PCI DSS é uma das normas de compliance mais detalhadas e consequentes do mercado. Não cumprir significa, em último caso, perder o direito de processar cartões. Quando a infraestrutura está em cloud, o escopo da conformidade precisa ser definido com muito cuidado — porque cloud pública, por padrão, pode ampliar esse escopo de forma que você não espera.
O que é PCI DSS
O Payment Card Industry Data Security Standard é um conjunto de requisitos de segurança mantido pelo PCI Security Standards Council — criado pelas bandeiras Visa, Mastercard, American Express, Discover e JCB. Qualquer empresa que processa, armazena ou transmite dados de cartão de pagamento precisa estar em conformidade.
A versão atual é a PCI DSS 4.0 (com deadline de adoção total em abril de 2025). Ela tem 12 requisitos principais, organizados em 6 objetivos:
| Objetivo | Requisitos |
|---|---|
| Construir e manter rede segura | 1 (firewall), 2 (configuração segura) |
| Proteger dados do portador do cartão | 3 (armazenamento), 4 (transmissão) |
| Programa de gestão de vulnerabilidades | 5 (antimalware), 6 (desenvolvimento seguro) |
| Controle de acesso forte | 7 (acesso a dados), 8 (autenticação), 9 (acesso físico) |
| Monitoramento e testes | 10 (logs e monitoramento), 11 (testes de segurança) |
| Política de segurança | 12 (política e programa) |
Como cloud afeta o escopo PCI DSS
O conceito central do PCI DSS é o CDE — Cardholder Data Environment: o conjunto de pessoas, processos e tecnologia que armazena, processa ou transmite dados de cartão, mais qualquer sistema conectado ao CDE.
Em cloud pública, o problema do escopo é sério: se sua aplicação de pagamento está numa VPC e usa serviços compartilhados do provedor (logging, DNS, IAM), esses serviços podem tecnicamente estar “conectados” ao CDE — ampliando o escopo da avaliação.
Como reduzir o escopo em cloud:
Segmentação de rede rigorosa: o CDE deve estar isolado numa VPC separada, com regras de firewall que permitem apenas o tráfego necessário. Nenhum sistema fora do escopo deve ter conectividade com o CDE — nem mesmo jumpboxes sem controle.
Tokenização: substitua os dados de cartão por tokens antes de processar internamente. O processador de pagamentos (que já tem PCI DSS) lida com o dado real; sua aplicação só vê o token. Isso pode retirar boa parte dos seus sistemas do escopo do CDE.
Point-to-Point Encryption (P2PE): soluções de captura de cartão com P2PE certificado fazem com que o dado nunca transite em claro pelos sistemas da empresa — o que pode reduzir drasticamente o escopo.
Responsabilidade do provedor vs responsabilidade do cliente
PCI DSS v4.0 tem um documento específico para cloud: o “PCI DSS Cloud Computing Guidelines”. O princípio é o mesmo que o modelo de responsabilidade compartilhada de segurança:
O provedor de cloud é responsável por:
- Segurança física do datacenter
- Segurança da infraestrutura subjacente (hypervisor, rede física)
- Controles cobertos pela certificação PCI DSS do próprio provedor
Você é responsável por:
- Configuração dos recursos cloud (firewall groups, IAM, criptografia)
- Segurança das aplicações que rodam em cloud
- Gestão de acesso e autenticação
- Monitoramento e logging dos seus sistemas
- Qualquer dado de cartão que você processa, armazena ou transmite
AWS, Azure e GCP têm guias de responsabilidade compartilhada para PCI DSS publicados. Leia o documento específico do seu provedor — a divisão de responsabilidades varia por serviço.
Por que cloud privada facilita PCI DSS
Cloud privada dedicada tem vantagens concretas para PCI DSS:
Escopo mais controlado: quando os recursos são dedicados — sem compartilhamento com outros clientes — a definição do CDE é mais clara. Não há ambiguidade sobre quais serviços compartilhados estão “conectados” ao ambiente.
Segmentação mais limpa: com rede dedicada, você tem controle total sobre o que conversa com o quê — sem depender de VPCs, security groups e ACLs de cloud pública que podem ter configurações inesperadas.
Evidência para o QSA: o provedor de cloud privada com certificação PCI DSS pode fornecer documentação direta dos controles implementados no nível de infraestrutura — o que simplifica a evidência que você precisa apresentar ao avaliador.
O que o Qualified Security Assessor (QSA) avalia em cloud
O QSA é o auditor certificado pelo PCI Council que conduz a avaliação de conformidade (ROC — Report on Compliance) para empresas de nível 1 (acima de 6 milhões de transações/ano com Visa ou Mastercard). Empresas de nível 2, 3 e 4 podem fazer Self-Assessment Questionnaire (SAQ).
Em avaliações que envolvem cloud, o QSA vai examinar:
- Diagrama de rede atualizado mostrando todos os componentes do CDE na cloud
- Configuração de firewall (security groups, NACLs) com justificativa para cada regra
- Configuração de criptografia em trânsito e em repouso para todos os dados de cartão
- Gestão de acesso — quem tem acesso ao CDE, com MFA, com revisão periódica
- Logs — CloudTrail, CloudWatch Logs, SIEM com alertas para eventos PCI relevantes
- Gestão de patches e vulnerabilidades em instâncias do CDE
- Testes de penetração do perímetro do CDE (obrigatório anualmente)
- Evidência do PCI DSS do provedor de cloud (AOC — Attestation of Compliance)
A Adentro tem experiência em infraestrutura para ambientes PCI DSS — segmentação de rede, criptografia, logging e documentação para suporte ao QSA. Fale com nosso time de compliance.