O ambiente de dados de titulares de cartão (CDE) se refere aos mecanismos que processam, transmitem ou armazenam dados de titulares de cartão dentro de uma empresa. Especificamente, isso inclui todos os componentes de sistema diretamente envolvidos no tratamento de dados de titulares de cartão, que podem consistir em software, hardware e outros procedimentos ou políticas que afetem a segurança das transações e dos dados de cartão de crédito.

Abaixo, abordaremos o que você deve saber sobre o CDE: qual sua função nos pagamentos, como ele funciona e como as empresas podem cultivar um ambiente de pagamentos forte, seguro e confiável.

Neste artigo:

• Qual a função do CDE no setor de cartões de pagamento?
  
• Componentes, requisitos e tipos de dados dentro do CDE
  
• Requisitos do PCI DSS para um CDE
  
• Como criar e manter um CDE seguro
  
• Como lidar com uma violação de CDE
  

Qual a função do CDE no setor de cartões de pagamento?

O CDE é a infraestrutura na qual os dados dos cartões de pagamento são processados, armazenados ou transmitidos dentro de uma empresa. Esse ambiente inclui todos os sistemas técnicos e operacionais que lidam com dados de cartões de pagamento. Aqui está uma visão geral de algumas das funções importantes que o CDE oferece dentro do ecossistema de pagamentos:

• Proteção dos dados de titulares de cartão: as empresas usam o CDE para proteger os dados de pagamento dos clientes contra acessos não autorizados e violações de dados. Em 2021, ocorreram mais de 4.100 dessas violações, de acordo com um relatório da Flashpoint and Risk Based Security. Ter um ambiente dedicado permite que as empresas concentrem as medidas de segurança onde elas são mais necessárias.

• Conformidade com normas: as entidades que processam dados de titulares de cartão devem aderir ao Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS). É no CDE que elas concentram as iniciativas de conformidade para cumprir essas normas.

• Mitigação de riscos: o CDE ajuda as empresas a identificar e mitigar os riscos associados aos dados de cartões de pagamento. Considerando as possíveis repercussões de um vazamento de dados, proteger esses dados é importante. Por exemplo, em 2013, uma grande violação de cartões de crédito na Target resultou em mais de US$ 290 milhões em despesas acumuladas e na queda nos preços das ações.

• Confiança do cliente: Um CDE seguro pode aumentar a confiança do cliente, ao demonstrar que seus dados de pagamento estão protegidos.

• Manutenção da integridade das transações: o CDE assegura a segurança e precisão das transações, mantendo a integridade do processo de pagamentos.

• Prevenção de consequências jurídicas e financeiras: as violações de dados podem levar a ações jurídicas e perdas financeiras significativas. As empresas usam o CDE para se proteger contra essas consequências.

Uma empresa que lida com dados de cartões de pagamento sem uma estratégia de CDE eficaz coloca em risco sua saúde financeira e reputação. Veja a seguir como desenvolver um plano criterioso para minimizar riscos e maximizar benefícios.

Componentes, requisitos e tipos de dados dentro do CDE

Dentro de um CDE, vários componentes interagem para gerenciar os dados confidenciais de cartão de pagamento. Veja a seguir esses componentes, os requisitos para protegê-los e os tipos de dados que eles processam:

Componentes

• Hardware de computação: inclui servidores e estações de trabalho que executam o software de processamento de pagamentos. Ele também abrange componentes de rede, como roteadores, switches e firewalls, que direcionam e protegem os dados que percorrem as redes.
  
• Terminais de pagamento: são dispositivos físicos nos pontos de venda onde os cartões de pagamento dos clientes são passados, inseridos ou aproximados.
  
• Sistemas de armazenamento: as áreas onde os dados de cartões de pagamento são mantidos como arquivos digitais, bancos de dados ou backups. Essa categoria inclui mídias removíveis, como pen drives ou fitas de backup.
  
• Aplicativos: o software que processa pagamentos, incluindo sistemas de ponto de venda e gateways de pagamentos.
  
• Controles de acesso: os sistemas projetados para autenticar a identidade dos usuários que acessam o CDE, tanto o acesso físico a áreas seguras quanto o acesso digital a sistemas de dados.
  

Requisitos

• Criptografia de dados: os dados de cartões de pagamento devem ser criptografados usando padrões criptográficos sólidos, especialmente quando transmitidos por redes abertas ou públicas.
  
• Gerenciamento de acesso: somente pessoas autorizadas devem ter acesso ao CDE, e suas atividades devem ser registradas em log e monitoradas.
  
• Segurança física: o acesso físico ao CDE deve ser controlado e monitorado, com pontos de entrada protegidos contra acesso não autorizado.
  
• Testes regulares: Verificações e testes de penetração regulares são necessários para identificar e corrigir vulnerabilidades.
  
• Políticas de retenção e descarte de dados: as empresas devem ter políticas claras em vigor que regulem o tempo de retenção dos dados de titulares de cartão e os procedimentos para descartá-los com segurança quando não forem mais necessários.
  
• Gestão de fornecedores: caso terceiros tenham acesso ao CDE, eles também devem cumprir esses requisitos de segurança.
  

Tipos de dados

• Dados do titular do cartão: incluem nome do titular, número, data de validade e código de serviço do cartão e normalmente são encontrados na frente dos cartões de pagamento.
  
• Dados de autenticação sigilosos: são elementos como o código de segurança do cartão (o valor de verificação do cartão [CVV] ou CVV2), números de identificação pessoal (PINs) e dados de tarja magnética ou chip, usados para autenticar titulares de cartão e autorizar transações.
  

O CDE deve ser uma questão de alta prioridade para qualquer empresa que lida com pagamentos de clientes, independentemente do setor, volume de pagamentos ou outros fatores de risco. As empresas que entendem os componentes do seu CDE e cumprem os requisitos de segurança podem proteger efetivamente os dados dos titulares de cartão contra violações e uso indevido.

Requisitos do PCI DSS para um CDE

O PCI DSS fornece diretrizes para proteger dados de cartão de pagamento dentro do CDE. Esses padrões abrangentes e detalhados foram criados para proteger os dados dos titulares de cartão desde o momento em que um cartão é usado até o final do processo de transação e em etapas posteriores. Veja a seguir uma descrição detalhada dos principais requisitos:

• Instalar e manter a configuração do firewall: os firewalls atuam como barreiras de proteção para o CDE. Eles devem ser configurados e gerenciados corretamente para controlar o tráfego de rede de entrada e saída com base em um conjunto de regras aplicadas, garantindo o bloqueio de acessos não autorizados.

• Alterar valores padrão de senhas de sistema e parâmetros de segurança definidos pelos fornecedores: normalmente, os sistemas vêm com senhas e configurações padrão que podem ser facilmente exploradas. As empresas devem alterar essas configurações padrão para senhas e configurações exclusivas e complexas antes que os sistemas sejam conectados.

• Proteger os dados armazenados de titulares de cartão: se uma empresa armazena dados de titulares de cartão, eles precisam ser criptografados usando métodos aceitos. O acesso a esses dados deve ser feito com base na necessidade de conhecimento, com políticas rígidas de retenção de dados determinando o período de retenção de dados e procedimentos claros para exclusão.

• Criptografar a transmissão de dados de titulares de cartão através de redes públicas: como os dados podem ser interceptados durante a transmissão, eles devem ser criptografados usando métodos de criptografia robustos sempre que forem enviados por redes de fácil acesso, como a internet.

• Usar e atualizar regularmente o software antivírus: o software antivírus ajuda a proteger os sistemas contra programas maliciosos. Ele deve ser usado em todos os sistemas normalmente visados por malware e atualizações regulares são fundamentais.

• Desenvolver e manter sistemas e aplicativos seguros: as empresas devem proteger todos os componentes do sistema contra vulnerabilidades instalando correções de segurança. Quando as empresas desenvolvem aplicativos, a segurança deve ser uma consideração prioritária.

• Fornecer acesso aos dados de titulares de cartão com base na estrita necessidade de conhecimento: as empresas devem aplicar o princípio do menor privilégio, no qual os indivíduos têm acesso apenas aos dados, recursos e funções necessários para executar seus trabalhos.

• Atribuir um ID único a cada pessoa com acesso ao computador: isso permite que as ações realizadas com dados e sistemas importantes sejam associadas a indivíduos, o que ajuda a determinar responsabilidades.

• Restringir o acesso físico aos dados de titulares do cartão: proteções físicas devem impedir que pessoas não autorizadas acessem os sistemas e o armazenamento de dados. Isso inclui bloqueios, controles de acesso e mecanismos de monitoramento.

• Rastrear e monitorar todo o acesso a recursos de rede e dados de titulares de cartão: os mecanismos de registro em log e a capacidade de rastrear as atividades dos usuários são importantes para detectar, prevenir e responder a violações.

• Testar regularmente sistemas e processos de segurança: os sistemas e processos de segurança devem ser testados regularmente para garantir que sejam configurados corretamente e eficazes na proteção dos dados de titulares de cartão.

• Manter uma política que aborde a segurança dos dados: as empresas devem estabelecer e manter uma política formal que aborde tecnologia, programas de conscientização e segurança dos dados com uma estrutura de gerenciamento clara. Essa política deve ser comunicada a todos os funcionários e prestadores de serviços.

O cumprimento desses requisitos ajuda a criar um ambiente seguro para o tratamento de dados de titulares de cartão, o que protege as empresas e seus clientes contra violações de dados e mantém a confiança e a integridade. Ao manter a conformidade com o PCI DSS, as empresas demonstram seu compromisso com a segurança e sustentam a meta mais ampla de criar um ambiente de pagamentos seguro.

Como criar e manter um CDE seguro

O que fazer para criar e manter um CDE robusto? Veja a seguir um resumo do processo:

• Defina o escopo do CDE: identifique todos os sistemas, pessoas e processos que armazenam, processam ou transmitem dados de titulares de cartão. Mapeie os fluxos de dados para garantir que nenhuma parte do ambiente seja negligenciada.

• Segmente a rede: isole o CDE de outros recursos de rede para limitar o acesso. Dessa forma, você reduz o número de sistemas que podem interagir com o CDE, minimizando assim os possíveis vetores de ataque.

• Proteja os dados com criptografia: use criptografia forte para armazenar e transmitir dados de titulares de cartão. A criptografia funciona como um bloqueio, tornando os dados ilegíveis para partes não autorizadas que não têm a chave correta.

• Controle de acesso: assegure que somente pessoas autorizadas tenham acesso ao CDE. Isso é feito por meio da verificação de identidade adequada, usando IDs exclusivos e métodos de autenticação forte.

• Segurança física: proteja os locais físicos do CDE (por exemplo, salas trancadas, câmeras de vigilância e sistemas de controle de acesso) contra entrada não autorizada.

• Mantenha sistemas de segurança: verifique se os aplicativos de segurança, como firewalls, software antivírus e sistemas de detecção de intrusão, estão atualizados para proteger contra novas ameaças.

• Desenvolva e aplique políticas de segurança: crie políticas claras que definam expectativas de segurança e treine a equipe de forma adequada. Defina procedimentos para operações diárias que incluam instruções detalhadas sobre como responder a incidentes de segurança e como realizar auditorias regulares.

• Monitore e registre em log todas as atividades: implemente mecanismos de registro em log para registrar quem acessou o CDE, o que fez e quando o fez. Analise regularmente os logs para verificar se há atividades suspeitas.

• Teste as medidas de segurança: realize regularmente testes, como verificações de vulnerabilidade e testes de penetração, para localizar e corrigir falhas de segurança.

• Responda a violações: crie um plano de resposta a incidentes que descreva como responder a uma violação de segurança. Ele deve incluir estratégias de contenção, planos de comunicação e medidas para prevenir novos incidentes.

• Revisão e melhoria regulares: a segurança é um processo contínuo. Para se adaptar a novas ameaças, revise e atualize regularmente controles, políticas e procedimentos de segurança.

• Due diligence de fornecedores: se terceiros tiverem acesso ao CDE, realize uma triagem minuciosa e assegure que eles cumpram os requisitos de segurança.

Um CDE seguro requer supervisão contínua, atualizações regulares das defesas e uma cultura de conscientização de segurança em toda a empresa.

Como gerenciar uma violação de CDE

Mesmo com o planejamento e a manutenção mais cuidadosos, a ocorrência de violações é praticamente inevitável. A natureza da fraude muda constantemente e mesmo as melhores abordagens de CDE terão vulnerabilidades. Nenhuma estratégia de CDE está completa sem um plano robusto para lidar com violações quando elas ocorrem.

• Resposta e contenção imediatas: detecte e contenha imediatamente a violação de dados. Isso significa isolar os sistemas afetados para evitar mais perda de dados. Por exemplo, se a violação estiver em um servidor específico, esse servidor deverá ser desconectado da rede.

• Avaliação e análise da violação: realize uma investigação completa para determinar o escopo da violação. Isso inclui identificar quais dados foram acessados, como a violação ocorreu e a duração da exposição. Ferramentas e técnicas forenses podem ajudar nessa análise.

• Notificação das partes relevantes: a transparência é fundamental no gerenciamento de uma violação do CDE. A empresa deve notificar todos os clientes afetados e informá-los sobre a natureza da violação, quais dados foram comprometidos e quais medidas a empresa está tomando para corrigi-la. Além disso, os requisitos jurídicos podem determinar que uma empresa notifique os órgãos reguladores sobre a violação.

• Envolva especialistas jurídicos e de conformidade: a assessoria jurídica deve avaliar as implicações da violação e verificar a conformidade com todas as leis e regulamentos relevantes. Trabalhar com especialistas é particularmente importante porque as leis de violação de dados variam entre as regiões e setores.

• Reforce as medidas de segurança: com base nas conclusões da investigação, a empresa deve implementar medidas de segurança aprimoradas para evitar violações. Essas medidas podem incluir a atualização de software, o reforço de firewalls e o aprimoramento dos métodos de criptografia.

• Treine e conscientize os funcionários: muitas vezes, as violações ocorrem devido a erro humano. É importante educar os funcionários sobre as práticas recomendadas de segurança de dados e a importância de proteger os dados dos clientes.

• Gestão de relações públicas: a empresa deve se comunicar abertamente sobre as medidas que está tomando para resolver a violação e prevenir novos incidentes.

• Monitoramento contínuo: depois de abordar os efeitos imediatos da violação, as empresas devem monitorar continuamente os sistemas para detectar imediatamente qualquer atividade incomum.

• Revise e atualize o plano de resposta a incidentes: após a violação, as empresas devem revisar seu plano de resposta a incidentes e atualizá-lo com base nas lições aprendidas. Assim, ficam mais preparadas para o caso de novos incidentes.

• Suporte e assistência ao cliente: as empresas devem fornecer suporte aos clientes afetados, o que pode incluir serviços de monitoramento de crédito ou uma linha direta para consultas gratuitas.

Durante todo esse processo, as empresas devem se concentrar na precisão e nas responsabilidades, tomando medidas proativas para reconstruir a confiança e garantir a segurança dos dados dos clientes.