PCI DSS.
Delimite os dados de pagamento e as dependências, esclareça as responsabilidades operacionais e acorde a demonstração adequada com a entidade competente.
- PCI DSS v4.0.1 · PCI SSC
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 9 min.
Resposta breve.
O PCI DSS é a norma setorial para proteger dados de cartões de pagamento. Abrange comerciantes, prestadores e sistemas que tratam esses dados ou influenciam a sua segurança. A versão atual é a PCI DSS v4.0.1. O ambiente de pagamento e o papel determinam o âmbito; o percurso de demonstração, como SAQ ou ROC, é acordado com o adquirente ou a marca.
PCI DSS 4.0 e a versão atual.
O PCI DSS combina requisitos de segurança técnicos e operacionais para dados de pagamento. O PCI Security Standards Council, ou PCI SSC, desenvolve a norma e as ferramentas de apoio. A forma de demonstrar o cumprimento num programa de pagamento concreto é, por sua vez, determinada pelas entidades competentes que aceitam a demonstração, tipicamente adquirentes e marcas de pagamento; a pergunta frequente PCI SSC 1473 explica esta distinção de papéis.
O PCI DSS v4.0.1 é a versão apresentada na Document Library oficial. Segundo a publicação do PCI SSC sobre a revisão, a v4.0 foi retirada em 31 de dezembro de 2024. A data de 31 de março de 2025, já prevista para os novos requisitos v4, manteve-se. À data desta página, o prazo já passou; não é um prazo de introdução ainda futuro.
Uma demonstração concluída com sucesso não substitui a proteção contínua. Na organização prática, as alterações nos percursos de pagamento, nas aplicações e nos prestadores devem motivar uma nova análise do âmbito acordado. Uma nova integração de checkout pode criar dependências diferentes da solução anteriormente avaliada, embora a mesma empresa continue a aceitar pagamentos.
A quem se aplica o PCI DSS.
Segundo a síntese do PCI SSC, o PCI DSS não se destina apenas a organizações que armazenam, processam ou transmitem dados de cartões. A possibilidade de influenciar a segurança do ambiente de dados dos titulares de cartões, ou Cardholder Data Environment (CDE), também deve ser considerada. Os comerciantes e os prestadores devem, por isso, começar por descrever o seu papel concreto e os serviços efetivamente prestados.
A externalização do processamento de pagamentos não implica isenção automática. A pergunta frequente PCI SSC 1092 distingue um âmbito direto de requisitos possivelmente menor da responsabilidade contínua por prestadores adequados, responsabilidades acordadas e a demonstração exigida. Mesmo num checkout alojado, esclareça com a entidade competente que condições a integração técnica escolhida deve cumprir.
Os limites são comprovados por medidas eficazes, além de um nome num diagrama de arquitetura. A pergunta frequente PCI SSC 1115 explica que devem ser verificados os sistemas ligados e a eficácia real da segmentação. Quem exclui prematuramente acessos de administração, serviços de apoio ou interfaces pode descrever um âmbito de avaliação incompleto.
Organizar os requisitos PCI DSS na operação.
A implementação relaciona a proteção do ambiente de pagamento com processos operacionais rastreáveis. As seis áreas seguintes são uma orientação editorial para o planeamento, e não uma reprodução dos doze requisitos oficiais ou de pontos de avaliação individuais; a sua aplicabilidade concreta é verificada no âmbito confirmado.
Tornar compreensíveis os fluxos de pagamento e o âmbito.
Acompanhe na prática onde surge a informação de pagamento, que componentes estão envolvidos e que pessoas ou prestadores podem influenciá-los. Registe os limites confirmados juntamente com os seus pressupostos. Uma descrição compreensível ajuda o desenvolvimento, a operação e a entidade aceitante a falar sobre o mesmo percurso de pagamento.
Operar os sistemas e as alterações com segurança.
Atribua responsáveis claros às aplicações e aos componentes de infraestrutura envolvidos. Relacione as alterações com a questão de saber se novas ligações, funções ou dependências alteram o âmbito confirmado. No dia a dia, um histórico rastreável de alterações é mais útil do que uma fotografia reunida apenas na data da avaliação.
Limitar a utilização e a transmissão dos dados.
Como pergunta inicial prática, verifique que dados de pagamento são efetivamente necessários para o processo escolhido e onde podem surgir cópias. Considere exportações, registos e processos de apoio. O planeamento detalhado da segurança deve adequar-se aos tipos de dados e à finalidade; uma classificação geral de confidencialidade ainda não explica estas decisões.
Organizar os acessos de forma rastreável.
Relacione as responsabilidades funcionais com as possibilidades técnicas efetivamente concedidas. Além dos trabalhadores, considere contas de serviço, acessos administrativos e fornecedores. Para organizar o trabalho, recomenda-se uma resposta clara sobre quem aprova um acesso, quem trata alterações e como se reconhece a retirada atempada de um acesso.
Verificar a operação e tratar as conclusões.
Planeie registos e verificações adequados com os responsáveis pelo ambiente de pagamento. Um scan isolado ou um teste de penetração descreve apenas o seu próprio objeto. Nas constatações, registe a alteração resultante e como será verificado o seu efeito, em vez de equiparar um resultado de teste à totalidade da demonstração PCI DSS.
Incluir os prestadores e os incidentes.
Defina contactos operacionais e o procedimento perante anomalias. Para serviços externalizados, as tarefas próprias devem permanecer compreensíveis juntamente com os compromissos do prestador. A pergunta frequente PCI SSC 1576 explica que uma evidência do prestador deve abranger os serviços utilizados; um documento genérico da empresa não é automaticamente suficiente.
Implementar o PCI DSS como tarefa contínua.
Acordar o papel e o percurso de demonstração.
Como ponto de partida prático, esclareça com o adquirente ou a marca de pagamento o seu papel, a demonstração esperada e o contacto responsável antes de escolher um formulário.
Registar um percurso de pagamento.
Descreva os dados, as aplicações, os sistemas e os prestadores envolvidos desde o início do pagamento até aos registos operacionais remanescentes.
Confirmar o âmbito.
Verifique as ligações relevantes e os componentes que influenciam a segurança e obtenha uma avaliação técnica da delimitação, incluindo a possível segmentação.
Integrar as tarefas na operação.
Atribua medidas de proteção e responsabilidades partilhadas a pessoas concretas e relacione a sua implementação com registos adequados.
Preparar evidências coerentes.
Verifique se os documentos exigidos descrevem o mesmo serviço, papel e âmbito e se as decisões pendentes foram tratadas de forma rastreável.
Acompanhar as alterações e as avaliações seguintes.
Acorde os intervalos de demonstração necessários e, perante alterações, verifique se o âmbito, as evidências dos prestadores e as responsabilidades operacionais continuam adequados.
Certificação PCI e a forma real de demonstração.
A demonstração PCI DSS reconhecida utiliza os documentos oficiais previstos. Um SAQ documenta uma autoavaliação admissível; um ROC, os resultados do percurso de avaliação correspondente; e uma AOC, a atestação associada. Segundo a pergunta frequente PCI SSC 1220, documentos genericamente designados certificados de conformidade não substituem os modelos oficiais.
A entidade aceitante determina o percurso exigido; numa avaliação correspondente, pode participar um Qualified Security Assessor, ou QSA. Segundo a pergunta frequente PCI SSC 1473, o âmbito e a aplicabilidade devem ser avaliados corretamente. Por isso, escolher o nome de um SAQ ainda não confirma que os seus critérios de elegibilidade estão cumpridos ou que todos os requisitos relevantes foram implementados.
Mesmo o modelo adequado deve ser utilizado na sua versão atual. O PCI SSC alterou as regras SAQ A com efeitos a 31 de março de 2025 e esclareceu expressamente que a eliminação de pontos individuais do questionário não elimina os requisitos PCI DSS subjacentes. Acorde os momentos de demonstração e as obrigações subsequentes do seu caso, em vez de presumir uma validade geral de certificado.
Enquadrar outros referenciais.
A ISO 27001 trata a gestão da segurança da informação num âmbito definido; a demonstração PCI DSS é uma decisão separada para o ambiente de pagamento. Os CIS Controls apoiam a priorização geral do trabalho de segurança, mas não definem um percurso de validação PCI. O RGPD diz respeito ao tratamento de dados pessoais e deve continuar a ser analisado independentemente da demonstração relativa aos dados de pagamento.
No Secani.
O Secani disponibiliza um catálogo editorial empresarial próprio relativo ao PCI DSS v4.0.1. O perfil regista, entre outros, o âmbito CDE, o papel de comerciante ou prestador e o percurso SAQ/ROC acordado. Estes dados de trabalho apoiam um tratamento estruturado; não substituem os documentos oficiais de avaliação, a confirmação da elegibilidade nem o parecer da entidade competente.
Começar por um percurso de pagamento concreto.
Escolha um percurso de pagamento efetivamente utilizado e identifique os seus responsáveis funcionais e técnicos. Registe os serviços que presta diretamente e os que são assumidos por um prestador. Acorde depois a demonstração esperada com a entidade competente antes de planear o esforço com base num questionário aparentemente adequado.
Fontes.
- PCI SSC — síntese PCI DSS e destinatários
- PCI SSC — Document Library oficial
- PCI SSC — publicação do PCI DSS v4.0.1
- Pergunta frequente PCI SSC 1473 — entidades competentes e percurso de demonstração
- Pergunta frequente PCI SSC 1092 — processamento de pagamentos externalizado
- Pergunta frequente PCI SSC 1576 — evidências dos prestadores
- Pergunta frequente PCI SSC 1220 — documentos oficiais em vez de certificados de conformidade
- Pergunta frequente PCI SSC 1115 — sistemas ligados e segmentação
- PCI SSC — alterações ao SAQ A com efeitos a 31 de março de 2025
- PCI SSC — boletim SAQ de 15 de outubro de 2024
Perguntas frequentes.
Não automaticamente. A externalização pode alterar o âmbito direto; a responsabilidade por prestadores adequados, responsabilidades claras e a demonstração exigida deve continuar a ser considerada separadamente.
Não apenas segundo o esforço pretendido. Os critérios de elegibilidade têm de estar cumpridos e o percurso de demonstração exigido deve ser acordado com a entidade aceitante.
Certificados genéricos de conformidade não são um substituto reconhecido dos documentos oficiais. Prevalecem o percurso de avaliação acordado e os relatórios ou atestações oficiais correspondentes.
Não. Um certificado de SGSI diz respeito ao âmbito de sistema de gestão indicado; os requisitos e o percurso de demonstração do ambiente de pagamento devem ser esclarecidos separadamente.
Delimite o percurso de pagamento.
Fale connosco sobre como trabalhar o âmbito, as tarefas e as evidências no Secani.
Esta página enquadra o PCI DSS por palavras próprias e não substitui os documentos oficiais do PCI SSC nem uma avaliação técnica. Os requisitos do respetivo programa de pagamento e as decisões da entidade competente devem continuar a ser considerados separadamente.