Consultoria PCI DSS: Adequação e Auditoria QSA
PCI DSS 4.0.1 é o padrão de segurança do setor de cartões de pagamento, com 12 requisitos obrigatórios para quem armazena, processa ou transmite dados de cartão. A adequação envolve definição do escopo e do CDE, gap assessment, remediação, ASV scan trimestral e validação por SAQ ou RoC assinado por um QSA. A Berghem conduz o ciclo completo.
O que é o PCI DSS?
O PCI DSS (Payment Card Industry Data Security Standard) é o padrão mantido pelo PCI Security Standards Council que define os controles mínimos de proteção dos dados de titulares de cartão. A versão em vigor é a v4.0.1, e todos os requisitos futuros passaram a ser obrigatórios desde 31 de março de 2025.
O padrão organiza 12 requisitos em 6 objetivos de controle e aplica-se a comerciantes (merchants), adquirentes, processadoras e prestadores de serviço. O nível de esforço depende do volume de transações, do tipo de validação exigido (ROC assinado por QSA ou autoavaliação via SAQ) e do escopo do ambiente de dados de cartão (CDE) após a segmentação de rede. A conformidade não é um evento único: é um ciclo contínuo de monitoramento, testes e correção que precisa ser mantido entre uma avaliação anual e a seguinte, sob pena de multas contratuais das bandeiras e aumento da responsabilidade em caso de vazamento.
O que a adequação cobre
Quais são os requisitos do PCI DSS?
Os 12 requisitos do PCI DSS v4.0.1 estão agrupados em seis objetivos de controle. A adequação avalia cada um contra a postura atual do ambiente de dados de cartão e identifica, requisito a requisito, o que já está implementado, o que precisa de evidência e o que exige remediação antes da validação.
Rede e sistemas seguros
Requisitos 1 e 2 — controles de rede, firewalls e configuração segura de componentes, eliminando padrões de fábrica e serviços desnecessários.
Proteção dos dados do titular
Requisitos 3 e 4 — proteção dos dados de cartão armazenados e criptografia forte na transmissão por redes públicas e abertas.
Gestão de vulnerabilidades
Requisitos 5 e 6 — proteção contra malware e desenvolvimento e manutenção de sistemas e software seguros, com correção contínua de falhas.
Controle de acesso forte
Requisitos 7, 8 e 9 — acesso por necessidade de conhecer, autenticação de usuários (incluindo MFA) e restrição do acesso físico aos dados.
Monitorar e testar
Requisitos 10 e 11 — registro e monitoramento de acessos, varreduras de vulnerabilidade e teste de invasão periódico de redes e sistemas.
Política de segurança
Requisito 12 — política de segurança da informação, gestão de risco, treinamento e programa de resposta a incidentes que sustentam todo o programa.
Como a Berghem apoia a jornada PCI DSS?
Da definição de escopo à validação técnica, a Berghem entrega os componentes de segurança ofensiva e de compliance que o QSA exige — com evidências auditáveis. Atuamos junto ao seu time e ao QSA para que cada requisito chegue à avaliação com a prova certa, sem retrabalho e sem surpresa de última hora.
Gap analysis e roadmap
Diagnóstico da postura atual contra os 12 requisitos, com plano de remediação priorizado por gap e cronograma até a validação.
Teste de invasão (Req. 11.4)
Teste de invasão (EHT) externo e interno da rede e das aplicações do CDE, com validação da segmentação que isola o ambiente de dados de cartão e comprova que os controles de fronteira funcionam na prática.
Segurança de pagamentos
Avaliação dos fluxos de captura, autorização e liquidação de transações e dos controles sobre os dados de cartão ao longo de toda a cadeia, do ponto de aceitação à conciliação.
Segurança para o setor financeiro
Adequação e testes para bancos, adquirentes e fintechs, onde o PCI DSS se soma às demais exigências de segurança de meios de pagamento.
Serviços financeiros
Como a Berghem atende ao setor de serviços financeiros — do compliance de pagamentos à segurança ofensiva do ambiente de cartão.
PCI MPoC
Para soluções de aceitação em dispositivos COTS, a avaliação segue o padrão PCI MPoC além do PCI DSS.
DevSecOps (Req. 6)
Segurança no ciclo de desenvolvimento — revisão de código, SAST/DAST e pipeline seguro para o software que toca dados de cartão.
Segurança ofensiva
Time ofensivo dedicado para os testes técnicos que sustentam as evidências de conformidade do ambiente.
O que determina o custo e o prazo de uma adequação PCI DSS?
Não existe preço único. O investimento depende de fatores mensuráveis do ambiente e do tipo de validação exigido pela adquirente ou bandeira.
Nível de comerciante
O volume anual de transações define o nível (1 a 4) e o tipo de validação — ROC assinado por QSA para o nível 1, ou SAQ para os demais. Quanto maior o nível, maior o esforço de evidência.
Tamanho do escopo (CDE)
Quanto mais sistemas armazenam, processam ou transmitem dados de cartão, maior o escopo. A segmentação de rede reduz o CDE e, com ele, o custo do teste e da avaliação — por isso desenhar bem a segmentação costuma ser o investimento de maior retorno na jornada.
Maturidade dos controles
Ambientes com gestão de vulnerabilidades, logs e MFA já implementados chegam à validação com menos remediação. Gaps abertos alongam o cronograma.
Arquitetura de pagamento
Aceitação presencial, e-commerce, tokenização ou soluções em dispositivos COTS (PCI MPoC) mudam os requisitos aplicáveis e a profundidade dos testes.
Dúvidas sobre PCI DSS
Quais são os níveis PCI DSS e qual SAQ eu preciso?
Qual a diferença entre QSA e ASV scan?
Quanto tempo leva a certificação PCI DSS?
O teste de invasão é obrigatório no PCI DSS?
A Berghem emite o certificado PCI DSS?
Pronto para iniciar a adequação PCI DSS?
Em uma conversa mapeamos o seu ambiente de dados de cartão, definimos o escopo e desenhamos o caminho até a validação — do gap analysis ao teste de invasão.
Fale Conosco