Para armazenar informações do cartão do cliente de forma legal e segura, as empresas devem usar criptografia avançada ou tokenização para proteger os dados do titular do cartão, garantindo que informações confidenciais nunca sejam retidas após a autorização. Esse processo é rigorosamente regulamentado globalmente pelo Payment Card Industry Data Security Standard (PCI DSS), um conjunto obrigatório de estruturas de segurança estabelecido pelas principais bandeiras de cartão para evitar violações de dados e fraude financeira.

A fraude de cartão de crédito é um problema sério e prevalente: nos Estados Unidos, por exemplo, 61% dos titulares de cartão de crédito foram vítimas de fraude. Para as empresas, o armazenamento seguro de dados de cartão de clientes é uma proteção importante contra fraudes.

O que vamos abordar neste artigo?

• Como funciona o armazenamento de cartão?
  
• O que é conformidade com PCI DSS?
  
• Requisitos PCI para o armazenamento de cartão
  
• Práticas recomendadas para o armazenamento de cartão
  
• Desafios e soluções para armazenamento de cartão
  
• Como a Stripe pode ajudar
  

Como funciona o armazenamento de cartões?

O armazenamento de cartões refere-se à retenção, por parte das empresas, das informações do cartão de pagamento do cliente, incluindo números de cartão de crédito e cartão de débito e detalhes de identificação associados. As quatro categorias de dados que as empresas normalmente armazenam são o nome do titular do cartão, o número da conta principal (PAN), a validade e o código de serviço.

As empresas podem escolher entre vários sistemas para o armazenamento de cartões, que normalmente envolvem componentes como sistemas dedicados de armazenamento de dados, técnicas de criptografia e tokenização, além de ferramentas de prevenção contra perda de dados (DLP).

O gerenciamento interno das credenciais de pagamento expõe a organização a graves responsabilidades de âmbito jurídico, auditorias de segurança caras e possíveis danos à marca em caso de violação. Por causa disso, o comércio digital moderno isola dados financeiros confidenciais usando uma estrutura de três partes que afasta o risco da rede interna da empresa:

• Interceptação: Campos de texto seguros (como iFrames) são incorporados diretamente na página de checkout, interceptando os dados do cartão em formato bruto no momento da inserção, ignorando totalmente os servidores da web da empresa.

• Tokenização: O processador de pagamentos bloqueia os dados do cartão reais dentro de um cofre digital externo e altamente fortificado e gera uma string de espaço reservado aleatória e impossível de ser hackeada chamada de token.

• Armazenamento: A empresa salva apenas esse token inofensivo em seu banco de dados de clientes, enviando-o de volta ao operador para autorizar transações futuras com segurança, sem nunca precisar lidar com dados financeiros brutos.

O que é conformidade PCI DSS

O PCI DSS é um conjunto de padrões de segurança que regulamentam como as empresas devem aceitar, processar, armazenar e transmitir informações de cartão de crédito. Esse padrão protege os dados do titular do cartão contra fraude e roubo, e qualquer organização que lide com transações de cartão de crédito deve aderir a ele. O PCI DSS é gerenciado pelo Payment Card Industry Security Standards Council, fundado pelas principais empresas de cartão de crédito, como Visa, Mastercard, American Express, Discover e JCB. Manter a conformidade com PCI DSS ajuda as empresas a reduzir o risco de violações de dados e a garantir que suas transações de cartão sejam seguras.

Rigorosamente falando, o PCI DSS não é uma lei. Não existem requisitos legais para a conformidade. Em vez disso, é um padrão de segurança desenvolvido pela indústria. No entanto, considerá-lo puramente uma recomendação voluntária da indústria é um erro grave. O PCI DSS funciona como um requisito contratual obrigatório.

Os requisitos legais privados são escritos diretamente nos contratos do comerciante e nos Termos de Serviço corporativos que toda empresa deve assinar com os processadores de pagamentos, os bancos adquirentes e as redes de comerciantes antes que possam aceitar pagamentos eletrônicos. Se quiser processar cartões de crédito, você tem a obrigação contratual de manter esses padrões.

Requisitos de PCI para armazenamento de cartões

O PCI DSS detalha os requisitos para empresas em relação ao armazenamento de cartões, como:

• Limite o armazenamento de dados: Armazene apenas os dados do titular do cartão necessários para as necessidades da empresa. Não armazene dados de autenticação confidenciais após a autorização, mesmo se estiverem criptografados. Isso inclui dados como a faixa magnética completa, o código de validação do cartão ou o número de identificação pessoal (PIN)/bloco PIN.

• Proteja dados armazenados: Criptografe todos os dados armazenados do titular do cartão, incluindo o PAN, que deve se tornar ilegível em qualquer lugar em que for armazenado usando métodos como a criptografia.

• Limite o acesso a dados: O acesso aos dados do titular do cartão deve ser limitado aos indivíduos cujos trabalhos exigem esse acesso. Implemente uma política de necessidade de conhecimento que restrinja o acesso.

• Crie IDs exclusivos: Atribua um ID exclusivo a cada pessoa com acesso no computador aos dados do titular do cartão. Após uma violação de dados, isso ajuda a rastrear quem acessou os dados.

• Proteja localizações físicas: Proteja a localização física onde os dados do titular do cartão são armazenados. Isso inclui medidas como vigilância, acesso restrito às áreas de armazenamento de dados e sistemas de armazenamento seguros.

• Estabeleça políticas de retenção e de descarte: Desenvolva uma política de retenção de dados que exclua dados do titular do cartão assim que não forem mais necessários. Exclua esse tipo de dados e certifique-se de que sejam irrecuperáveis.

• Use chaves de criptografia: Gerencie e implemente o uso de criptografia forte e protocolos de segurança, como Secure Sockets Layer (SSL)/Transport Layer Security (TLS) ou Internet Protocol Security (IPSEC) para proteger dados confidenciais do titular do cartão durante a transmissão por redes abertas e públicas.

Práticas recomendadas para armazenamento de cartões

As empresas podem adotar várias medidas para aderir aos requisitos de conformidade PCI. Essas práticas recomendadas ajudam a proteger os dados dos cartões dos clientes e manter a conformidade com PCI de forma a proteger a experiência do usuário:

• Minimize o armazenamento de dados do titular do cartão: Armazene apenas as informações necessárias do titular do cartão para cobrança recorrente e evite reter dados confidenciais a menos que seja absolutamente necessário. Use uma API especializada para pagamentos de clientes sem armazenar cartões. Reduzir a quantidade de dados armazenados pode minimizar o risco e simplificar os esforços de conformidade.

• Adote um padrão de criptografia avançado (AES): Use AES com uma chave de 256 bits para criptografia ao armazenar números de cartão de crédito em um banco de dados. Essa metodologia se alinha às práticas recomendadas atuais e supera os requisitos mínimos de conformidade.

• Implemente a criptografia de ponta a ponta (E2EE): Além das práticas de criptografia básicas, implemente a E2EE para proteger os dados do titular do cartão a partir do ponto de captura até que alcancem o ambiente de processamento seguro.

• Melhore os mecanismos de controle de acesso: Use autenticação multifator e controles de acesso baseados na função granulares para garantir que apenas funcionários autorizados possam acessar dados confidenciais do titular do cartão. Tenha uma trilha de auditoria clara para todo o acesso e para as ações tomadas.

• Integre ferramentas de DLP: Implemente estratégias de DLP para monitorar e controlar a transferência de dados, prevenindo a exfiltração de dados não autorizada e garantindo que os dados do titular do cartão não sejam armazenados ou distribuídos indevidamente.

• Realize testes de segurança regulares: Para identificar e remediar proativamente as possíveis vulnerabilidades de segurança, realize testes de penetração sofisticados e avaliações de vulnerabilidade que vão além dos requisitos padrão do PCI DSS. Crie uma lista de verificação de PCI para desenvolvedores.

• Considere usar técnicas de tokenização avançadas: Considere o uso da tokenização dinâmica, na qual os tokens variam a cada transação, para fornecer uma camada extra de segurança e reduzir ainda mais a utilidade dos dados interceptados.

• Use um monitoramento de conformidade automatizado: Use ferramentas automatizadas para monitorar continuamente a conformidade com os padrões PCI DSS e para detectar e corrigir prontamente quaisquer desvios.

• Use uma arquitetura de zero-trust: Adote uma estrutura de segurança zero-trust que presume que todos os usuários, mesmo os que estão dentro da organização, podem comprometer os dados do titular do cartão. Exija verificação rigorosa e princípios de acesso mínimo.

• Explore ferramentas de criptografia resistentes ao quantum: Para se proteger contra ameaças emergentes causadas pela computação quântica, explore a integração de algoritmos criptográficos resistentes ao quantum.

• Desenvolva um plano de resposta: Tenha um plano de resposta a incidentes de segurança. Se ocorrer uma violação de dados, você deverá ser capaz de identificar rapidamente o problema, conter a violação e mitigar qualquer dano em potencial.

Desafios e soluções para armazenamento de cartões

O armazenamento de cartão está intimamente ligado a muitos aspectos da experiência do cliente, como os produtos e serviços são acessados e como a equipe interna gerencia seu engajamento com os dados do cliente. Até os sistemas de armazenamento de cartão mais bem projetados criarão uma quantidade considerável de complexidade. Aqui estão alguns desafios comuns, juntamente com as soluções:

Projetar armazenamento de cartão com escalabilidade para o crescimento de transações

• Desafio: À medida que os volumes de transação crescem, pode ser difícil manter o alto desempenho e a conformidade com PCI. Problemas de escalabilidade têm o potencial de afetar a experiência do cliente e a eficiência operacional.
  
• Solução: Implemente arquiteturas de banco de dados distribuídas que possam lidar com altas taxas de transferência de leitura/gravação, mantendo a consistência dos dados e a conformidade. Use soluções baseadas em nuvem elásticas que possam responder dinamicamente a demandas flutuantes e manter o desempenho sem comprometer a segurança.
  

Modernizar sistemas legados mantendo a conformidade com PCI

• Desafio: Muitas organizações usam sistemas legados que não foram projetados para atender aos padrões PCI DSS. Isso pode criar lacunas na conformidade e na segurança.
  
• Solução: Use camadas de abstração de dados ou arquiteturas orientadas a serviços para encapsular sistemas legados, minimizando o acesso direto aos dados do titular do cartão. Considere substituir ou modernizar os sistemas legados ao longo do tempo usando microsserviços ou contêineres para melhorar a agilidade e a conformidade.
  

Gerenciar dados de cartão internacionais e requisitos de privacidade regionais

• Desafio: Diferentes regiões têm diferentes regulamentos de proteção de dados, e os requisitos de conformidade aumentam para as empresas quando armazenam dados do titular do cartão de forma internacional.
  
• Solução: Implemente soluções de residência de dados que processam e armazenam dados em conformidade com as regulamentações locais. Use o processamento e o armazenamento de dados baseados em localização geográfica para direcionar e armazenar dados automaticamente de acordo com a localização do titular do cartão e em adesão aos requisitos regionais de conformidade.
  

Defender-se contra ameaças de segurança avançadas

• Desafio: Como os invasores estão mudando de tática continuamente, as organizações devem lutar contra ataques cibernéticos cada vez mais sofisticados e ameaças persistentes avançadas (APTs) que podem contornar as medidas de segurança convencionais.
  
• Solução: Adote uma abordagem de segurança em camadas que inclua detecção avançada de ameaças e mecanismos de resposta, como análise comportamental baseada em IA para identificar e mitigar ameaças em tempo real. Atualize regularmente os planos de resposta a incidentes e de recuperação de desastres para lidar com novos tipos de ameaças cibernéticas.
  

Manter a conformidade conforme os padrões PCI DSS mudam

• Desafio: Os padrões PCI DSS e os requisitos regulamentares relacionados mudam continuamente, e manter a conformidade pode ser um desafio constante.
  
• Solução: Estabeleça um programa de monitoramento contínuo de conformidade que use ferramentas de relatórios e de rastreamento de conformidade automatizadas. Participe de fóruns e de colaborações ativas da indústria para se antecipar a padrões emergentes e incorpore as práticas recomendadas à sua estratégia de conformidade.
  

Garantir dados de cartão precisos e consistentes em todos os sistemas

• Desafio: Pode ser difícil garantir a integridade e a consistência dos dados do titular do cartão em uma variedade de sistemas e ambientes de armazenamento, especialmente em arquiteturas distribuídas.
  
• Solução: Implemente estruturas robustas de governança de dados e use ferramentas de gestão de qualidade de dados que mantenham a precisão e a consistência dos dados. Use técnicas de sincronização de dados e replicação que aderem às propriedades de atomicidade, consistência, isolamento e durabilidade (ACID) para manter a integridade dos dados.
  

Como a Stripe pode ajudar

Trabalhar com a Stripe pode ajudar as empresas a reduzir a carga da conformidade com PCI DSS. Ao processar pagamentos por meio da Stripe, as empresas não lidam diretamente com dados confidenciais do cartão. Em vez disso, a Stripe usa uma variedade de recursos avançados de segurança para proteger os dados de pagamento, o que reduz o escopo das responsabilidades de conformidade da empresa. A Stripe é um provedor de serviços com conformidade com PCI de nível 1 certificado, o nível mais alto de conformidade com PCI, e lida com a maior parte das tarefas de segurança dos dados do cartão. Esses recursos da Stripe mantêm os dados do titular do cartão seguros e, ao mesmo tempo, ajudam as empresas a manter a conformidade com PCI:

• Tokenização: O serviço de tokenização da Stripe substitui os dados confidenciais do cartão por identificadores exclusivos (tokens), que podem ser armazenados com segurança e usados em transações sem expor os dados do cartão.

• E2EE: A Stripe criptografa todos os dados confidenciais desde o ponto de captura até o processamento em seu ambiente seguro. Essa criptografia de ponta a ponta minimiza o risco de interceptação de dados durante a transmissão.

• Escalabilidade: A infraestrutura da Stripe se baseia em uma plataforma de nuvem projetada para lidar com grandes volumes de transações sem comprometer o desempenho. As empresas podem crescer suas operações sem se preocupar em manter os padrões de conformidade e segurança.

• Integração com sistemas modernos e legados: A Stripe oferece amplo suporte a interface de programação de aplicativos (API), o que facilita a integração com sistemas modernos e legados. Essa flexibilidade ajuda as empresas a modernizar o processamento de pagamentos sem a necessidade de grandes revisões nos sistemas existentes.

• Monitoramento e atualizações contínuas: A Stripe monitora seus sistemas continuamente em busca de ameaças e atualiza regularmente as medidas de segurança para lidar com vulnerabilidades emergentes. Os recursos de segurança incluem algoritmos de machine learning que detectam e evitam fraudes.

• Conformidade global: A Stripe atua globalmente e pode ajudar as empresas a lidar com as complexidades da residência de dados e da conformidade regional em diferentes países.

• Governança de dados: A infraestrutura da Stripe garante a integridade e a consistência dos dados.

Ao contar com a Stripe para gerenciar a maior parte da responsabilidade sobre armazenamento seguro do cartão, criptografia de dados, conformidade e escalabilidade, as empresas podem dedicar mais tempo às operações principais. Saiba mais sobre os padrões de segurança do Stripe Billing.