Você sabe o que é o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento e qual é sua relevância?
Você sabe o que é o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento e qual é sua relevância?
O Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (Payment Card Industry Data Security Standard – PCI DSS) define controles para a proteção dos dados do titular do cartão e dados confidenciais de autenticação durante o processamento, armazenamento e transmissão.
É relevante destacar que, antes da publicação da primeira versão do PCI DSS, cada marca de cartão de pagamento possuía seu próprio programa de segurança para proteger os dados dos titulares de cartões. Segundo Cristián Cáceres, gerente de risco da Paytech One:
- American Express: Data Security Operating Policy (DSOP)
- Discover: Discover Information Security Compliance (DISC)
- JCB International: Data Security Program (DSP)
- MasterCard: Site Data Protection (SDP)
- Visa USA: Cardholder Information Security Program (CISP)
- Visa International: Account Information Security Program (AIS)
Cada um desses programas definia os controles de segurança a serem implementados e as entidades obrigadas a cumpri-los. No entanto, se uma entidade armazenasse, processasse ou transmitisse dados de cartões de diferentes bandeiras, precisava cumprir com o programa de segurança de cada marca, o que resultava em duplicidades, incongruências e sobreposições na aplicação dos controles, explica o executivo.
Indispensável para operar
Segundo Cristián Cáceres, o uso do PCI é essencial para operar, e sua importância está no fato de que ele:
"propicia a criação de um ambiente seguro para o tratamento de dados sensíveis e serve como um incentivo para posicionar a empresa como profissional, responsável, séria e confiável."
Nesse contexto, a missão do PCI Security Standards Council é melhorar a segurança dos dados das contas de pagamento em nível global, desenvolvendo padrões e serviços de apoio que promovam educação, conscientização e implementação eficaz por parte das partes interessadas.
Cumprimento obrigatório
Embora os requisitos do PCI DSS possam variar de acordo com a entidade, o cumprimento do padrão é obrigatório.
O PCI DSS estabelece as bases de segurança para proteger transações envolvendo dados de cartões de pagamento, e o descumprimento pode acarretar as seguintes consequências:
- Restrições para processar transações, aplicadas por bandeiras de cartões, bancos adquirentes ou plataformas de pagamento, caso a entidade não esteja em conformidade com o padrão.
- Em caso de incidente de segurança que comprometa dados de cartões, a entidade não conforme é responsabilizada integralmente pelos seguintes custos:
- Demandas legais e indenizações;
- Fraudes decorrentes de transações com os cartões afetados;
- Substituição de cartões comprometidos;
- Multas das bandeiras de pagamento, dependendo da quantidade de dados expostos;
- Multas legais por violação de dados pessoais;
- Custos de investigação forense, conduzida por um especialista;
- Gastos para implementar os controles do PCI DSS após o incidente;
- Perdas reputacionais e prejuízos na imagem pública.
.svg)