Todas as empresas queaceitam pagamentos com cartão devem provar que podem lidar com dados clientes com segurança. O atestado PCI (Setor de Cartões de Pagamento) é o processo formal que mostra que seus sistemas de pagamento atendem aos padrões de segurança do setor. Normalmente, isso é o que os bancos e parceiros de pagamento revisam antes de aprovarem você para lidar com transações em expansão.

Com o custo global médio de violação de dados atingindo [US$ 4,4 milhões]](https://www.ibm.com/reports/data-breach) em 2025, demonstrar conformidade é uma importante proteção financeira contra o custo crescente da exposição de dados. Abaixo, explicaremos o que é o Atestado de Conformidade (AOC), como o processo funciona, os requisitos por trás dele e seus benefícios e desafios para as empresas.

O que vamos abordar neste artigo?

• O que é o atestado PCI?
  
• Como funciona o processo de atestado PCI?
  
• Quais são os requisitos do PCI DSS para atestados?
  
• Que tipos de atestados PCI existem?
  
• Como preencher o formulário de Atestado de Conformidade PCI?
  
• Quais são os principais benefícios do atestado PCI?
  
• Quais desafios as empresas enfrentam à respeito do atestado PCI?
  
• Como o Stripe Payments pode ajudar
  

O que é o atestado PCI?

O atestado PCI é a declaração formal de que sua empresa está em conformidade com o PCI DSS (Padrão de Segurança de Dados da Indústria de Cartões de Pagamento). Ele vem na forma do Atestado de Conformidade: um documento curto que confirma que você implementou os controles de segurança necessários para proteger os dados de titulares de cartão.

O AOC é assinado por um Avaliador de Segurança Qualificado (QSA) ou por um executivo autorizado após o preenchimento de um Questionário de Autoavaliação (SAQ). Ele resume como sua avaliação de PCI foi conduzida, o que foi revisado e se você atendeu aos requisitos. As empresas maiores geralmente passam por auditorias QSA, enquanto as menores dependem do SAQ.

Um atestado é válido por 12 meses, após os quais deve ser renovado. Ao contrário do detalhado Relatório de Conformidade (ROC), que permanece interno, o AOC é o documento que você compartilha com bancos, parceiros ou clientes como prova de que seus sistemas de pagamento atendem aos padrões do setor.

Como funciona o processo de atestado PCI?

O atestado PCI é uma etapa de um ciclo mais extenso: escopo, proteção, avaliação, atestação e manutenção. Cada fase garante que os dados do titular do cartão sejam identificados, protegidos, testados e monitorados continuamente.

Aqui está um passo a passo do processo de atestado:

• Defina escopo e nível: mapeie onde dados de cartão residem em seus sistemas e determine seu nível de comerciante estabelecido em volume de transação. Isso determina o quão rigorosa sua avaliação deve ser.

• Coloque controles em vigor: implemente os requisitos do PCI DSS, que incluem firewalls, criptografia, restrições de acesso, monitoramento e treinamento. Esse estágio geralmente é o mais árduo, pois pode envolver atualizações do sistema, alterações de configuração e novas políticas.

• Garanta conformidade: comerciantes menores (níveis 2 a 4) concluem SAQs personalizados para suas configurações. Grandes comerciantes (nível 1) passam por uma auditoria no local por um QSA, resultando em um ROC detalhado. De qualquer forma, você também precisará fazer varreduras de vulnerabilidade ou testes de penetração, especialmente para ambientes online.

• Corrija as lacunas: sua empresa pode não passar na primeira tentativa. Os motivos comuns para isso incluem correções ausentes, regras de senha fracas ou redes não segmentadas. Controles de compensação são permitidos, mas devem ser documentados e justificados.

• Complete o AOC: assim que os problemas forem resolvidos, preencha o formulário oficial do AOC com informações empresariais, escopo da avaliação, resumo de conformidade e assinaturas de um executivo (e um QSA, se houver um envolvido). Isso se torna sua prova de conformidade para bancos e parceiros.

• Mantenha conformidade durante todo o ano: varreduras trimestrais, monitoramento do sistema e treinamento da equipe mantêm você alinhado com o padrão até a próxima renovação anual.

Quais são os requisitos do PCI DSS para atestado?

Para assinar um Atestado de Conformidade, uma empresa precisa mostrar que atende aos 12requisitos do PCI DSS. Eles cobrem tudo, desde segurança de rede até treinamento de funcionários. Embora os 12 requisitos sejam amplos, cada um se divide em diversos sub-requisitos, que somam mais de 300 no total. Em um alto nível, eles correspondem a práticas de bom senso para proteger os dados do titular do cartão.

Conheça os 12 requisitos:

• Firewalls: mantenha fortes defesas de rede para manter o tráfego não autorizado longe dos dados do titular do cartão.

• Sem padrões: altere as senhas e configurações fornecidas pelo fornecedor.

• Armazenamento de dados: armazene dados do titular do cartão apenas se for absolutamente necessário e torne-os ilegíveis por meio de criptografia ou tokenização. Nunca armazene dados confidenciais, como códigos de valor de verificação do cartão (CVV).

• Criptografia em trânsito: proteja dados do cartão à medida que eles se movem por redes abertas usando criptografia forte, por exemplo, Segurança da Camada de Transporte (TLS).

• Defesas de malware: mantenha o software antivírus e antimalware ativo e atualizado em todos os sistemas.

• Gerenciamento de correção: aplique atualizações de segurança imediatamente e siga as práticas seguras de desenvolvimento para qualquer código personalizado.

• Controle de acesso: limite o acesso aos dados estritamente às pessoas que precisam deles para seus trabalhos.

• Autenticação de usuário: dê a cada usuário um ID exclusivo, imponha senhas fortes e exija autenticação multifator, quando aplicável.

• Proteções físicas: restrinja o acesso físico a servidores, terminais e áreas de armazenamento que armazenam dados de cartão.

• Login e monitoramento: rastreie e revise a atividade em sistemas que interagem com dados do cartão.

• Testes: execute verificações regulares, testes de penetração e verificações do sistema para confirmar se as defesas estão funcionando.

• Políticas e treinamento: documente as políticas de segurança, mantenha-as atualizadas e treine os funcionários para segui-las.

Nem todos os requisitos se aplicam a todos os ambientes. As empresas que nunca armazenam dados de cartão, por exemplo, podem marcar os controles de armazenamento como "não aplicáveis". Mas as organizações normalmente precisam abordar todos os 12 de alguma forma. O PCI DSS v4.0.1, a versão mais recente, enfatiza a flexibilidade, mantendo esses fundamentos intactos.

Que tipos de atestado PCI existem?

A maneira como você valida sua conformidade com PCI depende do seu volume de transação e função na cadeia de pagamento. Existem duas rotas principais: auditoria SAQ e QSA. As regras do PCI determinam qual delas se aplica à sua empresa.

SAQ

As pequenas e médias empresas, classificadas como comerciantes de Nível 2 a Nível 4 de acordo com os padrões PCI, preenchem os SAQs. Seu nível de comerciante depende principalmente de quantas transações com cartão você processa a cada ano: o nível 1 é para as maiores empresas, enquanto os níveis 2 a 4 se aplicam a empresas que lidam com menos transações. O SAQ é um conjunto padronizado de perguntas objetivas que cobrem os requisitos PCI, com versões específicas para diferentes configurações de pagamento (por exemplo, SAQ A para e-commerces totalmente terceirizados e SAQ D para empresas que armazenam dados de cartão). Você seleciona o SAQ correto estabelecido em como lida com os dados do titular do cartão. Depois de concluído, um executivo assina o formulário de Atestado de Conformidade para certificar que as respostas são precisas.

Auditoria QSA

Os comerciantes de nível 1 e os grandes provedores de serviços estão sujeitos a auditorias conduzidas pela QSA. O avaliador analisa sistemas, políticas e controles em detalhes e, em seguida, produz um ROC e AOC. O AOC, neste caso, inclui a assinatura do QSA para confirmar que uma revisão independente foi realizada.

Os provedores de serviços têm seus próprios níveis e geralmente têm requisitos mais rígidos do que os comerciantes. Em todos os casos, o produto final é o mesmo: um AOC que documenta como a avaliação foi feita e quem a verificou.

Como você preenche o formulário de Atestado de Conformidade PCI?

No momento em que você chegar ao Atestado de Conformidade, o trabalho duro já está feito. O formulário é um registro de sua avaliação, não a avaliação em si. Precisão e clareza são importantes aqui, pois este é o documento que você compartilhará com bancos ou parceiros. Veja como completá-lo:

• Comece com o formulário correto: o Conselho de Normas de Segurança PCI publica diferentes modelos de AOC para comerciantes e provedores de serviços e para avaliações SAQ-estabelecido e auditorias lideradas por QSA. Usar o errado pode causar atrasos.

• Preencha detalhes da empresa: insira informações empresariais, detalhes de contato e a data da sua avaliação. Isso vincula o atestado à sua organização.

• Descreva seu ambiente de dados do titular do cartão: observe os canais de pagamento que você usa, quais sistemas e locais estão no escopo e quais provedores terceirizados estão envolvidos. Seja preciso. Esta seção define os limites de sua conformidade.

• Resuma a conformidade: o formulário lista as 12 áreas de requisitos do PCI DSS. Marque cada um como "em vigor", "não em vigor" ou "não aplicável". Idealmente, tudo está no lugar no momento em que você assina.

• Assine e envie: um executivo sempre assina o AOC e um QSA adiciona sua assinatura para auditorias de Nível 1. Se algum requisito não for atendido, inclua um plano de ação documentado para remediação.

Assim que o AOC estiver concluído, revise-o cuidadosamente, envie-o ao seu adquirente e mantenha uma cópia em arquivo.

Quais são os principais benefícios do atestado PCI?

O atestado PCI confirma que sua empresa atendeu ao padrão de segurança que as bandeiras de cartão esperam. Essa confirmação traz vantagens como defesas mais fortes contra violações, maior confiança dos clientes e menos barreiras quando você trabalha com parceiros.

Veja mais detalhadamente como o atestado PCI pode beneficiar sua empresa:

• Confiança dos clientes: concluir o atestado mostra que você leva proteção de dados a sério, o que tranquiliza os clientes e parceiros que confiam em você para proteger dados do cartão.

• Menor risco: seguir a estrutura PCI reduz as chances de uma violação dispendiosa, aplicando controles como criptografia, monitoramento e testes regulares.

• Menores penalidades: o não cumprimento pode levar a multas e responsabilidade após uma violação. Um AOC ajuda a demonstrar due diligence e pode limitar a exposição.

• Acesso a mais parceiros: alguns parceiros exigem prova de conformidade com PCI para fazer negócios. Ter um AOC pronto remove barreiras e pode até criar novas oportunidades.

• Menores escopos de conformidade (com o provedor certo): usando um provedor de serviços de Nível 1 como aStripe significa que dados confidenciais geralmente nunca entram em contato com seus sistemas. Isso simplifica suas próprias obrigações e facilita o processo de atestado.

Quais desafios as empresas enfrentam com o atestado PCI?

Obter o atestado PCI requer tempo, coordenação e uma compreensão clara do padrão.

Os principais obstáculos se enquadram em algumas categorias:

• Definir escopo: uma das etapas mais difíceis é mapear exatamente onde os dados do titular do cartão fluem. Perca um banco de dados ou backup e você corre o risco de deixar parte do seu ambiente desprotegido. Erros de escopo também fazem com que você escolha o SAQ errado, o que pode invalidar seu atestado.

• Complexidade e crescimento: o PCI DSS contém mais de 300 controles em 12 requisitos. Para equipes menores, isso pode parecer esmagador. Enquanto isso, as empresas maiores precisam coordenar mudanças em muitos departamentos e sistemas. Não importa o tamanho da empresa, a coleta de documentação e comprovante leva tempo.

• Manter a conformidade: tratar o atestado PCI como um exercício anual pode ser arriscado. Os controles podem sair do lugar e novos sistemas podem entrar em lançamento sem as devidas proteções. O PCI DSS v4.0.1 pressiona pelo monitoramento contínuo para combater essa abordagem de "caixa de seleção".

• Mudança de requisitos: os padrões mudam. O PCI DSS v4.0.1 introduziu novas regras sobre autenticação, teste e análise de risco. As empresas precisam se manter atualizadas e se adaptar rapidamente quando os requisitos mudam.

• Precisão e honestidade: o atestado é uma declaração fiscal. Respostas incompletas ou imprecisas, ou encobrir controles de compensação, podem voltar para assombrá-lo se ocorrer uma violação.

• Custo: auditorias independentes, ferramentas de segurança, varreduras e tempo da equipe se somam. Essas despesas podem parecer pesadas para pequenas empresas, embora o impacto financeiro da não conformidade seja muito maior.

Esses desafios podem ser resolvidos com planejamento, o conhecimento adequado e, em muitos casos, os parceiros certos.

Como o Stripe Payments pode ajudar

O Stripe Payments oferece uma solução de pagamento global e unificada que auxilia qualquer empresa, desde startups em crescimento até grandes corporações, a aceitar pagamentos online, presenciais e internacionais.

O Stripe Payments pode ajudar você a:

• Otimizar o checkout: ofereça uma experiência fluida ao cliente e economize milhares de horas de desenvolvimento com interfaces de pagamento prontas, suporte a mais de 125 formas de pagamento e o Link, a carteira digital criada pela Stripe.

• Expandir rapidamente para novos mercados: alcance clientes em todo o mundo e reduza custos e complexidade na gestão de múltiplas moedas com opções de pagamento transfronteiriças, disponíveis em 195 países e mais de 135 moedas.

• Unificar pagamentos físicos e digitais: crie uma experiência de comércio integrada entre canais online e presenciais, personalizando interações, incentivando fidelidade e aumentando a receita.

• Melhorar o desempenho dos pagamentos: aumente a taxa de aprovação e reduza perdas com ferramentas antifraude sem código, além de recursos avançados de otimização.

• Agir com rapidez em uma plataforma confiável e escalável: apoie-se em uma infraestrutura desenhada para crescer com sua empresa, garantindo 99,999% de disponibilidade histórica e confiabilidade de referência no setor.

Saiba mais sobre como o Stripe Payments pode impulsionar seus pagamentos online e presenciais, ou comece já.