PCI SSC Regional Engagement Board
A participação da Access Security no REB reforça nosso compromisso técnico com a segurança de dados de pagamento...Veja mais →
Auditoria PCI DSS e Consultoria Especializada
A Access Security é uma empresa brasileira especializada em segurança de pagamentos, atuando como QSA (Qualified Security Assessor) homologado pelo PCI Security Standards Council. Realizamos auditoria PCI DSS no Brasil, consultoria PCI DSS e emissão de ROC e AOC para organizações de todos os níveis de conformidade — de fintechs e e-commerces a grandes adquirentes e processadores de cartão.
Com profundo conhecimento do PCI DSS 4.0 e experiência em ambientes críticos de processamento de pagamentos, nossa equipe conduz avaliações técnicas completas — do GAP Analysis inicial até a emissão dos documentos oficiais de conformidade exigidos pelas bandeiras internacionais.
Serviços de Auditoria e Consultoria PCI DSS
Oferecemos um portfólio completo de serviços para auxiliar sua organização na jornada de conformidade PCI DSS no Brasil, desde a avaliação inicial até a emissão dos documentos oficiais exigidos pelas bandeiras de cartão.
Auditoria PCI DSS
Realizamos auditorias PCI DSS completas baseadas nos requisitos da versão 4.0.1, avaliando todos os domínios de controle: segurança de rede, proteção de dados, gestão de vulnerabilidades, controle de acesso e monitoramento. Nossa equipe de QSAs homologados conduz a avaliação com rigor técnico, garantindo que todos os controles sejam testados e documentados conforme exigido pelo PCI SSC.
- Avaliação dos 12 requisitos PCI DSS
- Testes de validação técnicos
- Documentação completa de evidências
Consultoria PCI DSS
Nossa consultoria PCI DSS orienta sua equipe na implementação de controles, interpretação de requisitos e definição de arquiteturas seguras para processamento de dados de cartão. Atuamos lado a lado com as equipes de TI, segurança e negócios, traduzindo os requisitos técnicos do PCI DSS em ações práticas e alinhadas à realidade da sua organização no Brasil.
- Planejamento de conformidade
- Arquitetura de segurança para CDE
- Treinamento de equipes técnicas
GAP Analysis PCI DSS
O GAP Analysis PCI DSS identifica lacunas entre seu ambiente atual e os requisitos da norma, priorizando ações e estimando esforços para alcançar a conformidade. É o ponto de partida ideal para organizações que estão iniciando a jornada PCI DSS ou migrando para a versão 4.0, oferecendo visibilidade clara do que precisa ser feito e em qual ordem.
- Mapeamento de não conformidades
- Priorização de correções
- Roadmap detalhado de remediação
Emissão de ROC e AOC
Como QSA homologado pelo PCI SSC, emitimos o Report on Compliance (ROC) e o Attestation of Compliance (AOC), documentos oficiais que comprovam a conformidade PCI DSS da sua organização perante adquirentes, bandeiras de cartão e parceiros comerciais. Esses documentos têm validade anual e são exigidos para empresas Nível 1 e muitas de Nível 2.
- ROC PCI DSS completo e detalhado
- AOC PCI DSS oficial assinado
- Suporte à submissão ao PCI SSC
Testes de Segurança (Pentest PCI DSS)
Realizamos pentest PCI DSS conforme metodologias reconhecidas (OWASP, PTES), identificando vulnerabilidades em aplicações, infraestrutura e redes que processam dados de cartão. Os testes de invasão são obrigatórios pelo requisito 11.3 do PCI DSS 4.0 e devem ser conduzidos anualmente por profissional qualificado e independente.
- Pentest de aplicações web e APIs
- Pentest de infraestrutura e rede
- Testes de segmentação de rede (CDE)
Suporte Contínuo à Conformidade
Oferecemos acompanhamento contínuo para manter sua organização em conformidade PCI DSS ao longo de todo o ciclo anual, com revisões periódicas, atualização de controles e suporte a mudanças no ambiente. A conformidade PCI DSS não termina com a emissão do ROC — ela requer monitoramento e gestão contínua para se manter válida.
- Monitoramento contínuo de controles
- Revisões trimestrais de conformidade
- Atualização de documentação e políticas
O que é PCI DSS e por que é obrigatório no Brasil
O Payment Card Industry Data Security Standard (PCI DSS) é o padrão de segurança global desenvolvido pelo PCI Security Standards Council (PCI SSC) para proteger dados de cartões de pagamento contra roubo, fraudes e violações de segurança. Criado pelas principais bandeiras — Visa, Mastercard, American Express, Discover e JCB —, o PCI DSS estabelece 12 requisitos técnicos e operacionais obrigatórios para toda organização que processe, armazene ou transmita dados de titulares de cartão (CHD — Cardholder Data).
No Brasil, a conformidade com o PCI DSS é uma exigência contratual imposta por adquirentes, subadquirentes e bandeiras internacionais. Com o crescimento acelerado do mercado de pagamentos digitais — incluindo cartões de débito e crédito, carteiras digitais e recorrência —, fintechs, e-commerces, gateways de pagamento e processadores precisam demonstrar conformidade PCI DSS para operar e manter seus contratos comerciais ativos.
Proteção de Dados de Cartão
Empresas que processam, armazenam ou transmitem dados de cartão devem implementar controles rigorosos de segurança para proteger informações sensíveis de titulares, incluindo o número do cartão (PAN), data de validade, CVV e dados de trilha magnética. A falha na proteção desses dados pode resultar em fraudes financeiras e violações de dados com impacto severo para a organização e seus clientes.
Conformidade Contratual e Regulatória
A conformidade PCI DSS é exigida pelas bandeiras internacionais (Visa, Mastercard, Amex, Discover, JCB) e é obrigatória por contrato com adquirentes e subadquirentes no Brasil. O não cumprimento pode resultar em multas contratuais pesadas, suspensão da licença de processamento e encerramento de contratos — inviabilizando completamente a operação de pagamentos da empresa.
PCI DSS 4.0 — Versão Atual
A versão 4.0 do PCI DSS, vigente desde abril de 2024, traz requisitos atualizados com foco em segurança contínua e adaptável. As principais mudanças incluem autenticação multi-fator (MFA) obrigatória para todos os acessos ao CDE, requisitos de criptografia TLS 1.2+, governança de scripts de terceiros em páginas de pagamento e abordagem customizada para implementação de controles alternativos com justificativa técnica.
PCI DSS no Brasil: contexto e obrigatoriedade
O mercado de pagamentos eletrônicos brasileiro é um dos maiores e mais dinâmicos do mundo. Com bilhões de transações com cartão processadas anualmente por adquirentes como Cielo, Rede e GetNet, e por centenas de subadquirentes e fintechs, a segurança dos dados de cartão tornou-se uma prioridade estratégica e uma obrigação legal.
No Brasil, a auditoria PCI DSS com QSA é obrigatória para empresas Nível 1 (acima de 6 milhões de transações anuais) e frequentemente exigida para Nível 2 por contrato com adquirentes. Mesmo empresas menores precisam demonstrar conformidade para fechar contratos com parceiros estratégicos ou atender exigências de due diligence de investidores e parceiros internacionais.
Com a expansão do Open Finance, dos pagamentos instantâneos e dos esquemas de cartão internacional no Brasil, o escopo da conformidade PCI DSS tende a crescer ainda mais. Organizações que se adequam proativamente ganham vantagem competitiva, reduzem o risco de violações de dados e evitam custos elevados com multas e remediação emergencial.
A Access Security atua como QSA homologado no Brasil, com equipe certificada e processos adaptados à realidade das empresas brasileiras do setor de pagamentos — conduzindo auditorias PCI DSS em português, com documentação bilíngue quando necessário.
Quem precisa estar em conformidade com o PCI DSS?
Qualquer organização que faça parte do fluxo de processamento de cartões — direta ou indiretamente — está sujeita aos requisitos PCI DSS. Confira os principais segmentos:
- E-commerces que processam pagamentos com cartão de crédito ou débito
- Adquirentes e subadquirentes de meios de pagamento
- Gateways de pagamento e processadores de transações
- Serviços de tokenização, vaulting e cofres de dados
- Empresas com cobrança recorrente e débito automático
- Organizações que armazenam dados de cartão em qualquer formato
- Provedores de serviço (service providers) que suportam CHD
Riscos da não conformidade PCI DSS
$
Multas contratuais mensais
De $5.000 a $100.000 por mês, aplicadas pelas bandeiras de cartão
!
Danos à reputação e credibilidade
Violações de dados tornam-se públicas e afetam diretamente a confiança do consumidor
X
Suspensão de operações
Perda do direito de processar transações com cartão de crédito e débito
Níveis de Conformidade PCI DSS
O nível de conformidade PCI DSS é determinado pelo volume anual de transações com cartão de crédito e débito processadas pela sua organização.
L1 ▮▮▮▮
PCI DSS Level 1
Mais de 6 milhões de transações anuais
Requisito: QSA obrigatório
Documento: ROC + AOC
Validade: Anual
L2 ▮▮▮
PCI DSS Level 2
1 a 6 milhões de transações anuais
Requisito: QSA ou SAQ
Documento: ROC/AOC ou SAQ
Validade: Anual
L3 ▮▮
PCI DSS Level 3
20.000 a 1 milhão de transações anuais
Requisito: SAQ ou QSA
Documento: SAQ ou ROC/AOC
Validade: Anual
L4 ▮
PCI DSS Level 4
Até 20.000 transações anuais
Requisito: SAQ
Documento: SAQ PCI DSS
Validade: Anual
Documentos por Nível
ROC PCI DSS
Report on Compliance é o relatório detalhado emitido por um QSA homologado, documentando os resultados da auditoria PCI DSS para Level 1 e alguns Level 2.
Saiba mais sobre o ROC PCI DSSAOC PCI DSS
Attestation of Compliance é o documento de conformidade assinado pelo QSA e pela empresa, comprovando que os requisitos PCI DSS foram atendidos.
Saiba mais sobre o AOC PCI DSSSAQ PCI DSS
Self-Assessment Questionnaire é o questionário de autoavaliação para empresas de menor volume (Level 3 e 4) que não exigem auditoria com QSA.
Saiba mais sobre o SAQ PCI DSSOs 12 Requisitos da Auditoria PCI DSS 4.0
A auditoria PCI DSS avalia o cumprimento de 12 requisitos de segurança organizados em 6 objetivos de controle. Cada requisito contém controles específicos que precisam ser implementados e validados por um QSA homologado no Brasil.
01
Controles de Segurança de Rede
Instalar e manter controles de segurança de rede, como firewalls e roteadores configurados para proteger o Cardholder Data Environment (CDE) contra acessos não autorizados de redes não confiáveis.
02
Configurações Seguras
Aplicar configurações seguras a todos os componentes do sistema, eliminando senhas padrão de fornecedores, desabilitando serviços desnecessários e seguindo hardening guides reconhecidos (CIS Benchmarks).
03
Proteção de Dados Armazenados
Proteger dados de conta armazenados com criptografia forte, hash, truncamento ou tokenização. O PAN (Primary Account Number) nunca deve ser armazenado sem proteção adequada.
04
Criptografia em Transmissão
Proteger dados de titulares de cartão durante a transmissão em redes abertas e públicas usando protocolos robustos de criptografia, como TLS 1.2 ou superior.
05
Proteção contra Malware
Proteger todos os sistemas e redes contra software malicioso com soluções antimalware gerenciadas, atualizadas e monitoradas continuamente em todos os sistemas vulneráveis.
06
Desenvolvimento Seguro de Software
Desenvolver e manter sistemas e software seguros aplicando práticas de Secure SDLC, gestão de vulnerabilidades, proteção contra OWASP Top 10 e revisão de código.
07
Controle de Acesso por Necessidade
Restringir o acesso a componentes do sistema e dados de cartão com base estritamente na necessidade legítima de negócio (need-to-know), implementando controles de acesso baseados em função (RBAC).
08
Identificação e Autenticação
Identificar usuários e autenticar acessos com MFA (Multi-Factor Authentication) obrigatório para todos os acessos administrativos e remotos ao ambiente de dados de cartão.
09
Segurança Física
Restringir e controlar o acesso físico a áreas onde dados de cartão são processados, armazenados ou transmitidos, com controles de visitantes, câmeras e trilhas de auditoria físicas.
10
Log e Monitoramento de Acessos
Registrar e monitorar todos os acessos a componentes do sistema e dados de cartão. Logs devem ser retidos por pelo menos 12 meses, com os últimos 3 meses disponíveis para análise imediata.
11
Testes Regulares de Segurança
Testar regularmente a segurança de sistemas e redes com pentest interno e externo anual, scanner ASV trimestral, validação de segmentação e testes após mudanças significativas no ambiente.
12
Políticas e Programas de Segurança
Manter políticas e programas de segurança da informação documentados e revisados anualmente, com treinamentos contínuos, gestão de fornecedores e plano de resposta a incidentes.
Quais requisitos se aplicam à sua organização?
O escopo da auditoria PCI DSS varia conforme o tipo de negócio, volume de transações e arquitetura do ambiente. Nossa equipe QSA avalia seu contexto e define com precisão o escopo correto, simplificando e acelerando sua jornada de conformidade.
Solicitar avaliação de escopo PCI DSSProcesso de Auditoria PCI DSS
Nossa metodologia de auditoria PCI DSS segue um processo estruturado e transparente em seis etapas, garantindo avaliação completa dos 12 requisitos e emissão dos documentos de conformidade com segurança e eficiência.
01
Avaliação Inicial e Escopo
Realizamos o entendimento detalhado do escopo da auditoria PCI DSS, identificando sistemas, processos, fluxos de dados de cartão (CHD) e fornecedores terceiros na sua organização. A correta definição do CDE (Cardholder Data Environment) é o passo mais crítico para uma auditoria eficiente.
- Definição precisa do escopo CDE
- Mapeamento de fluxo de dados
- Análise de arquitetura e rede
02
GAP Analysis PCI DSS
Executamos o GAP Analysis PCI DSS avaliando cada um dos 12 requisitos para identificar não conformidades, controles ausentes e vulnerabilidades. O resultado é um relatório detalhado de prioridades que servirá de base para o plano de ação de conformidade.
- Avaliação dos 12 requisitos PCI DSS
- Identificação e classificação de gaps
- Relatório executivo de prioridades
03
Plano de Ação e Remediação
Desenvolvemos um plano detalhado de remediação, com cronograma, responsáveis, estimativa de esforço e recursos necessários para correção de cada não conformidade identificada no GAP Analysis. Priorizamos ações de maior impacto e menor custo de implementação.
- Roadmap priorizado de correções
- Definição e implementação de controles
- Acompanhamento e validação de remediações
04
Testes Técnicos de Segurança
Conduzimos todos os testes técnicos obrigatórios pelo PCI DSS 4.0: pentest interno e externo (requisito 11.3), scanner ASV trimestral (requisito 11.4.1), validação de segmentação de rede e testes após mudanças significativas no ambiente.
- Pentest interno e externo
- Scanner ASV homologado
- Testes de segmentação de CDE
05
Auditoria Final PCI DSS
Realizamos a auditoria final PCI DSS, coletando evidências técnicas e documentais para validação de todos os requisitos. Essa fase inclui entrevistas com equipes técnicas, análise de configurações, revisão de políticas e verificação de logs e registros de monitoramento.
- Coleta e validação de evidências
- Entrevistas técnicas e operacionais
- Revisão de políticas e controles
06
Emissão do ROC e AOC
Após a validação de todos os requisitos, emitimos o ROC (Report on Compliance) e o AOC (Attestation of Compliance) PCI DSS — documentos oficiais que comprovam a conformidade da sua organização perante adquirentes e bandeiras de cartão, com validade anual.
- Elaboração do ROC completo
- Emissão e assinatura do AOC
- Suporte à submissão e comunicação com parceiros
Testes de Segurança e Validações
Os requisitos do PCI DSS 4.0 exigem uma série de testes técnicos para validar a segurança do ambiente que processa, armazena ou transmite dados de cartão.
Pentest PCI DSS
Testes de invasão internos e externos em aplicações e infraestrutura, conforme metodologias OWASP, PTES e requisitos PCI DSS 11.3.
Scanner ASV
Varredura de vulnerabilidades externas por Approved Scanning Vendor (ASV) homologado, exigida trimestralmente para validação de exposições.
Validação de Segmentação
Testes para validar a efetividade da segmentação de rede (CDE), garantindo isolamento adequado do ambiente de dados de cartão.
Evidências Técnicas
Coleta e documentação de evidências técnicas para auditoria, incluindo logs, configurações, prints e relatórios de ferramentas.
Requisitos de Testes PCI DSS 4.0
11.3.1Pentest externo a cada 12 meses
Obrigatório11.3.2Pentest interno a cada 12 meses
Obrigatório11.3.3Correção de vulnerabilidades críticas
Obrigatório11.4.1Scanner ASV trimestral
Obrigatório11.4.5Validação de segmentação anual
11.4.6Testes após mudanças significativas
ObrigatórioGovernança, Políticas e Monitoramento
A conformidade PCI DSS vai além de testes técnicos. Requer governança robusta, políticas claras e monitoramento contínuo da segurança.
Políticas e Procedimentos
Desenvolvemos e revisamos políticas e procedimentos de segurança alinhados aos requisitos PCI DSS, garantindo documentação adequada e aprovação da gestão.
- Política de segurança da informação
- Procedimentos operacionais
- Política de classificação de dados
- Procedimentos de incidentes
Monitoramento SOC
Oferecemos serviços de monitoramento SOC (Security Operations Center) para detecção contínua de ameaças e resposta a incidentes de segurança.
- Monitoramento 24x7
- Detecção de anomalias
- Resposta a incidentes
- Análise de logs PCI DSS
Gestão Contínua
Acompanhamos a gestão contínua da conformidade PCI DSS, garantindo que controles se mantenham efetivos ao longo do ciclo de validade.
- Revisões trimestrais
- Atualização de riscos
- Treinamentos contínuos
- Métricas de conformidade
Por que escolher a Access Security
Somos uma empresa brasileira especializada em segurança da informação, com foco exclusivo em conformidade PCI DSS e proteção de dados de cartão.
Nossos parceiros:
QSA Homologado pelo PCI SSC
Nossos profissionais são QSA (Qualified Security Assessor) homologados pelo PCI Security Standards Council, autorizados a emitir ROC e AOC.
Experiência em Ambientes Críticos
Atuamos em ambientes de alta criticidade: adquirentes, subadquirentes, e-commerces, gateways de pagamento e fintechs.
Atuação Técnica e Independente
Nossa auditoria é independente e técnica, sem conflitos de interesse, focada em resultados reais de conformidade e segurança.
Foco em Redução de Risco
Nossa abordagem vai além da conformidade: trabalhamos para reduzir riscos reais de segurança e proteger seu negócio contra incidentes.
Nossos diferenciais
Equipe 100% certificada em segurança da informação
Metodologia própria baseada em ISO 27001 e PCI DSS
Relatórios técnicos claros e acionáveis
Suporte contínuo durante todo o ciclo de conformidade
Atuação em português com documentação bilíngue
Parceria com ASVs e laboratórios reconhecidos
PCI DSS 4.0
Estamos atualizados com a versão 4.0 do PCI DSS, incluindo novos requisitos de autenticação multi-fator, criptografia TLS 1.2+, scripts autorizados e abordagem de segurança contínua.
Perguntas Frequentes sobre Auditoria PCI DSS
Tire suas dúvidas sobre auditoria PCI DSS no Brasil, documentos de conformidade e como a Access Security pode auxiliar sua organização durante todo o processo.
Não encontrou o que procurava? Fale diretamente com nossa equipe de especialistas em PCI DSS.
Falar com especialista em auditoria PCI DSSExplore Mais Conteúdos sobre PCI DSS
Guias completos sobre cada etapa da conformidade PCI DSS, do diagnóstico inicial à emissão dos documentos oficiais.
O que é PCI DSS
Entenda o significado do PCI DSS, os 12 requisitos e os níveis de conformidade exigidos pelas bandeiras de cartão.
Saiba maisOs 12 Requisitos do PCI DSS
Veja a explicação completa de cada um dos 12 requisitos da versão 4.0 do PCI DSS.
Saiba maisGAP Analysis PCI DSS
Identifique lacunas de conformidade antes da auditoria oficial e priorize o plano de remediação.
Saiba maisEmissão de ROC e AOC
Saiba como funciona a emissão do Report on Compliance e do Attestation of Compliance pelo QSA.
Saiba maisPentest PCI DSS
Conheça o pentest exigido pelo requisito 11.4 e a metodologia aplicada pela Access Security.
Saiba maisPCI DSS para Fintechs
Entenda quais fintechs precisam da certificação PCI DSS e como obter a conformidade.
Saiba maisPCI DSS para E-commerce
Veja os tipos de SAQ e os requisitos específicos para lojas virtuais e checkouts.
Saiba maisConsultoria LGPD
Assessment completo de adequação à LGPD com apoio de DPO certificado.
Saiba maisConsultoria CIS Controls
Avaliação de maturidade e implementação dos controles críticos de segurança CIS.
Saiba maisInicie sua jornada de conformidade PCI DSS
Fale com um de nossos analistas PCI DSS e descubra como a Access Security pode auxiliar sua organização na auditoria, consultoria e emissão de ROC e AOC.
Telefones
(11) 4198-8949
(11) 9 3344-3365
contato@accesssecurity.com.br
Localização
Barueri, SP - Brasil
Entre em Contato
Fale com um Especialista
Preencha o formulário ou entre em contato diretamente. Respondemos em até 24 horas.
Informações de Contato
contato@accesssecurity.com.br
Telefone
+55 (11) 4198-8949
Endereço
Av. Anápolis, 100 (Sala 908), Barueri - SP
Horário de Atendimento
Segunda a Sexta: 09h às 18h
Plantão 24/7 para incidentes