// Checklist PCI DSS gratuito
Checklist PCI DSS gratuito para empresas que aceitam cartão
Dezessete perguntas sobre o básico do manuseio de cartões, para empresas que recebem pagamentos presencialmente, online ou por telefone. Cerca de cinco minutos, com relatório e sugestões de correção por e-mail. Por enquanto, o checklist está em inglês.
Se a sua empresa aceita cartão de crédito ou débito, a adquirente ou processadora de pagamentos espera que você siga o PCI DSS, o padrão de segurança das bandeiras de cartão. Para a maioria das pequenas empresas, isso significa um Questionário de Autoavaliação (SAQ) todo ano e, muitas vezes, varreduras externas trimestrais.
O que o checklist cobre
- Escopo e dados de cartão. Todas as formas de aceitar cartão documentadas, nenhum número completo de cartão em papel ou em arquivos, nenhum código de segurança, senha ou dado da tarja guardado após o pagamento, e o SAQ certo preenchido nos últimos 12 meses.
- Rede e sistemas. Maquininhas e sistemas de pagamento numa rede própria, nada como gerenciamento remoto exposto à internet, e as senhas padrão trocadas em todos os dispositivos.
- Controle de acesso. Logins individuais nos sistemas de pagamento, MFA no acesso remoto e administrativo, e acesso removido no dia em que alguém sai.
- Proteção dos dados de cartão. Números de cartão nunca enviados por e-mail, SMS ou chat, antivírus gerenciado nos sistemas do escopo, sistemas de pagamento atualizados, e maquininhas verificadas contra adulteração e chupa-cabras.
- Fornecedores. Contratos por escrito em que os prestadores de serviço assumem a parte deles na responsabilidade do PCI.
- Política, treinamento e resposta. Equipe treinada sobre manuseio de cartões e chupa-cabras na contratação e todo ano, e um plano de incidentes que cobre a suspeita de vazamento de cartões.
Por onde começar
Pelo escopo. Quanto menos sistemas tocam em dados de cartão, menos há para proteger e documentar. Colocar as maquininhas numa rede própria costuma ser o maior ganho isolado.
Depois do checklist
O relatório mostra a sua pontuação e uma sugestão de correção para cada lacuna. Veja como tratamos o PCI DSS nos nossos programas de conformidade. Também trata dados de clientes? Faça o checklist LGPD.
Esta é uma autoavaliação baseada apenas nas suas respostas. A Logos Tech Systems não a conduz nem verifica, e não endossa o relatório a menos que o tenhamos revisado com você numa consultoria.
// Perguntas
Perguntas frequentes
O PCI DSS vale no Brasil?
Sim. O PCI DSS é um padrão global das bandeiras de cartão. Adquirentes e processadoras de pagamento esperam que os estabelecimentos sigam o padrão, no Brasil e em qualquer outro país.
Isto é o mesmo que o meu SAQ?
Não. O SAQ é o formulário oficial do PCI Security Standards Council que a adquirente ou processadora pede. Este checklist é uma verificação rápida que mostra onde você deve ter dificuldade antes de preenchê-lo.
Vocês certificam a conformidade com o PCI?
Não. Estabelecimentos menores fazem a autoavaliação com o SAQ; os maiores são avaliados por um Qualified Security Assessor (QSA). Nós fazemos o trabalho técnico e ajudamos você a responder com precisão.
// Próximo passo
Precisa preencher o SAQ?
Reduzimos o escopo do PCI, protegemos os sistemas que continuam nele e ajudamos você a responder o Questionário de Autoavaliação com precisão.