PCI DSS exige treinamento de conscientização? O que diz o requisito 12.6

Neste artigo:

• Resposta direta: o treinamento é obrigatório
• O que exige o requisito 12.6 do PCI DSS v4.0.1
• Quem precisa ser treinado e com que frequência
• Treinamentos exigidos fora do requisito 12.6
• As evidências que o QSA vai solicitar
• Como estruturar um programa que passa na auditoria
• Conclusão

Não há margem de interpretação. O treinamento de conscientização em segurança é um controle mandatório do PCI DSS, listado no Requisito 12 — "Apoiar a segurança da informação com políticas e programas organizacionais". Qualquer entidade que armazena, processa ou transmite dados de titulares de cartão está sujeita a ele, independentemente do nível de merchant ou do canal de pagamento.

O ponto que costuma gerar dúvida nas empresas não é se o treinamento é exigido, mas o que caracteriza conformidade. Distribuir um vídeo institucional uma vez por ano e arquivar a lista de presença não satisfaz o requisito na versão vigente do padrão. O que a norma cobra é um programa de conscientização: com escopo definido, conteúdo específico, revisão periódica e trilha de evidências reconstituível.

O requisito 12.6 se desdobra em sub-requisitos que, juntos, formam o ciclo completo do programa de conscientização em segurança da informação.

12.6.1 — Programa formal implementado

Exige um programa formal de conscientização que torne todo o pessoal ciente da política e dos procedimentos de segurança da informação da organização, e do próprio papel de cada um na proteção dos dados de cartão. A palavra "formal" é operativa: o programa precisa ser documentado, aprovado e atribuível a um responsável.

12.6.2 — Revisão a cada 12 meses

O programa deve ser revisado ao menos uma vez a cada 12 meses e atualizado sempre que necessário para endereçar novas ameaças e vulnerabilidades relevantes, bem como mudanças no ambiente de dados de cartão (CDE). Um programa com conteúdo idêntico há três ciclos é um indicador clássico de não conformidade.

12.6.3 — Treinamento na admissão e anualmente

Todo o pessoal deve receber treinamento de conscientização na contratação e, no mínimo, a cada 12 meses. A norma ainda determina que sejam usados múltiplos métodos de comunicação e que cada colaborador formalize o reconhecimento (acknowledgment) de ter lido e compreendido a política de segurança, também com frequência mínima anual.

12.6.3.1 — Phishing e engenharia social

O conteúdo do treinamento deve cobrir explicitamente ameaças de phishing e ataques correlatos, além de engenharia social. Esse sub-requisito reflete o dado incontornável de que o vetor humano segue sendo a principal porta de entrada em incidentes que expõem dados de pagamento.

12.6.3.2 — Uso aceitável de tecnologias de usuário final

O treinamento deve abordar o uso aceitável de tecnologias de usuário final, em linha com as políticas definidas no requisito 12.2.1 — notebooks, dispositivos móveis, acesso remoto, mídias removíveis e tecnologias de acesso à internet.

A norma usa o termo all personnel, que é mais abrangente do que "funcionários CLT". Na prática de auditoria, o escopo alcança qualquer pessoa com acesso lógico ou físico ao ambiente de dados de cartão ou a sistemas que possam impactá-lo.

O gatilho de admissão é frequentemente negligenciado. Um colaborador contratado em fevereiro que só receberá o treinamento no ciclo anual de novembro configura desvio — a norma exige capacitação antes ou imediatamente após a concessão de acesso.

Um erro recorrente é tratar conscientização como requisito único. O PCI DSS distribui obrigações de capacitação por outros requisitos, com públicos e conteúdos distintos:

• 6.2.2 — Desenvolvedores: pessoal de desenvolvimento de software deve ser treinado ao menos a cada 12 meses em design e codificação seguros, incluindo as vulnerabilidades pertinentes às tecnologias que utiliza.
• 9.5.1.3 — Ambientes com POI: pessoal que atua em ambientes com dispositivos de captura de cartão presente deve ser treinado para identificar tentativas de adulteração ou substituição de terminais.
• 12.10.4 e 12.10.4.1 — Resposta a incidentes: a equipe de resposta a incidentes deve receber treinamento periódico e apropriado, com a frequência definida por análise de risco direcionada.

Esses treinamentos são cumulativos, não substitutos. Um desenvolvedor precisa do treinamento de conscientização geral (12.6.3) e do treinamento de codificação segura (6.2.2). Para aprofundar o lado técnico, veja como o pentest de aplicações web valida a codificação segura.

A conformidade se prova com documentação. Prepare o seguinte conjunto antes da avaliação:

• Documento do programa de conscientização, com escopo, objetivos, público-alvo, conteúdo e responsável designado.
• Registro da revisão anual do programa (ata, controle de versão ou registro de aprovação) — atende ao 12.6.2.
• Materiais efetivamente aplicados no ciclo, demonstrando cobertura de phishing, engenharia social e uso aceitável de tecnologias.
• Relatório de conclusão por colaborador, com data, permitindo verificar tanto o gatilho de admissão quanto o intervalo de 12 meses.
• Acknowledgments assinados (físicos ou eletrônicos) da política de segurança da informação.
• Evidência de múltiplos métodos de comunicação — e-mails, cartazes, simulações de phishing, sessões ao vivo.

Um programa maduro de conscientização em segurança segue quatro movimentos, e todos eles geram evidência automaticamente quando bem instrumentados.

1. Defina escopo e papéis. Mapeie quem toca o CDE e segmente trilhas por perfil de risco: atendimento, TI, desenvolvimento, financeiro, terceiros. Trilha única para toda a empresa dilui o conteúdo e enfraquece o resultado.

2. Ancore o conteúdo nas ameaças reais do seu ambiente. O 12.6.2 exige atualização diante de novas ameaças. Use os achados dos seus próprios testes — resultados de simulações de phishing e engenharia social e incidentes registrados no período — para calibrar o material do ciclo seguinte. Isso transforma a revisão anual de formalidade em controle efetivo.

3. Meça, não apenas distribua. Taxa de conclusão, índice de cliques em phishing simulado, tempo médio de reporte de e-mail suspeito. Métricas convertem o programa em algo defensável perante o QSA e demonstram redução de risco ao board.

4. Integre com os demais frameworks. Os controles de conscientização do PCI DSS têm interseção direta com o Anexo A da ISO/IEC 27001 e com o dever de treinamento derivado do artigo 50 da LGPD. Um único programa bem desenhado atende aos três, reduzindo custo e retrabalho de auditoria. Veja também como alinhar controles de PCI DSS e ISO 27001.

O texto integral dos requisitos está disponível na biblioteca de documentos do PCI Security Standards Council.

O PCI DSS exige treinamento de conscientização — e a exigência é mais específica do que a maioria das organizações assume. O requisito 12.6 pede programa formal, treinamento na admissão e a cada 12 meses, conteúdo obrigatório sobre phishing, engenharia social e uso aceitável de tecnologias, além de revisão anual documentada.

Com o fim do período de transição dos requisitos future-dated em março de 2025, itens que antes eram boa prática hoje reprovam avaliações. Empresas que ainda tratam conscientização como treinamento anual de checkbox estão expostas a achados de auditoria, custos de remediação e ao risco de negócio que a norma existe para mitigar.

Tratar conscientização como programa contínuo — mensurável, segmentado por risco e integrado aos demais frameworks de conformidade — é o que separa a empresa que passa na auditoria daquela que apenas tenta provar que passou.

Leia também:

• PCI DSS v4.0.1: o que mudou e o que já é obrigatório
• Como estruturar um programa de governança em privacidade sob a LGPD
• Pentest de aplicações web: escopo, metodologia e entregáveis