TL;DR
- Webinar sobre PCI DSS 4.0.1 com a VikingCloud: a cside fez uma parceria com a VikingCloud, a maior empresa global de QSA e segurança para conformidade PCI, em dois webinars sobre como implementar o PCI DSS 4.0.1, com foco especial nos requisitos 6.4.3 e 11.6.1.
- Principal conclusão: as sessões destacam que 6.4.3 e 11.6.1 já são exigíveis e se aplicam até aos comerciantes SAQ A, e que estar em conformidade não é o mesmo que estar seguro.
Fizemos uma parceria com a VikingCloud, a maior empresa global de QSA e segurança para conformidade PCI, em 2 webinars que oferecem todo o contexto e as informações necessárias para implementar o PCI DSS 4.0.1. Com foco especial nos requisitos 6.4.3 e 11.6.1.
Formulário não aparece? - clique aqui
Alguns tópicos que abordámos:
O PCI DSS 4.0.1 já é exigível
Muitas organizações estão atrasadas na adoção destas mudanças, especialmente os requisitos 6.4.3 e 11.6.1, que entraram em vigor no início de 2025.
Os comerciantes SAQ A não estão isentos de riscos reais
Mesmo que o SAQ A dispense a maioria dos requisitos técnicos, os ataques do lado do cliente ainda podem visar páginas de pagamento, especialmente através de iframes, redirecionamentos ou scripts de terceiros.
Os requisitos 6.4.3 e 11.6.1 aplicam-se mesmo que seja SAQ A
Muitas configurações SAQ A carregam scripts de terceiros no navegador do utilizador. Estes scripts podem ser adulterados, pelo que a monitorização é essencial, apesar da categorização SAQ "simplificada".
Conformidade ≠ Segurança
É possível estar tecnicamente em conformidade e continuar vulnerável. A deteção proativa de ameaças importa mais do que abordagens de mera verificação formal.
As ferramentas por si só não bastam
As organizações precisam de uma combinação de tecnologia + processos + pessoas para implementar corretamente o PCI 4.0.1.
Algumas perguntas que respondemos:
"Somos um fornecedor de serviços de Nível 1 que disponibiliza interfaces JavaScript. Como podemos proteger-nos contra problemas do lado do comerciante, que não controlamos?"
"Poderíamos ter sofrido um ataque do lado do cliente sem sabermos? E se a violação tiver ocorrido há meses e, entretanto, já tivermos feito alterações?"
"Sou consultor de risco. Devo levar isto à equipa de TI e aos quadros superiores?"
"Uso o Stripe. Estou seguro?"
