Gateways, PSPs e processadoras
O PCI DSS tem uma lista de requisitos que só existe para prestador de serviço, e um apêndice inteiro para quem hospeda vários clientes no mesmo ambiente. A DM11 prepara sua empresa para o caminho certo, sem descobrir o escopo real no meio da avaliação.
A DM11 prepara sua empresa. Não somos QSA e não emitimos RoC, AOC nem certificado. Onde a avaliação formal é exigida, ela é conduzida por um QSA parceiro credenciado pelo PCI SSC.
Quem conduz a preparação
A pergunta que define tudo
A resposta muda o conjunto de requisitos, a forma de validar e a frequência de cada rotina. O padrão define prestador como quem processa, armazena ou transmite dado de cartão em nome de outra entidade, ou quem pode impactar a segurança desse dado. Gateway, subadquirente, facilitador e processadora entram aí. E quem vende direto e também processa para terceiros acumula os dois papéis.
O padrão prevê o caso: quando a empresa avaliada é comerciante e prestador, os requisitos exclusivos de prestador se aplicam à parte do negócio que presta serviço. Na prática, são duas trilhas de escopo dentro da mesma avaliação, e tratá-las como uma só é erro caro.
Quem contrata você precisa monitorar seu status de conformidade pelo menos a cada doze meses e saber quais requisitos são seus, quais são dele e quais são compartilhados. Isso não é curiosidade: é requisito dele, e a resposta que você der determina se o contrato avança.
Constar na lista de prestadores conformes de uma bandeira ajuda o cliente a cumprir o monitoramento anual. Mas o padrão é explícito: para comprovar requisitos que você cumpre em nome dele, a listagem não é evidência suficiente. Espera-se que você entregue o AOC quando solicitado.
O que muda para prestador
O PCI DSS marca uma série de requisitos como aplicáveis somente a prestador de serviço, e dobra a frequência de rotinas que o comerciante faz uma vez por ano. Quem monta o programa pensando em comerciante descobre isso tarde.
PCI DSS v4.0.1, publicada em junho de 2024. A v4.0 foi aposentada em dezembro de 2024, então é a única versão ativa. O template de Report on Compliance está na revisão 3, de janeiro de 2025.
A maior parte dos requisitos novos da versão 4 era boa prática até 31 de março de 2025 e passou a ser obrigatória naquela data. Vários deles pegam prestador com mais força, especialmente os de escopo semestral e os do apêndice de ambiente compartilhado.
O SAQ D-Service Provider é a única opção de autoavaliação para prestador, e é elegível apenas para quem a bandeira considera elegível. Ele traz os requisitos exclusivos por inteiro e o apêndice de ambiente compartilhado, que não existem no SAQ de comerciante.
O comerciante confirma escopo uma vez por ano. O prestador confirma a cada seis meses e após qualquer mudança significativa. A justificativa do próprio padrão é que rede de prestador é maior, mais complexa e muda mais.
Onde o comerciante testa a segmentação uma vez por ano, o prestador testa a cada seis meses e após qualquer mudança nos controles de segmentação. E quem hospeda vários clientes tem um segundo teste, adicional a esse.
O padrão dá duas opções ao prestador: fazer avaliação anual e entregar a evidência aos clientes, ou ser avaliado sob demanda por cada cliente e participar da avaliação de cada um deles. Na segunda, você troca um projeto por ano por uma fila deles.
Qual é o seu caminho
A rota decorre de como o dado circula, de quem você atende e do volume que processa em nome de terceiros. Quem define o limiar e a forma de validar são as bandeiras e o adquirente, não o PCI Security Standards Council.
| Seu perfil | Rota de validação | O que ela exige |
|---|---|---|
| O dado nunca toca o seu ambiente | SAQ A | O conjunto mais curto de controles. Não se aplica a prestador de serviço: é rota de comerciante. |
| O dado passa por você, mas você vende para os seus próprios clientes finais | SAQ D Comerciante | A norma inteira na ótica de comerciante, sem os requisitos exclusivos de prestador. |
| Você processa, armazena ou transmite em nome de outras empresas, dentro do limiar da bandeira | SAQ D Prestador | A norma inteira, mais os requisitos exclusivos de prestador, mais o apêndice de ambiente compartilhado se você hospeda vários clientes. Exige descrever o resultado de teste por requisito, e não apenas marcar sim ou não. |
| Acima do limiar da bandeira, ou quando o adquirente exige | Report on Compliance | Avaliação formal conduzida por QSA, no template oficial, com validação independente de escopo pelo avaliador. É também o caminho para constar nas listas de prestadores conformes das bandeiras. |
A Visa publica o limiar de 300 mil transações anuais para separar prestador Nível 1 de Nível 2, com Report on Compliance por QSA no Nível 1 e autoavaliação no Nível 2. O escaneamento externo trimestral por empresa aprovada vale para os dois níveis. A Mastercard classifica por categoria de serviço e volume anual, em programa próprio. Confirme o seu enquadramento com o adquirente antes de decidir a rota.
O que só vale para você
O padrão marca esses requisitos como aplicáveis somente a prestador de serviço. Quem monta o programa a partir de um material genérico de PCI DSS simplesmente não os encontra, e descobre a lacuna quando o avaliador pergunta.
Descrição de todos os algoritmos, protocolos e chaves que protegem dado armazenado, com força e validade, mais inventário dos módulos criptográficos com tipo e localização. E chave de produção não pode ser reaproveitada em ambiente de teste.
Se você compartilha chave criptográfica com quem atende, precisa documentar e distribuir orientação de transmissão, guarda e atualização segura dessas chaves.
Se você acessa remotamente o ambiente de quem atende, o fator de autenticação precisa ser único por cliente. A credencial usada num cliente não pode servir para outro.
Quando senha é o único fator de acesso do usuário do seu cliente a dado de cartão, ou ela muda a cada noventa dias, ou você analisa dinamicamente a postura da conta e decide o acesso em tempo real.
A cada seis meses e após qualquer mudança nos controles de segmentação, confirmando que o ambiente de cartão está isolado de todos os sistemas fora de escopo. O executor precisa de independência organizacional, e não precisa ser QSA.
A detecção de intrusão precisa identificar, alertar e tratar canais de comunicação encobertos usados por malware, e o plano de resposta a incidentes precisa prever a resposta a essa detecção.
Responsabilidade formal da alta direção pelo programa, com carta constitutiva comunicada a ela. E revisões a cada três meses confirmando que as tarefas estão sendo executadas conforme a política, feitas por pessoas diferentes de quem executa a tarefa.
Confirmação de escopo a cada seis meses, e revisão documentada de impacto sempre que houver mudança relevante na estrutura da empresa, como fusão, aquisição ou realocação de quem responde pelos controles, com resultado comunicado à direção.
Acordo escrito reconhecendo sua responsabilidade pela segurança do dado que você mantém em nome do cliente. E atender, quando solicitado, os pedidos de status de conformidade e de divisão de responsabilidade por requisito.
Ambiente compartilhado
O padrão trata separadamente quem oferece serviço compartilhado a vários clientes, com recursos de sistema, infraestrutura, aplicação ou banco de dados em comum. O texto cita nominalmente serviços de gateway e de processamento em ambiente compartilhado. Quem só oferece data center compartilhado, o modelo de colocation, fica de fora desse apêndice.
O provedor não acessa o ambiente do cliente sem autorização, e o cliente não acessa o ambiente do provedor sem autorização. Cada cliente só alcança o próprio dado de cartão e só consome os recursos alocados a ele, sem impactar os demais.
A eficácia da separação entre ambientes de clientes é confirmada por teste de intrusão a cada seis meses. O padrão é explícito ao dizer que esse teste é adicional ao pentest de segmentação, e não o substitui. São dois exercícios distintos no mesmo semestre.
Registro habilitado por padrão para o ambiente de cada cliente, disponível para consulta apenas pelo cliente dono daquele ambiente, com a localização do log comunicada com clareza a ele.
Capacidade de apoiar investigação forense imediata em incidente de qualquer cliente, e um canal seguro para que clientes reportem incidentes e vulnerabilidades, com tratamento e remediação.
Quem opera ambiente compartilhado precisa apoiar o teste de intrusão externo dos clientes. O padrão diz por quê, sem meias palavras: proibir deixaria os sistemas deles abertos a exploração.
Vale registrar o que o próprio padrão observa: mesmo que o provedor cumpra esses requisitos, cada cliente continua responsável por cumprir e validar os requisitos aplicáveis ao ambiente dele. Conformidade sua não transfere conformidade para quem você atende, e prometer isso comercialmente cria um problema depois.
O que você entrega à sua carteira
Aqui está um diferencial competitivo que poucos exploram. A forma como você entrega a página de pagamento determina qual autoavaliação o seu cliente comerciante vai poder usar, e a diferença entre a mais curta e a seguinte é grande. Isso é argumento de venda para a sua carteira, e é verificável no material do PCI Security Standards Council.
| Como você integra | Autoavaliação do seu cliente | Condição |
|---|---|---|
| Terceirização total, como link de pagamento enviado ao portador | SAQ A | O critério de proteção contra script não se aplica a esse modelo. |
| Redirecionamento do site do cliente para o seu ambiente | SAQ A | O critério de script também não se aplica ao redirecionamento, desde que os demais critérios sejam atendidos. |
| Página ou formulário embarcado, tipicamente por iframe | SAQ A | Só se o cliente proteger a página por conta própria, ou se você fornecer confirmação escrita de que a sua solução, implantada conforme suas instruções, protege a página contra ataque de script. |
| O site do cliente controla o fluxo e afeta a integridade da página | SAQ A-EP | Bem mais extenso. Se você hospeda o site e opera ambiente compartilhado, o cumprimento do apêndice de multicliente é pré-requisito de elegibilidade do seu cliente. |
| O dado de cartão chega ao próprio site do cliente | SAQ D Comerciante | O ambiente do cliente entra em escopo por inteiro. |
A terceira linha é a oportunidade. Um provedor que implanta a gestão de scripts e a detecção de alteração na própria solução de iframe, e emite a confirmação escrita, mantém a carteira na autoavaliação mais curta em vez de empurrá-la para a seguinte. Quem não faz, empurra. A decisão final sobre qual autoavaliação se aplica é sempre do adquirente ou da bandeira do cliente.
Quem faz o quê
Num mercado em que se promete certificado que não se pode emitir, preferimos deixar claro desde já quem assina o quê. Isso muda o que você deve cobrar de nós e o que precisa resolver com outros.
Autodiagnóstico
As primeiras perguntas classificam o seu caso e apontam a rota de validação. As demais percorrem os capítulos da norma e mostram onde estão as lacunas. O resultado aparece inteiro na tela, com a rota, a nota por capítulo e o que fecha cada lacuna. Não pedimos e-mail para mostrar.
Como conduzimos
Cada fase termina com entregável. Você sabe o que recebe antes de começar.
Mapeamos o fluxo de dado, os sistemas conectados e os que impactam a segurança do ambiente. Separamos a trilha de comerciante da de prestador quando a empresa acumula os dois papéis, porque tratá-las como uma só distorce todo o resto.
Você recebe
Antes de implantar controle, tiramos da frente o que não precisa estar em escopo. Segmentação, eliminação de armazenamento desnecessário e revisão de integração encolhem o programa inteiro de uma vez.
Você recebe
Executamos junto com seu time o que falta em cada capítulo, com atenção especial aos requisitos exclusivos de prestador e ao apêndice de ambiente compartilhado, que costumam estar ausentes.
Você recebe
Conformidade de prestador é calendário, não projeto. Estruturamos as revisões trimestrais, a confirmação semestral de escopo, os pentests com a periodicidade correta e o escaneamento trimestral.
Você recebe
Montamos o que a due diligence dos seus clientes vai pedir: matriz de responsabilidade por requisito, acordo escrito de responsabilidade e o processo de resposta a pedidos de status.
Você recebe
Organizamos a evidência no formato que o avaliador espera e conduzimos o ensaio antes da avaliação real. Quando a rota é Report on Compliance, articulamos com o QSA parceiro, preservando a separação de papéis.
Você recebe
Histórias
Anonimizamos os clientes pelo mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, e o padrão dos problemas se repete.
Dúvidas frequentes
Respostas ancoradas no padrão do PCI Security Standards Council e nos programas das bandeiras. Onde não existe dado oficial, dizemos que não existe.
Não. A DM11 não é QSA e não emite Report on Compliance, atestação nem certificado. Nós preparamos: desenhamos e reduzimos o escopo, implantamos os controles, montamos as rotinas recorrentes, executamos o pentest de segmentação e organizamos a evidência. Quando a sua rota exige avaliação formal, ela é conduzida por um QSA parceiro credenciado, com papéis separados entre quem preparou e quem avalia.
Mais dúvidas? Fale com a DM11
Uma conversa de trinta minutos costuma bastar para separar o que é obrigação de prestador, o que é de comerciante e qual rota de validação se aplica ao seu caso. Sem compromisso.