que o processamento dos dados de cartão é terceirizado e os sistemas da empresa não armazenam, processam ou transmitem esses dados eletronicamente |
SAQ A-EP | E-commerce que terceiriza o processamento, mas possui sistemas que podem afetar a segurança da página ou da transação |
SAQ D | Organizações que não atendem aos critérios de elegibilidade dos questionários mais reduzidos |
Antes de preencher um SAQ, confirme se sua operação atende a todos os critérios de elegibilidade correspondentes.
Os documentos vigentes estão disponíveis na biblioteca oficial do PCI SSC.
PCI-DSS no Asaas
O Asaas possui certificação PCI-DSS Nível 1 e realiza avaliações externas periódicas para verificar sua conformidade com os requisitos do padrão.
A certificação abrange os ambientes e processos sob responsabilidade do Asaas. Ela não se estende automaticamente aos sistemas da sua empresa, que devem atender aos requisitos aplicáveis à sua integração.
Dados que não podem ser armazenados
Não armazene dados de autenticação sensíveis após a autorização da transação, mesmo que estejam criptografados. Essa proibição inclui o código de segurança do cartão (CVV), os dados completos da trilha magnética e o PIN ou bloco de PIN.
O armazenamento do número completo do cartão exige necessidade justificada e atendimento aos controles aplicáveis do PCI-DSS. A criptografia, por si só, não elimina essas obrigações.
Revise sua aplicação para evitar que dados de cartão sejam registrados indevidamente nos seguintes locais:
- Logs e mensagens de erro.
- Ferramentas de monitoramento.
- Bancos de dados e cópias de segurança.
- Sistemas de atendimento.
Antes de implementar pagamentos por cartão
- Mapeie por onde os dados do cartão passam.
- Identifique quais sistemas recebem ou transmitem essas informações.
- Verifique se algum dado é armazenado em logs ou bancos de dados.
- Confirme o escopo e a forma de validação aplicável.
- Implemente os controles de segurança necessários.
- Mantenha as evidências de conformidade atualizadas.
Precisa de orientação?
Para definir o escopo da sua operação, o SAQ aplicável ou a necessidade de auditoria, procure uma empresa QSA — Qualified Security Assessor — ou uma consultoria especializada em PCI-DSS.
Updated 12 days ago