Os 12 requisitos
- 1. Instalar e manter controlos de segurança de rede.
- 2. Aplicar configurações seguras a todos os componentes do sistema.
- 3. Proteger os dados de conta armazenados.
- 4. Proteger os dados dos titulares com criptografia forte durante a transmissão em redes abertas e públicas.
- 5. Proteger todos os sistemas e redes contra software malicioso.
- 6. Desenvolver e manter sistemas e software seguros.
- 7. Restringir o acesso pela necessidade de conhecer.
- 8. Identificar os utilizadores e autenticar o acesso.
- 9. Restringir o acesso físico aos dados dos titulares.
- 10. Registar e monitorizar todos os acessos.
- 11. Testar regularmente a segurança dos sistemas e redes.
- 12. Suportar a segurança da informação com políticas e programas.
Como se valida a conformidade
Depende do seu volume de transações e das regras das marcas de cartões ou do seu adquirente: um Report on Compliance feito por um avaliador qualificado, ou um Self-Assessment Questionnaire para os comerciantes mais pequenos. Pergunte ao seu adquirente qual se aplica.
Reduzir primeiro o âmbito
- Não guarde dados de cartão a não ser que precise deles.
- Use uma página de pagamento alojada ou um prestador validado sempre que possível.
- Segmente a rede à volta do que restar.
- Lembre-se de que subcontratar os pagamentos não elimina todas as obrigações.
Perguntas
- O PCI DSS é uma lei?
- Não. É uma norma contratual definida pelo PCI Security Standards Council e imposta através das marcas de cartões e dos adquirentes. Algumas jurisdições remetem para ela na lei.
- Usar um prestador de pagamentos torna-o conforme?
- Pode reduzir bastante o seu âmbito, mas continua a ter de validar a conformidade do que resta e de gerir esse prestador.