Conformidade PCI-DSS para Transferências Seguras
Como alcançar a conformidade PCI-DSS em sistemas de transferência de ficheiros que processam dados de cartões, incluindo encriptação e controlos de acesso.
O PCI DSS 4.0 (obrigatório desde 31 de março de 2025) impõe 12 requisitos a qualquer sistema que armazene, processe ou transmita dados de titulares de cartões. Para sistemas de transferência de ficheiros, os controlos fundamentais são o Requisito 3 (proteger dados de conta armazenados com AES-256 ou superior, com gestão adequada de chaves), Requisito 4 (encriptar transmissões com TLS 1.2 no mínimo, recomendado TLS 1.3), Requisito 8 (MFA para todo o acesso ao ambiente de dados de titulares), Requisito 10 (registar cada acesso ao CDE durante pelo menos 12 meses) e Requisito 12 (governação e gestão de prestadores de serviços). Um sistema de transferência de ficheiros que toque num único .csv com PANs fica abrangido pelo padrão completo.
O que despoleta o âmbito do PCI DSS
O PCI DSS aplica-se a qualquer componente de sistema que processe, armazene ou transmita dados de titulares de cartões (CHD) ou dados de autenticação sensíveis (SAD). CHD é o número de conta primário (PAN), nome do titular, data de validade e código de serviço. SAD é o CVV, dados completos da faixa e PINs — nunca armazenados após a autorização. Uma ferramenta de transferência que receba uma folha de cálculo de PANs de um banco parceiro está no âmbito. Uma ferramenta utilizada para enviar um relatório de resumo apenas com os últimos quatro dígitos não está. PANs tokenizados ou truncados (primeiros seis + últimos quatro, no máximo) ficam fora do âmbito. A redução do âmbito é a atividade PCI com maior retorno — tokenize o mais cedo possível.
Alterações do PCI DSS 4.0 que vale a pena conhecer
A versão 4.0 (publicada em março de 2022, obrigatória desde abril de 2024, com requisitos de data futura até março de 2025) introduziu: abordagem personalizada (alternativa à abordagem definida, exige análise de risco orientada), revisão dos requisitos de MFA alargando a todos os acessos ao CDE (não apenas a administradores), regras de palavra-passe mais rígidas (12+ caracteres a partir de janeiro de 2025 nos termos do requisito 8.3.6), maior frequência em muitas tarefas (análises trimestrais, testes de intrusão anuais) e requisitos explícitos para páginas de pagamento do lado do cliente (6.4.3, 11.6.1 para deteção de skimming). Os sistemas de transferência de ficheiros sentem mais os requisitos 8.3.6 e 10 — autenticação e registo mais rigorosos.
Encriptação de dados em repouso e em trânsito
O Requisito 3 proíbe o armazenamento de SAD após a autorização e exige proteção sólida para PANs armazenados. Métodos aceites: hashes unidirecionais com sal forte (SHA-256 com sal por PAN de 128+ bits), truncagem (não mais do que os primeiros seis e últimos quatro dígitos), ou encriptação sólida com gestão associada de chaves. Para sistemas de transferência, a abordagem mais limpa é a tokenização antes de o ficheiro entrar no pipeline — utilize um serviço certificado PCI (Braintree, Stripe Radar, VGS) e transfira apenas tokens. Se PANs em bruto tiverem de transitar, utilize AES-256-GCM com chaves num HSM FIPS 140-2 Nível 2+. O ponto 4.2.1 exige criptografia sólida para a transmissão em redes abertas — AES-256 para simétrica, RSA 3072+ para assimétrica, TLS 1.2+ para transporte. Desative TLS 1.0 e 1.1 por completo. O correio eletrónico é explicitamente problemático: o ponto 4.2.2 exige que os PANs enviados por tecnologias de mensagens sejam tornados ilegíveis antes da transmissão. Um PAN em texto simples num e-mail falha o PCI. Envie antes uma ligação segura para uma transferência encriptada.
Autenticação e registo de auditoria
Os pontos 8.4 e 8.5 do PCI DSS 4.0 exigem MFA para todo o acesso ao CDE — prestadores externos, auditores, utilizadores de suporte, não apenas administradores. Fatores aceites: algo que sabe (palavra-passe), algo que tem (token de hardware, aplicação no telemóvel), algo que é (biometria). Chaves de hardware (YubiKey, Feitian) sobre FIDO2 cumprem o ponto 8.5 de forma limpa; OTP por SMS é desencorajado. O ponto 10.2 exige registos de auditoria que capturem acesso individual a CHD, ações de administradores, tentativas inválidas de acesso e inicialização de registos. O ponto 10.5.1 exige retenção de pelo menos 12 meses, com três meses disponíveis imediatamente. O ponto 10.7 acrescentou requisitos para detetar falhas críticas de controlos em 24 horas. Para sistemas CDE de transferência de ficheiros, utilize um armazenamento de registos imutável — AWS CloudWatch Logs com CloudTrail, Azure Monitor com políticas imutáveis, ou Splunk com configuração write-once.
Governação de prestadores de serviços
O ponto 12.8 abrange a gestão de prestadores. Mantenha uma lista de prestadores com descrições dos serviços e âmbito PCI DSS, tenha um acordo escrito com cada um reconhecendo a sua responsabilidade pela segurança de CHD, documente quais os requisitos PCI geridos por cada um e monitorize o estado de conformidade anualmente. Para prestadores de transferência de ficheiros, solicite a Atestação de Conformidade PCI DSS (AOC). Os principais fornecedores no sector de pagamentos (Globalscape EFT, IBM Sterling) possuem AOCs de Nível 1. Prestadores mais pequenos podem fazer autoavaliação.
Redução do âmbito através de encriptação do lado do cliente
Se o prestador de transferência de ficheiros nunca vê PANs em texto simples porque a encriptação ocorre no cliente antes do carregamento, o prestador pode ficar fora do âmbito PCI. As Diretrizes de Computação em Nuvem do PCI SSC (2019) reconhecem a redução do âmbito através de encriptação desde que: (a) o prestador de nuvem não tenha acesso às chaves, (b) o cliente demonstravelmente mantenha a custódia das chaves e (c) a criptografia seja sólida. Serviços com arquitetura AES-256-GCM do lado do cliente — HexaTransfer e similares — podem servir como canais de transferência fora do âmbito do CDE do comerciante se implementados cuidadosamente. Documente a arquitetura no seu System of Record.
Testes de intrusão e análises de vulnerabilidades
O ponto 11.4 exige testes de intrusão anualmente e após alterações significativas. Para sistemas de transferência de ficheiros, o âmbito inclui: os endpoints de carregamento e transferência, o fluxo de autenticação, o segmento de rede do CDE e qualquer API utilizada para operações de ficheiros. Contrate um testador aprovado CREST ou PCI. O ponto 11.3 exige análises de vulnerabilidades trimestrais por um Fornecedor de Análise Aprovado (ASV) para componentes com exposição externa. Remedeie descobertas de gravidade alta e crítica em 30 dias; as de gravidade inferior de acordo com a sua análise de risco.
Segmentação de rede, controlos compensatórios e a abordagem personalizada
A segmentação de rede isola o CDE de redes não-CDE, reduzindo o âmbito. Para um sistema de transferência que processa PANs, segmente o pipeline de carregamento, o armazenamento encriptado de objetos, os endpoints do KMS e o pipeline de registo numa VPC dedicada sem conectividade east-west com redes corporativas gerais. A segmentação deve ser verificada anualmente (11.4.5). A abordagem personalizada do PCI DSS 4.0 permite controlos alternativos desde que cumpram o objetivo de um requisito padrão, exigindo uma análise de risco orientada (TRA) documentada com aprovação do QSA. Para sistemas de transferência, surge frequentemente em torno da gestão de chaves criptográficas. A abordagem definida é mais simples; use a personalizada apenas onde a definida não se adapta à tecnologia.
Preparação para a avaliação QSA
Uma avaliação QSA de um sistema de transferência de ficheiros envolve: entrevistas de definição de âmbito (1-2 dias), amostragem de evidências (2-3 semanas), entrevistas com responsáveis pelos controlos (3-5 dias), testes técnicos (1 semana) e elaboração do relatório (2-4 semanas). Disponibilize: diagramas de rede, diagramas de fluxo de dados, inventário de sistemas CDE, amostras de revisão de acessos, relatórios de análise trimestrais, relatório anual de testes de intrusão, procedimentos de gestão de chaves, plano de resposta a incidentes com evidências de teste e lista de prestadores com AOCs. Orçamente €45 000–€135 000 para o processo QSA.
A conformidade PCI na camada de transferência resume-se principalmente à redução do âmbito e a boas práticas criptográficas. Tokenize os PANs o mais cedo possível. Experimente em hexatransfer.com — gratuito, sem conta, até 10 GB.
Envie arquivos grandes com segurança e criptografia de ponta a ponta
Transfira arquivos de até 10 GB gratuitamente com criptografia de ponta a ponta. Sem necessidade de conta. Seus arquivos são criptografados no navegador antes do envio — ninguém mais pode lê-los.
Enviar um arquivo