Como reduzir o âmbito PCI DSS com tokenização

A conformidade PCI DSS não é opcional para qualquer empresa que aceite, processe, armazene ou transmita dados de titulares de cartão. Mas o âmbito do seu programa de conformidade, ou seja, o número de sistemas, processos e pessoas sujeitos aos requisitos PCI, é muito controlável. A forma mais eficaz de reduzir esse âmbito, e consequentemente reduzir custos, complexidade e risco de conformidade, é a tokenização.

Este artigo analisa a mecânica prática da redução do âmbito PCI DSS: o que significa realmente o âmbito, como a tokenização o reduz, o processo passo a passo para implementar a redução de âmbito, como se simplificam os Questionários de Autoavaliação (SAQ) com a tokenização, as poupanças reais em custos e os erros que surpreendem as organizações.

Compreender o Âmbito PCI DSS

O âmbito PCI DSS refere-se ao conjunto de sistemas, redes e processos envolvidos ou ligados à gestão de dados de titulares de cartão. Qualquer sistema que armazene, processe ou transmita dados de cartão está no âmbito. Mas o âmbito não se fica por aí: qualquer sistema ligado a um que esteja no âmbito, ainda que não trate diretamente dados de cartão, pode ser arrastado para o âmbito. A isto chama-se âmbito "ligado" ou "adjacente", e é a principal razão pela qual a conformidade PCI se torna tão dispendiosa.

Considere uma arquitetura de e-commerce típica: o servidor web que aloja a página de checkout processa dados de cartão, pelo que está no âmbito. O servidor de aplicações que gere a lógica transacional está no âmbito. O servidor de base de dados que armazena os registos de transações, se esses registos incluírem algum elemento de dados de titulares, está no âmbito. O balanceador de carga, a firewall, o servidor DNS, a infraestrutura de logging, as ferramentas de monitorização: tudo o que se encontre no mesmo segmento de rede que os sistemas no âmbito poderá estar também, dependendo da sua arquitetura.

O resultado é um efeito em cascata. O que começa como "só precisamos de proteger a página de checkout" expande-se rapidamente para "precisamos de proteger, monitorizar, verificar e documentar dezenas de sistemas interligados". Cada sistema no âmbito deve cumprir o conjunto completo de controlos PCI DSS. O custo da conformidade cresce aproximadamente de forma linear com o número de sistemas no âmbito.

Como a Tokenização Reduz o Âmbito

A tokenização interrompe a cascata de âmbito ao eliminar completamente os dados de titulares de cartão do seu ambiente. Quando encaminha os dados de cartão através de um PCI Proxy, um serviço de tokenização gerido por um fornecedor certificado PCI DSS Level 1, o número do cartão é intercetado, encriptado e armazenado no vault do fornecedor antes de chegar aos seus servidores. Os seus sistemas recebem apenas um token: um valor de referência não sensível que não pode ser usado para recuperar o número do cartão original.

Uma vez que os tokens não são dados de titulares de cartão segundo as definições do PCI DSS, os sistemas que armazenam, processam e transmitem tokens não estão no âmbito. O seu servidor de aplicações, base de dados, logs, backups e infraestrutura de analítica trabalham exclusivamente com tokens. Não têm acesso aos números reais de cartão. E porque não têm esse acesso, estão fora do âmbito do PCI DSS.

Processo de Redução de Âmbito Passo a Passo

Reduzir o âmbito PCI com tokenização não é uma operação com um clique: exige planeamento e execução cuidadosos. Este é o processo que as empresas europeias seguem tipicamente, com base na nossa experiência a trabalhar com comerciantes, PSP e call centers em todo o continente.

Simplificação do SAQ Explicada

Um dos benefícios mais tangíveis da redução de âmbito é a simplificação do SAQ. Os Questionários de Autoavaliação PCI DSS estão disponíveis em vários tipos, cada um correspondente a um nível diferente de exposição a dados de cartão. O questionário que tem de preencher determina o número de controlos de segurança a implementar e validar.

SAQ D é o questionário mais completo, com mais de 300 requisitos individuais. Aplica-se a qualquer comerciante ou fornecedor de serviços que armazene, processe ou transmita dados de titulares na sua própria infraestrutura. Para a maioria das empresas de tamanho médio, o SAQ D significa um projeto de conformidade de 6-12 meses e entre 100.000 e 250.000 € de custos anuais.

SAQ A-EP aplica-se aos comerciantes de e-commerce que não processam diretamente os dados de cartão mas cujo site controla como os dados são redirecionados para um processador terceiro. Tem aproximadamente 140 requisitos, menos de metade do SAQ D. Esta é a zona de aterragem típica para as empresas que usam um PCI Proxy com tokenização do lado do cliente.

SAQ A é o questionário mais simples, com aproximadamente 22 requisitos. Aplica-se aos comerciantes que externalizaram completamente todo o processamento de pagamentos e a gestão de dados de cartão a um terceiro em conformidade com o PCI. Se a sua integração PCI Proxy utilizar uma abordagem de iframe ou campo alojado, poderá qualificar-se para o SAQ A. Este é o padrão de ouro da redução de âmbito.

Exemplos Reais de Poupança em Custos

Erros Comuns a Evitar

A redução de âmbito através de tokenização é poderosa, mas exige uma execução cuidadosa. Estes são os erros mais comuns que as organizações cometem ao implementar uma estratégia de redução de âmbito baseada em tokenização.

Mapeamento incompleto dos fluxos de dados. Se um fluxo de dados escapar ao seu controlo — um endpoint API legado que ainda aceita números de cartão em texto claro, um ambiente de testes com dados de cartão de produção, um ficheiro de log que captura os corpos dos pedidos — o seu pedido de redução de âmbito não resistirá à revisão do QSA. Seja exaustivo ao mapear cada ponto onde os dados de cartão entram, transitam ou são armazenados.

Não eliminar os dados históricos. Tokenizar as novas transações é apenas metade do trabalho. Se a sua base de dados ainda contiver números de cartão históricos, esses registos mantêm a base de dados — e cada sistema ligado — no âmbito. Deve eliminar os dados históricos de cartão ou re-tokenizá-los.

Confusão acerca do formato dos tokens. Nem todos os tokens proporcionam a mesma redução de âmbito. Se o seu token preservar o formato completo do PAN, alguns QSA poderão argumentar que os sistemas que gerem esses tokens necessitam de controlos adicionais. Discuta o formato dos tokens com o seu fornecedor PCI Proxy e com o seu QSA antes da implementação.

Ignorar o âmbito ligado. Mesmo após a tokenização, os sistemas que gerem o intercâmbio de tokens podem ser considerados "ligados" e parcialmente no âmbito. Certifique-se de compreender quais os componentes que permanecem no âmbito e implemente os controlos necessários para esses sistemas específicos.

Descurar a monitorização contínua. A redução de âmbito não é um evento único. Novas funcionalidades, integrações e requisitos de negócio podem reintroduzir inadvertidamente dados de cartão no seu ambiente. Implemente a monitorização contínua para detetar qualquer dado de cartão que surja fora do fluxo tokenizado.

Conclusão

A redução do âmbito PCI DSS através de tokenização é o passo único mais impactante que uma empresa europeia pode dar para reduzir os custos de conformidade, diminuir a complexidade da auditoria e minimizar o risco de segurança. A matemática é simples: menos sistemas no âmbito significa menos controlos, menos testes, menos horas de auditor e menos despesa. Para a maioria das organizações, o investimento num PCI Proxy amortiza-se em apenas um trimestre só com a redução da despesa em conformidade, sem contar com os ganhos em produtividade de engenharia e a redução do risco de violações de dados.

A chave é uma execução rigorosa: mapeamento completo dos fluxos de dados, inserção precoce da tokenização, eliminação completa dos dados históricos e monitorização contínua do âmbito. Faça estas coisas corretamente e o seu programa de conformidade PCI transforma-se de um encargo anual de seis dígitos num custo operacional gerível e previsível.

---