PCI DSS (Padrão de Segurança de Dados do Setor de Cartões de Pagamento)

O PCI DSS reúne 12 requisitos principais, cada um com controles detalhados e procedimentos de teste, criados para proteger os dados de contas de pagamento e incentivar medidas de segurança consistentes em todo o mundo 1. O padrão se destina a toda entidade que armazene, processe ou transmita dados do titular do cartão ou dados de autenticação sensíveis, ou que possa afetar a segurança desses dados 3. Uma agência de viagens que recebe dados de cartão, seja em papel, por telefone, por e-mail ou por formulário na web, se enquadra nesse grupo. Segundo o padrão, a partir do momento em que uma empresa armazena, processa ou transmite o número da conta principal (PAN), passa a existir um ambiente de dados do titular do cartão, e os requisitos se aplicam a ele 5.

A obrigatoriedade de a agência validar formalmente a conformidade não é definida pelo próprio padrão. Isso é decidido pelas organizações que administram programas de conformidade, como as bandeiras de pagamento e os adquirentes, portanto a agência deve consultar seu adquirente sobre o que é esperado 3. Terceirizar os pagamentos não elimina a responsabilidade: a agência ainda precisa garantir que o terceiro proteja os dados, e os requisitos de gestão de prestadores de serviços serão aplicáveis 35.

Na prática, a agência deve:

• Manter o armazenamento de dados de conta no mínimo e nunca guardar dados de autenticação sensíveis, como o código de verificação do cartão, após a autorização, mesmo que estejam criptografados 6.
• Tornar ilegível qualquer PAN armazenado 6.
• Evitar o envio de PANs sem proteção por e-mail ou mensagem instantânea 8.
• Proteger ou descartar de forma segura os registros em papel que contenham dados de cartão 5.
• Ter um plano de resposta a incidentes, que se aplica a todas as entidades 5.
• Se dados de cartão chegarem por um canal não previsto, incluir esse canal no escopo e protegê-lo, ou excluir os dados com segurança e impedir que o canal volte a ser usado 4.

Quando a legislação local entra em conflito com o padrão, prevalece a lei 2.