Description


Proteger os dados do titular do cartão



Baixar 1.08 Mb.
Página6/12
Encontro18.09.2019
Tamanho1.08 Mb.
1   2   3   4   5   6   7   8   9   ...   12

Proteger os dados do titular do cartão

Requisito 3: Proteger os dados armazenados do titular do cartão





Pergunta do PCI DSS Resposta:

Sim

Não

Especial*

3.1

As políticas e procedimentos de retenção e eliminação de dados são implementadas conforme a seguir:










3.1.1

(a) Existem políticas e procedimentos de retenção e eliminação de dados implementadas que incluem requisitos específicos para a retenção dos dados do titular do cartão, conforme necessário para fins comerciais, legais e/ou regulatórios?

Por exemplo: os dados do titular do cartão precisam ser retidos por um período X pelos motivos comerciais Y.





     




(b) As políticas e os procedimentos incluem itens referentes a eliminação segura dos dados que não são mais necessários por motivos legais, regulatórios ou comerciais, incluindo a eliminação dos dados do titular do cartão?





     




(c) As políticas e os procedimentos abrangem todo o armazenamento dos dados do titular do cartão?





     




(d) Os processos e procedimentos incluem ao menos um dos seguintes itens?

  • Processo programático (automático ou manual) para remover, ao menos trimestralmente, dados armazenados do titular do cartão que excederem os requisitos definidos pela política de retenção de dados

  • Requisitos para uma análise, conduzida ao menos trimestralmente, para verificar se os dados armazenados do titular do cartão não excedem os requisitos definidos na política de retenção de dados.





     




(e) Todos os dados armazenados do titular do cartão cumprem os requisitos definidos na política de retenção de dados?





     




3.2

(a) Para os emissores e/ou empresas que oferecem suporte para serviços de emissão e armazenam dados de autenticação confidenciais, há justificativa comercial para o armazenamento dos dados de autenticação confidenciais e os dados estão seguros?





     

(b) Para todas as outras entidades, se dados de autenticação confidenciais forem recebidos e excluídos, existem processos em vigor para excluir os dados com segurança e verificar se os dados podem ser recuperados?





     

(c) Todos os sistemas cumprem os seguintes requisitos em relação ao armazenamento de dados de autenticação confidenciais após a autorização (mesmo se criptografados)?










3.2.1

O conteúdo completo de qualquer rastro da tarja magnética (localizada na parte posterior do cartão) ou qualquer dado equivalente presente em um chip ou em qualquer outro lugar, não é armazenado em nenhuma circunstância?

Esses dados também são denominados como rastro completo, rastro, rastro 1, rastro 2 e dados da tarja magnética.



Observação: No curso normal dos negócios, os seguintes elementos de dados da tarja magnética talvez precisem ser retidos:

  • O nome do titular do cartão,

  • O número da conta primária (PAN),

  • A data de vencimento e

  • O código de serviço

Para minimizar o risco, armazene somente os elementos de dados conforme necessário para os negócios.





     




3.2.2

O código ou valor de verificação do cartão (número de três ou quatro dígitos impresso na frente ou atrás do cartão de pagamento) não é armazenado em nenhuma circunstância?





     




3.2.3

O numero de identificação pessoal (PIN) ou o bloqueio de PIN criptografado não é armazenado em nenhuma circunstância?





     




3.3

O PAN é mascarado quando exibido (os primeiros seis e quatro últimos dígitos são o número máximo de dígitos a serem exibidos)?

Observações:

  • Este requisito não se aplica aos funcionários e outras partes interessadas que precisam visualizar o PAN completo;

  • Esse requisito não substitui os requisitos mais rigorosos em vigor quanto às exibições dos dados do titular do cartão – por exemplo, para recebimentos do ponto de venda (POS).





     

3.4

O PAN é processado para ficar ilegível em qualquer local onde ele esteja armazenado (incluindo repositórios de dados, mídias digitais portáteis, mídias de backup e logs de auditoria) usando qualquer uma das seguintes abordagens?

  • Hash unidirecional com base na criptografia robusta (o hash deve ser do PAN inteiro)

  • Truncamento (o hash não pode ser usado para substituir o segmento truncado do PAN)

  • Tokens e blocos de índice (os blocos devem ser armazenados de forma segura)

  • Criptografia robusta com processos e procedimentos de gerenciamento-chave associados.

Observação: É um esforço relativamente simples para um indivíduo mal-intencionado reconstituir os dados do PAN original caso ele tenha acesso às versões truncadas e hash do PAN. Quando as versões truncada e hash do mesmo PAN estiverem presentes no ambiente de uma entidade, controles adicionais deverão ser implantados para assegurar que as versões truncada e hash não sejam correlacionadas para reconstituir o PAN original.





     

3.4.1

Se a criptografia de disco (e não a criptografia do banco de dados no nível de coluna ou de arquivo) for utilizada, o acesso é gerenciado das formas a seguir?













(a) O acesso lógico aos sistemas de arquivos criptografados é gerenciado de forma independente dos mecanismos de controle de acesso nativos do sistema operacional (por exemplo, não usando bancos de dados de conta de usuário local)?





     




(b) As chaves criptográficas são armazenadas de forma segura (por exemplo, armazenadas em mídias removíveis protegidas adequadamente com controles de acesso robustos)?





     




(c) Os dados do titular do cartão nas mídias removíveis estão criptografados aonde quer que estejam armazenados?

Observação: Se a criptografia de disco não for usada para criptografar a mídia removível, os dados armazenados nessa mídia deverão ser convertidos em ilegíveis por meio de outro método.





     




3.5

Alguma chave é usada para proteger os dados do titular do cartão contra divulgação e uso inapropriado das formas a seguir?

Observação: Este requisito também se aplica às chaves de criptografia de chaves usadas para proteger as chaves de criptografia de dados. Essas chaves de criptografia de chaves devem ser tão robustas quanto a chave de criptografia de dados.










3.5.1

O acesso às chaves criptográficas está restrito ao menor número necessário de responsáveis pela proteção?





     




3.5.2

(a) As chaves são armazenadas no formato criptografado e as chaves de criptografia de chaves são armazenadas separadamente das chaves de criptografia de dados?





     




(b) As chaves criptográficas são armazenadas no menor número possível de locais e formas?





     




3.6

  1. Todos os processos e procedimentos de gerenciamento de chaves das chaves criptográficas usadas para criptografar os dados do titular do cartão estão totalmente documentados e implementados?





     

  1. Somente para prestadores de serviços: Se as chaves forem compartilhadas com os clientes para transmissão ou armazenamento dos dados do titular do cartão, é fornecida aos clientes uma documentação que inclua uma orientação sobre como transmitir, armazenar e atualizar com segurança as chaves do cliente, de acordo com os Requisitos 3.6.1 a 3.6.8 abaixo?





     

  1. Existem processos e procedimentos de gerenciamento de chaves implementados que requerem os itens a seguir?










3.6.1

Os procedimentos de chaves criptográficas incluem a geração de chaves criptográficas robustas?





     




3.6.2

Os procedimentos de chaves criptográficas incluem a distribuição segura das chaves criptográficas?





     




3.6.3

Os procedimentos de chaves criptográficas incluem o armazenamento seguro das chaves criptográficas?





     




3.6.4

Os procedimentos de chaves criptográficas incluem alterações das chaves criptográficas para chaves que alcançaram o final de seu período de criptografia (por exemplo: após um período de tempo definido e/ou após a produção de certa quantidade de texto criptografado por determinada chave), conforme definido pelo fornecedor associado do aplicativo ou pelo proprietário da chave, com base nas melhores práticas e orientações do setor (como a NIST Special Publication 800-57)?





     




3.6.5

  1. Os procedimentos de chaves criptográficas incluem a inutilização ou substituição (por exemplo: por arquivamento, destruição e/ou revogação) das chaves criptográficas quando a integridade da chave estiver enfraquecida (como a saída de um funcionário com conhecimento de uma chave em texto simples)?





     







  1. Os procedimentos de chaves criptográficas incluem a substituição de chaves comprometidas conhecidas ou suspeitas?





     







  1. Se chaves inutilizadas ou substituídas forem mantidas, essas chaves são usadas somente para fins de decodificação/verificação (e não para criptografia)?





     




3.6.6

Os procedimentos de chaves criptográficas incluem o conhecimento compartilhado e o controle duplo das chaves criptográficas (como a exigência de duas ou três pessoas, cada uma conhecendo somente o seu componente da chave, para reconstituir a chave completa) para operações manuais de gerenciamento de chaves em texto simples?

Observação: Os exemplos de operações manuais de gerenciamento de chave incluem, entre outros, geração, transmissão, carregamento, armazenamento e destruição de chaves.





     




3.6.7

Os procedimentos de chaves criptográficas incluem a prevenção contra a substituição não autorizada de chaves criptográficas?





     




3.6.8

Os responsáveis pela proteção das chaves criptográficas devem reconhecer formalmente (por escrito ou eletronicamente) que compreendem e aceitam suas responsabilidades de proteção das chaves?





     






Requisito 4: Criptografar a transmissão dos dados do titular do cartão em redes abertas e públicas





Pergunta do PCI DSS Resposta:

Sim

Não

Especial*

4.1

  1. São utilizadas criptografia robusta e protocolos de segurança como SSL/TLS ou IPSEC para proteger os dados confidenciais do titular do cartão durante a transmissão em redes abertas e públicas?

Os exemplos de redes públicas e abertas que se encontram no escopo do PCI DSS incluem, entre outros, a Internet, tecnologias sem fio, GSM (Global System for Mobile communications) e GPRS (General Packet Radio Service).





     

  1. Somente chaves e/ ou certificados confiáveis são aceitos?





     

  1. Os protocolos de segurança foram implementados para usar somente configurações seguras, sem suporte para versões ou configurações inseguras?





     

  1. A força da criptografia adequada foi implementada para a metodologia de criptografia em uso (verifique as recomendações/melhores práticas do fornecedor)?





     

  1. Para implementações de SSL/TLS:

    • O HTTPS é exibido como parte do Universal Record Locator (URL) do navegador?

    • Os dados do titular do cartão são exigidos somente quando HTTPS é exibido no URL?





     

4.1.1

As melhores práticas do setor (como a IEEE 802.11i) são usadas para implementar a criptografia robusta para autenticação e transmissão nos dispositivos sem fio que transmitem dados do titular do cartão ou que estão conectados no ambiente de dados do titular do cartão?

Observação: O uso de WEP como controle de segurança foi proibido em 30 de junho de 2010.





     




4.2

  1. Os PANs são processados para ficarem ilegíveis ou são protegidos com criptografia robusta sempre que são enviado por meio de tecnologias de envio de mensagens de usuário final (como e-mails, mensagens instantâneas ou bate-papo)?





     

  1. Existem políticas em vigor que afirmam que os PANs desprotegidos não são enviados por meio das tecnologias de envio de mensagens de usuário final?





     



1   2   3   4   5   6   7   8   9   ...   12


©aneste.org 2017
enviar mensagem

    Página principal