Quem precisa
O PCI DSS é o padrão de segurança das bandeiras de cartão. Vale para quem armazena, processa ou transmite dados de cartão, ou pode afetar a segurança desse ambiente: lojas virtuais, gateways, subadquirentes, fintechs e prestadores de serviço. A versão em vigor é a 4.0.1.
O que o requisito 11.4 pede
- Uma metodologia de pentest definida, documentada e baseada em práticas reconhecidas pelo mercado.
- Cobertura de todo o perímetro do ambiente de dados de cartão (CDE) e dos sistemas críticos, nas camadas de rede e de aplicação.
- Pentest externo e interno pelo menos uma vez a cada 12 meses e depois de qualquer mudança significativa.
- Testador qualificado e com independência organizacional (pode ser interno ou terceiro).
- Falhas exploráveis corrigidas e o teste repetido para confirmar a correção.
- Teste dos controles de segmentação, quando a segmentação é usada para reduzir o escopo: a cada 12 meses para comerciantes e a cada 6 meses para prestadores de serviço.
O pentest não substitui o scan externo trimestral feito por um ASV (requisito 11.3.2). São exigências diferentes e as duas valem.
Onde e-commerces costumam errar
- Achar que usar um gateway tira a loja do escopo. Reduz, mas a página de pagamento e os scripts que rodam nela continuam importando.
- Testar só a rede e esquecer a aplicação, onde estão checkout, carrinho e área do cliente.
- Fazer o teste e não guardar a evidência de correção e do reteste.
- Não refazer o teste depois de trocar plataforma, gateway ou fluxo de pagamento.
Como a Sovereign Tech ajuda
Executamos o pentest de aplicação e de perímetro com metodologia documentada, relatório que mapeia os achados e reteste com evidência de correção. Não emitimos atestados de conformidade (ROC/AOC) nem atuamos como QSA ou ASV: entregamos o teste e as evidências que o seu processo de conformidade precisa.
Leia também
Fontes: PCI Security Standards Council — biblioteca de documentos (PCI DSS v4.0.1)