O que entregamos
A FF Tech ajuda times de tecnologia e segurança a organizar escopo, controles, evidências e plano de ação antes de auditorias e revisões alinhadas ao PCI DSS (requisitos do setor de pagamentos para proteção de dados de cartão). O foco está no que precisa sair do papel: definição de escopo do ambiente de dados de cartão, controles de acesso, trilhas de auditoria, hardening, monitoração, documentação e tratamento de lacunas. Não substituímos o avaliador qualificado (QSA), mas preparamos o terreno para que a auditoria transcorra com menos surpresas e com evidência rastreável.
O problema que resolve
Organizações que processam, armazenam ou transmitem dados de cartão e precisam se preparar para auditorias PCI DSS, mas não sabem por onde começar ou têm lacunas técnicas a resolver.
CISOs, heads de segurança, responsáveis por compliance e times técnicos envolvidos na conformidade com o PCI DSS.
Antes de auditorias PCI DSS, quando há lacunas conhecidas nos controles, quando o escopo do ambiente de dados de cartão precisa ser definido ou revisado, ou quando o time precisa de apoio técnico para organizar evidências.
Escopo de atuação
Entregáveis
Como o trabalho acontece, na prática
Escopo primeiro
O PCI DSS se aplica a tudo que armazena, processa ou transmite dados de cartão e a tudo que se conecta a esse ambiente ou pode afetar sua segurança. O primeiro passo é mapear o fluxo do número do cartão (PAN) por sistemas, redes, pessoas e fornecedores. Reduzir o escopo, com segmentação de rede, tokenização, criptografia ponto a ponto ou terceirização do pagamento para um provedor em conformidade, costuma ser a decisão mais econômica, porque cada sistema no escopo precisa de controles e de evidências. A segmentação, porém, precisa ser validada por teste, não apenas desenhada.
Requisitos que mais exigem trabalho
Controles de rede (requisito 1), proteção dos dados armazenados (3), configuração segura e gestão de vulnerabilidades, identificação e autenticação, incluindo MFA (8), registro e monitoração de acessos (10) e testes de segurança, como varreduras e testes de penetração (11). Pontos comuns de falha: PAN visível em logs, senhas padrão, contas compartilhadas, logs sem revisão e varreduras sem tratamento dos achados. A versão vigente é a 4.0.1, e os requisitos novos da 4.0 que eram considerados boas práticas passaram a ser obrigatórios em 31 de março de 2025.
Evidência e papel do avaliador
Auditoria é prova: cada controle precisa de evidência organizada por requisito, como configurações, registros, políticas e amostras de logs, e não basta que ele exista. A evidência deve cobrir todo o período avaliado, não só o dia da auditoria. O QSA (avaliador de segurança qualificado do PCI) é quem valida a conformidade e emite o relatório (ROC); conforme o tipo de entidade e as exigências de quem cobra a conformidade, algumas organizações podem usar o questionário de autoavaliação (SAQ). A preparação existe para chegar a essa etapa sem surpresas e com um plano de ação, com responsáveis, para as lacunas.
Diferenciais
- Abordagem técnica, não apenas documental
- Foco em implementação real de controles, não apenas listas de verificação
- Experiência em ambientes cloud e híbridos
Metodologia
Definição de escopo e ambiente de dados de cartão
Análise de lacunas frente aos requisitos
Priorização e plano de ação
Implementação de controles
Organização de evidências
Preparação final e suporte ao avaliador qualificado
Destaques
Perguntas frequentes
Pronto para avançar?
Conte sobre seu contexto e desafios. Respondemos com uma proposta clara.