O PCI DSS 4.0 muda o que você precisa provar em auditoria. Este resumo executivo aponta as alterações que impactam operações e auditoria e mostra onde ajustar controles para reduzir exposição antes da próxima avaliação.
O conteúdo detalha o impacto prático de cada requisito, com exemplos de controles e tipos de evidência aceitos, como logs de MFA, relatórios de EDR, varreduras autenticadas e documentação de segmentação. Também comparo as diferenças entre PCI DSS v3.2.1 e PCI DSS 4.0 (incluindo v4.0.1) com base nas diretrizes da PCI SSC. Ao final você terá uma checklist de conformidade PCI e passos concretos para demonstrar conformidade na auditoria.
Resumo rápido
Se precisa agir rápido, comece por estes pontos-chave. Eles ajudam a priorizar mudanças que reduzem exposição e simplificam a próxima avaliação.
- MFA no CDE: implemente autenticação multifator para todo acesso ao Cardholder Data Environment; ajuste provisionamento e retenha logs de autenticação com carimbos de tempo como evidência.
- Mapeamento do CDE: identifique onde PANs residem, transitam e são processados para reduzir escopo e priorizar lacunas.
- Autenticação e controle de acesso: adote SSO (SAML/OIDC), PAM para contas privilegiadas e política de senhas com mínimo de 12 caracteres; registre mudanças e revisões de permissões.
- Varreduras e logs: execute varreduras internas autenticadas e configure revisão diária automatizada de logs via SIEM/EDR com exports auditáveis.
- Evidência para auditoria: produza screenshots com timestamps, exports de logs, relatórios de varredura e uma checklist; envolva um QSA quando houver dúvidas de escopo ou controles.
A seguir descrevo as principais mudanças do padrão e como traduzi-las em evidências aceitas pelos auditores. Use esses pontos para definir sua priorização inicial e transformar controle em provas verificáveis.
O que mudou no PCI DSS 4.0 e 4.0.1
Esta seção resume as mudanças que afetam operações diárias e requisitos de evidência. Leia com foco nas alterações que exigem ajustes técnicos imediatos.
No PCI DSS 4.0 a exigência mais relevante para operações é a implantação de MFA para todo acesso ao CDE. Antes a exigência se concentrava em contas administrativas, e a ampliação altera provisionamento, autenticação e requisitos de registro de logs. A norma também elevou o mínimo de senha para 12 caracteres e reforçou a necessidade de escopo dinâmico e documentação de fluxos de dados.
A norma passou a exigir controles mais mensuráveis: varreduras internas autenticadas, revisão bianual de contas de usuário e revisão diária automatizada de logs via SIEM ou solução equivalente. Auditores agora pedem evidência técnica contínua, como dashboards exportáveis, relatórios e tickets que confirmem ações corretivas, em vez de apenas políticas escritas. Planeje controles que gerem trilhas auditáveis e retenha metadados que provem integridade das provas.
Auditores aceitam como evidência logs de MFA com carimbo de data e IP, relatórios de EDR indicando ocorrências e quarentenas, e relatórios de varredura autenticada com configurações de credenciais e escopo. Documentação de segmentação como regras de firewall, diagramas e políticas de microsegmentação também é válida. Para criptografia em trânsito, entregue testes TLS, cadeias de certificados e configurações de servidor que comprovem versões e suites suportadas. Mantenha um inventário de provas organizado por requisito para acelerar auditorias.
Para uma análise prática das mudanças entre v3.2.1 e v4.0, veja uma avaliação detalhada das diferenças do PCI DSS v4.0 neste estudo comparativo.
Como mapear o escopo e priorizar lacunas
Mapear o Cardholder Data Environment (CDE) é o primeiro passo para reduzir trabalho e exposição. Um inventário mínimo de ativos e integrações que tocam o CDE facilita decisões técnicas e comunicações com auditores.
Combine descoberta automatizada com validação manual; ferramentas de varredura ajudam, mas é preciso confirmar resultados com logs de aplicação, gateways de pagamento e revisão de arquitetura. Registre provas que comprovem cada localização de dados e mantenha histórico das verificações. Documentar decisões de escopo facilita revisões futuras e reduz retrabalho durante a auditoria.
- Discovery de dados: varredura de arquivos, bancos e endpoints de API em busca de PAN e tokens;
- Mapeamento de fluxos: diagramas de pagamento e pontos de entrada e saída;
- Varredura de dependências em nuvem: identificar buckets, funções e serviços que acessam dados.
Reduzir escopo exige ações técnicas e decisões organizacionais. Priorize tokenização, proxies de pagamento e segmentação lógica para remover sistemas do CDE sempre que possível e documente compensações e planos de mitigação. Esses registros economizam tempo durante auditorias e em mudanças de requisito.
Use uma matriz de impacto versus probabilidade para priorizar lacunas, filtrando por requisitos com efeito direto no escopo e por falhas que expõem o PAN. Defina KPIs trimestrais, como percentual de riscos altos corrigidos e tempo médio de remediação. Planeje sprints de remediação com responsáveis claros e SLAs para cada entrega. Considere formalizar esses processos via Gestão de Risco para garantir rastreabilidade e governança.
O mapeamento em ambientes AWS pode se beneficiar de ferramentas nativas e de integração com auditoria; por exemplo, o guia do AWS Audit Manager para PCI v4 traz orientações práticas para evidência em nuvem.
Controles essenciais: autenticação, acesso e monitoramento
Comece pelo controle de identidade e autenticação, que são as defesas mais verificadas na auditoria. Ajustes simples nesse domínio geram grande impacto na redução de risco operacional.
Implemente SSO com MFA baseado em SAML ou OIDC para todas as contas que acessam sistemas críticos, adote PAM para contas privilegiadas e aplique políticas de senha com mínimo de 12 caracteres. Evite credenciais hard-coded e registre o ciclo de vida das contas. Para evidência, mantenha logs de autenticação, exports da configuração do provedor de identidade e políticas do ciclo de vida de credenciais.
- logs de login com indicação de MFA e endereços IP;
- prints da configuração SAML/OIDC e regras de autorização;
- políticas de rotação e inventário de contas privilegiadas.
Segmente ambientes híbridos e em nuvem combinando perímetro com microsegmentação e WAFs para aplicações expostas. Use regras de segurança em VPCs, security groups ou soluções de microsegmentação para isolar o CDE e valide a efetividade com testes de segmentação especializados. Agende varreduras autenticadas internas regularmente e realize pentests semestrais com escopo documentado.
Implemente revisão diária de logs por ferramentas automatizadas como SIEM e EDR, com alertas acionáveis e playbooks de resposta documentados. Guarde evidências das buscas por eventos, capturas de alertas e relatórios de varredura autenticada que comprovem remediações. Inclua esses controles no seu checklist para garantir alinhamento entre operações e auditoria.
Para referência sobre requisitos consolidados do padrão, consulte um resumo prático dos requisitos do PCI DSS, que ajuda a mapear evidências por categoria.
Plano de implementação passo a passo
Segue um roteiro prático que pode virar backlog de engenharia. Cada passo foi pensado para gerar artefatos de auditoria reconhecíveis por um QSA ou auditor.
Converta cada item em tickets com descrição, evidência esperada e critérios de aceitação — logs, screenshots, políticas e resultados de testes. Planeje checkpoints semanais para revisar progresso, priorizar blocos que reduzem risco e garantir rastreabilidade desde a não conformidade até a remediação.
Considere também os requisitos com data futura do PCI DSS ao planejar cronogramas de remediação; orientações sobre requisitos futuros e planejamento podem ser encontradas em análises especializadas sobre requisitos com data futura do PCI DSS, para evitar retrabalhos.
- Realizar gap analysis formal contra PCI DSS 4.0 e registrar não conformidades com evidência e avaliação de risco;
- Mapear e documentar o CDE, fluxos de dados e dependências em nuvem; incluir diagramas e listas de endpoints;
- Reduzir escopo por tokenização, proxies e segmentação; documentar decisões e resultados de testes de segmentação;
- Implementar MFA para todo acesso ao CDE e validar logs de autenticação com retenção definida;
- Endurecer identidades: implantar PAM, SSO e políticas de senha com mínimo de 12 caracteres;
- Implantar EDR/antimalware e manter evidência de atualizações, varreduras e respostas a alertas;
- Configurar varreduras autenticadas internas e agendar pentests regulares com escopo documentado;
- Implantar SIEM e configurar revisão diária automatizada de logs com alertas acionáveis e playbooks;
- Preparar pacotes de evidência padronizados (ROC/AOC) e runbooks de auditoria para solicitações rápidas;
- Definir cronograma de remediação, SLAs e pontos de contato para QSA e fornecedores.
Preparar evidências para auditoria e quando envolver QSA ou fornecedor
Um pacote de evidência eficaz conecta políticas a provas técnicas e facilita a cobertura de requisitos na amostragem. Organize documentos, exports e screenshots com timestamps e referências ao requisito testado.
- Políticas e procedimentos relevantes com versões e autorias;
- Screenshots de configuração e exports de configurações com timestamps;
- Logs agregados, filtros aplicados e exports de retenção;
- Relatórios de varredura autenticada e relatórios de pentest, com evidências de correção.
A amostragem para ROC/AOC precisa ser prática e defensável: escolha hosts e intervalos que representem variações de configuração e documente a lógica da amostragem. Inclua exemplos de logs exportados que mostrem o mecanismo de alerta e retenção, preservando metadados que provem integridade. Evite amostrar apenas sistemas já corrigidos e guarde trilhas de auditoria que mostrem quando e quem alterou um controle.
Envolva um QSA quando o escopo for complexo, por exemplo CDE distribuído entre provedores ou integrações de terceiros, ou quando a equipe interna não tiver capacidade para empacotar provas. Para prazos curtos, combine consultoria com automação: a Nossa Equipe da Access Security automatiza empacotamento de evidências e runbooks para auditoria, reduzindo horas manuais sem substituir a validação técnica do QSA. Para detalhes sobre serviços e metodologia, consulte também a página de Governança, Gestão de Risco e Conformidade.
Conclusão: implementar o PCI DSS 4.0 com eficácia
O PCI DSS 4.0 exige reorganizar pessoas, processos e evidências, com foco claro no escopo e nos controles. Comece pelo mapeamento do CDE; reduzir escopo é a forma mais rápida de diminuir trabalho e exposição operacional.
