PCI DSS: Guia Definitivo de Conformidade no Brasil
Tudo o que você precisa saber sobre a PCI DSS v4.0.1: 12 requisitos, níveis, processo de certificação, SAQ, AOC, ROC, custos e prazos — escrito por auditores QSA credenciados pelo PCI Security Standards Council.
Credenciais oficiais da Access Security
Diferente da maioria dos artigos sobre PCI DSS, este guia é assinado por uma empresa com reconhecimento direto do PCI Security Standards Council e das bandeiras de cartão. Todas as credenciais abaixo são verificáveis nos sites oficiais.
QSA acreditada pelo PCI SSC
Listada oficialmente no diretório de Qualified Security Assessors do PCI Security Standards Council, qualificada para validar a conformidade de qualquer entidade ao PCI DSS.
Verificar no PCI SSCMembro do Brazil REB do PCI SSC
Integramos o Brazil Regional Engagement Board — o primeiro REB criado pelo PCI SSC no mundo (2018). Aconselhamos diretamente o conselho sobre prioridades, padrões e tradução de documentos para o português.
Ver Brazil REB no PCI SSC
O que é PCI DSS
PCI DSS (Payment Card Industry Data Security Standard) é o padrão internacional de segurança da informação criado e mantido pelo PCI Security Standards Council (PCI SSC) — um consórcio fundado pelas cinco principais bandeiras globais de cartão: Visa, Mastercard, American Express, Discover e JCB.
O padrão define um conjunto técnico e administrativo de controles que toda organização envolvida na cadeia de pagamento com cartão deve implementar para proteger os dados do portador do cartão (PAN, nome, validade, código de serviço) e os dados sensíveis de autenticação (tarja magnética, chip, CVV/CVC, PIN).
Diferentemente de outras normas, o PCI DSS não é uma lei. Ele é um requisito contratual: ao se conectar a uma adquirente, sub-adquirente, processadora ou bandeira, a empresa assina contratos que exigem conformidade. Quem descumpre fica sujeito a multas, aumento de taxas, suspensão da operação e, em caso de vazamento, responsabilização civil e regulatória — inclusive sob a LGPD no Brasil.
A versão em vigor em 2026 é a PCI DSS v4.0.1, publicada em junho de 2024 e cuja conformidade obrigatória passou a valer em 31 de março de 2025, substituindo definitivamente a v3.2.1 e a v4.0.
Quem precisa cumprir o PCI DSS
A norma se aplica a qualquer entidade que armazene, processe ou transmita dados de cartão, independentemente de tamanho ou volume. Em nossas auditorias no Brasil, vemos a obrigação atingir:
- Emissores de cartão (bandeiras próprias, private label, co-branded)
- Adquirentes e sub-adquirentes (Cielo, Stone, PagSeguro, Rede)
- Bancos e instituições financeiras
- E-commerces de qualquer porte que aceitam cartão
- Fintechs e BaaS que tocam dados de cartão
- Empresas de embossing de cartão
- Call centers que capturam dados por voz
- Agentes de turismo com cartão para reservas
- Prestadores de serviço (cloud, hosting, SOC)
- POS, gateways, PSPs e PayFacs
Se a sua operação tem qualquer tipo de contato com PAN (número do cartão) ou dado sensível de autenticação, você está no escopo. Mesmo empresas que terceirizam tudo (via tokenização ou redirect para gateway) precisam preencher um SAQ específico — não há isenção total.
PCI DSS v4.0.1: o que mudou
A v4.0.1 é uma revisão de erratas e clarificações sobre a v4.0 — não traz requisitos novos nem remove requisitos existentes. Mas o ponto crítico é que, a partir de 31 de março de 2025, os 51 requisitos antes classificados como "future-dated" (best practices opcionais) passaram a ser obrigatórios em todas as auditorias.
Em campo, os que mais impactam clientes são:
MFA universal no CDE
Antes, autenticação multifator era exigida apenas para acesso administrativo e remoto. Agora, todo acesso ao Cardholder Data Environment (CDE) — administrativo ou não — exige MFA. Vale para colaboradores comuns, terceirizados, contas de aplicação que se conectam, etc.
Proteção de página de pagamento
Comerciantes de e-commerce com captura no navegador precisam de inventário e justificativa de todos os scripts carregados na página, monitoramento de integridade de cabeçalho HTTP e detecção de tamper. Atinge quem usa iframe ou redirect e antes se julgava 'fora de escopo'.
Targeted Risk Analysis (TRA)
Para vários controles antes prescritivos (frequência de revisão de logs, troca de senha), a v4.0.1 permite uma análise de risco direcionada que justifique a periodicidade adotada. Mais flexibilidade — mas mais responsabilidade do auditado em produzir documentação defensável.
Phishing antifraude
Implementação de soluções automatizadas anti-phishing, indo além de treinamento de equipe. Isso era exigido só para service providers; agora vale para o mercado todo.
Customized Approach
Pela primeira vez, a v4.x permite que a empresa proponha controles compensatórios diferentes do prescrito, desde que demonstre que o resultado de segurança é equivalente. Na prática, vimos isso aprovado em poucos casos de clientes muito maduros (bancos, grandes adquirentes).
Os 12 requisitos explicados pelo auditor
Os 12 requisitos do PCI DSS estão agrupados em 6 objetivos de segurança. Abaixo está a explicação de cada um, com o que o QSA realmente observa durante a auditoria. Para o detalhamento técnico, veja nosso guia Os 12 requisitos do PCI DSS na prática.
Construir e manter uma rede e sistemas seguros
Instalar e manter controles de segurança de rede
Firewalls, NGFW, listas de controle de acesso e segmentação. O auditor verifica diagrama de fluxo de dados (DFD), inventário de regras, justificativa de cada porta aberta e revisão semestral das regras. Em provedores de serviço, a segmentação interna precisa ser testada 2 vezes ao ano com pentest de segmentação.
Aplicar configurações seguras a todos os componentes
Hardening baseado em benchmarks (CIS, DISA STIG, vendor), troca de credenciais padrão, eliminação de serviços desnecessários. O QSA vai sortear amostras de servidores, switches, roteadores e pedir evidência de configuração endurecida.
Proteger os dados da conta
Proteger os dados armazenados
Criptografia em repouso, truncamento, mascaramento, gestão de chaves. Aqui um dos maiores tropeços que vemos: clientes que não percebem que armazenam PAN em logs de aplicação ou backups antigos. A primeira tarefa do consultor é mapear onde o PAN realmente vive.
Proteger os dados durante a transmissão
TLS 1.2 ou superior, certificados válidos, comunicação segura entre componentes. Atenção: e-mails internos com cartão, mensagens em apps, fax — tudo isso é proibido a menos que adequadamente criptografado.
Manter um programa de gestão de vulnerabilidades
Proteger sistemas contra software malicioso
Antimalware/EDR em todos os componentes onde for viável, scan periódico, mecanismos anti-phishing automatizados (novidade da v4.x) e processos de resposta a ameaças.
Desenvolver e manter software seguro
SDLC seguro, code review, treinamento de desenvolvedores, gestão de vulnerabilidades em aplicações, patches críticos em até 30 dias. Aqui o foco é o ciclo de desenvolvimento e o pipeline de aplicações.
Implementar medidas robustas de controle de acesso
Restringir acesso pelo need-to-know
RBAC, princípio do menor privilégio, revisão semestral de acessos. O QSA pede a lista de usuários do CDE e cruza com matriz de responsabilidades.
Identificar usuários e autenticar acessos
Identificadores únicos, MFA universal no CDE, política de senha forte ou autenticação dinâmica. Contas compartilhadas são proibidas — exceção rara e documentada.
Restringir o acesso físico
Catracas, badges, CFTV em data centers, controle de visitantes, descarte seguro de mídias e papel. Aplica-se mesmo a empresas cloud: o data center do provedor precisa ter sua AOC.
Monitorar e testar regularmente as redes
Registrar e monitorar todo acesso
Logs centralizados em SIEM, retenção mínima de 1 ano (3 meses online), revisão diária de eventos críticos. Nosso SOC/NOC 24/7 endereça este requisito de ponta a ponta.
Testar regularmente segurança e redes
Scan externo trimestral por ASV, scan interno trimestral, pentest anual em aplicações e infraestrutura, pentest de segmentação semestral para service providers, monitoramento de integridade de arquivos (FIM) e Page Shield.
Apoiar a segurança via política organizacional
Políticas e programas organizacionais
Políticas formais, treinamento anual de conscientização, processo de resposta a incidentes testado anualmente, gestão de fornecedores (third-party assurance), inventário de ativos, Targeted Risk Analyses documentadas.
Comece pela GAP Analysis sem custo
Em até 5 dias úteis, mapeamos sua operação contra os 12 requisitos da PCI DSS v4.0.1, identificamos o SAQ ou ROC aplicável e entregamos um plano realista de certificação. Diferente da maioria dos QSAs, não cobramos por esta etapa.
Níveis de PCI DSS
A norma classifica empresas em níveis com base no volume anual de transações. Cada nível tem exigências distintas de validação. Os limites e exigências variam ligeiramente entre as bandeiras — quem define os níveis na prática são os programas Visa AIS (Account Information Security) e Mastercard SDP (Site Data Protection). A tabela abaixo consolida as duas referências, considerando as regras predominantes no Brasil.
Estabelecimentos comerciais (merchants)
| Nível | Volume anual | Validação exigida |
|---|---|---|
| 1 | Acima de 6M transações Visa/Mastercard, ou qualquer empresa com vazamento | ROC anual por QSA, scan trimestral ASV, AOC |
| 2 | 1M a 6M transações | SAQ + scan ASV (algumas bandeiras exigem ROC) |
| 3 | 20k a 1M transações e-commerce | SAQ + scan ASV |
| 4 | Menos de 20k transações e-commerce | SAQ + scan ASV (recomendado) |
Prestadores de serviço (service providers)
| Nível | Volume anual | Validação exigida |
|---|---|---|
| 1 | Acima de 300k transações | ROC anual por QSA, scan ASV trimestral, pentest de segmentação semestral |
| 2 | Até 300k transações | SAQ-D + scan ASV |
Cardholder Data vs. Sensitive Authentication Data
O PCI DSS divide os dados em duas categorias com regras distintas:
Cardholder Data
Pode ser armazenado com proteção
- PAN (número completo)
- Nome do titular
- Data de validade
- Código de serviço
Armazenamento permitido com criptografia forte, truncamento ou tokenização. PAN deve ser exibido mascarado (BIN + 4 últimos).
Sensitive Authentication Data
Proibido armazenar após autorização
- Dados de tarja magnética / chip
- CAV2 / CVC2 / CVV2 / CID
- PIN / PIN block
Salvar CVV em qualquer base, log, screenshot ou backup é violação grave e motivo automático de não conformidade.
SAQ, AOC e ROC: qual se aplica a você
Questionário de autoavaliação. Existem 9 tipos (A, A-EP, B, B-IP, C, C-VT, D-Merchant, D-SP, P2PE). Preenchido pela própria empresa.
Atestado oficial de conformidade de uma página. Gerado a partir de um SAQ ou de um ROC.
Relatório completo (centenas de páginas), exigido para Nível 1 e elaborado exclusivamente por um QSA acreditado.
Qual SAQ usar?
| SAQ | Para quem |
|---|---|
| A | E-commerce que terceiriza 100% via iframe ou redirect (não toca PAN) |
| A-EP | E-commerce com captura via JavaScript embarcado |
| B | Estabelecimentos com terminais POI standalone via discagem |
| B-IP | Estabelecimentos com terminais POI conectados via IP |
| C | Estabelecimentos com sistemas conectados à internet, sem armazenar PAN |
| C-VT | Estabelecimentos com terminal virtual isolado |
| D-Merchant | Estabelecimentos não cobertos pelos demais SAQs |
| D-Service Provider | Prestadores de serviço Nível 2 |
| P2PE | Estabelecimentos com solução P2PE validada pelo PCI SSC |
Processo de certificação
A jornada típica de um cliente até a primeira AOC, na Access Security, segue 7 etapas:
- 1
GAP Analysis
Diagnóstico inicial gratuito (oferecemos sem custo, ao contrário da maior parte dos QSAs concorrentes). Mapeamos onde o cliente está em relação aos 12 requisitos e qual o SAQ ou tipo de ROC se aplica. Saída: relatório priorizado de lacunas.
- 2
Definição de escopo e segmentação
Identificamos ativos no CDE (Cardholder Data Environment) e desenhamos a segmentação de rede para reduzir o escopo. Bem feita, pode reduzir o custo final em 40% ou mais.
- 3
Políticas e procedimentos
Apoiamos o cliente na criação ou refinamento das 30+ políticas obrigatórias: segurança, criptografia, gestão de chaves, resposta a incidentes, fornecedores, controle de acesso, etc.
- 4
Implementação técnica
Apoio na implementação de MFA, segmentação, criptografia, hardening, SIEM, FIM, antimalware, gestão de patches. Quando o cliente tem AWS ou GCP, nossa equipe Cloud apoia o desenho seguro.
- 5
Validações técnicas
Scan externo trimestral por ASV, scan interno trimestral, pentest anual em aplicações web, mobile e infra, pentest de segmentação semestral para service providers.
- 6
Coleta de evidências (Plataforma Access)
Plataforma própria onde o cliente envia evidências e conversa diretamente com os consultores. Cada controle dos 12 requisitos tem workspace específico — facilita renovação anual.
- 7
Auditoria QSA e emissão de AOC + ROC
O auditor QSA conduz entrevistas, observações, sorteio de amostras, revisão documental e testes. Após validar a conformidade, emite o ROC e a AOC assinados.
Quanto custa uma auditoria
Depende de tamanho e complexidade do CDE, nível PCI, maturidade atual, ambiente (cloud/on-prem) e tipo de SAQ ou ROC. SAQ-A simples parte de valores baixos; ROC Nível 1 parte de patamares significativamente maiores.
Ver estrutura de custosQuanto tempo leva
- SAQ A / A-EP
- 30–60 dias
- SAQ D / SP Nível 2
- 90–180 dias
- ROC Nível 1
- 6–12 meses
- Recertificação anual
- 30–90 dias
Multas e consequências da não conformidade
- Multas das bandeiras de alguns milhares a centenas de milhares de dólares por mês, escaladas conforme tempo de não conformidade.
- Aumento de taxas de processamento pela adquirente.
- Suspensão da capacidade de processar cartões — fim da operação.
- Responsabilidade civil em caso de vazamento, incluindo class actions, indenizações e custos forenses.
- Sanções da ANPD sob a LGPD: multa de até 2% do faturamento, limitada a R$ 50 milhões por infração.
- Custo reputacional: empresas com vazamento de cartão perdem clientes em escala material.
- Investigação forense PFI obrigatória após vazamento, custeada pela empresa.
10 erros mais comuns que vemos como auditores
Em mais de uma década auditando empresas brasileiras, esses são os erros recorrentes que travam certificações:
- 1PAN em logs de aplicação ou debug — dump completo escrito em log sem mascaramento.
- 2CVV armazenado em banco de dados — violação automática, mesmo criptografado.
- 3Compartilhamento de credenciais administrativas entre time de TI ou DevOps.
- 4MFA ativo apenas para acesso remoto — com a v4.0.1 precisa ser universal no CDE.
- 5Backup sem criptografia com PAN em texto claro.
- 6Sem inventário formal de ativos do CDE — não se sabe exatamente o que está no escopo.
- 7Segmentação assumida, não testada — porta aberta entre redes na prática.
- 8Política existindo apenas no PDF — sem evidência operacional de aplicação.
- 9Treinamento anual de conscientização não documentado.
- 10Gestão de fornecedores ausente — não exigir AOC dos prestadores que tocam dados de cartão.
Comece pela GAP Analysis sem custo
Em até 5 dias úteis, mapeamos sua operação contra os 12 requisitos da PCI DSS v4.0.1, identificamos o SAQ ou ROC aplicável e entregamos um plano realista de certificação. Diferente da maioria dos QSAs, não cobramos por esta etapa.