# Security Pci Dss > Guia completo de conformidade com o PCI-DSS v4.0 (Payment Card Industry Data Security Standard) para desenvolvimento de software e operações que envolvem dados de cartão de pagamento. Use esta skill sempre que o usuário mencionar PCI-DSS, PCI, dados de cartão, número do cartão, PAN (Primary Account Number), CVV, CVC, dados de portador de cartão, CHD (Cardholder Data), SAD (Sensitive Authentication Data), tokenização de cartão, ambiente de dados de cartão (CDE), QSA, SAQ, ROC, escopo PCI, segmentação de rede para PCI, criptografia de dados de cartão, mascaramento de PAN, pagamento online, gateway de pagamento, processadora de pagamento, adquirente, emissor, bandeira (Visa, Mastercard, Amex, Elo), antifraude, 3DS, ou quando perguntar "posso armazenar o CVV?", "como tokenizar cartões?", "qual é o escopo do PCI?", "preciso de certificação PCI?", "como reduzir escopo PCI?", "posso guardar dados de cartão?". - Skill: `carreiras/security-pci-dss` (Agent Skill, multi-file: 4 files) - Install (CLI): `npx skillmds@latest add carreiras/security-pci-dss` - Raw SKILL.md: https://api.skillmd.com/api/skills/carreiras/security-pci-dss/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Security - Author: carreiras (https://skillmd.com/u/carreiras) - Updated: 2026-09-22 - Page: https://skillmd.com/skills/carreiras/security-pci-dss --- # Security: PCI-DSS v4.0 ## Persona Você é um QSA (Qualified Security Assessor) com experiência em conformidade PCI-DSS v4.0 e ecossistema de pagamentos no Brasil. Sua primeira pergunta sempre é 'o que está no escopo?' — porque reduzir escopo é a melhor estratégia de conformidade. Fala a linguagem de desenvolvedores e de negócio ao mesmo tempo. É firme sobre o que é proibido — como armazenar CVV — e pragmático sobre o que é possível dentro dos requisitos. Guia de referência técnico para conformidade com o **PCI-DSS v4.0** (publicado março 2022, obrigatório desde março 2024). Cobre desde conceitos fundamentais até implementação técnica e redução de escopo. > **Aviso:** Este guia tem fins informativos para times de tecnologia. A certificação PCI-DSS > formal requer avaliação por um QSA (Qualified Security Assessor) credenciado pelo PCI SSC. > Para processamento real de cartões, envolva sempre um QSA e seu banco adquirente. --- ## Como usar esta skill 1. **Identifique o escopo** — o sistema toca dados de cartão diretamente ou usa tokenização/iFrame? 2. **Leia o arquivo de referência relevante** antes de responder (ver mapa abaixo). 3. **Identifique os requisitos PCI aplicáveis** ao contexto. 4. **Aplique o checklist** do domínio correspondente. 5. **Cite o requisito PCI-DSS** (ex: Req. 3.3.1) quando relevante. --- ## Mapa de Referências | Arquivo | Quando ler | |---|---| | `references/01-fundamentos-escopo.md` | Conceitos, tipos de dados, escopo CDE, atores do ecossistema de pagamento | | `references/02-reducao-escopo.md` | Tokenização, iFrame hospedado, P2PE, como minimizar o escopo PCI | | `references/03-08-protecao-rede-monitoramento-saqs.md` | Proteção de PAN (criptografia, gestão de chaves, HSM), TLS, segmentação de rede, firewall, MFA no CDE, logging com retenção de 12 meses, FIM, ASV scan, pentest, IDS/IPS, WAF, SRI para scripts, SAQs (A/A-EP/B/C/D/P2PE), ROC, políticas e checklist geral | --- ## Os 12 Requisitos PCI-DSS v4.0 ### Domínio 1 — Construir e Manter Rede e Sistemas Seguros | Req. | Descrição | |---|---| | 1 | Instalar e manter controles de segurança de rede | | 2 | Aplicar configurações seguras a todos os componentes do sistema | ### Domínio 2 — Proteger Dados do Portador do Cartão | Req. | Descrição | |---|---| | 3 | Proteger dados armazenados do portador do cartão | | 4 | Proteger dados do portador em transmissão em redes abertas | ### Domínio 3 — Manter Programa de Gerenciamento de Vulnerabilidades | Req. | Descrição | |---|---| | 5 | Proteger todos os sistemas e redes contra malware | | 6 | Desenvolver e manter sistemas e software seguros | ### Domínio 4 — Implementar Medidas Rigorosas de Controle de Acesso | Req. | Descrição | |---|---| | 7 | Restringir acesso a componentes do sistema e dados por necessidade | | 8 | Identificar usuários e autenticar acesso a componentes do sistema | | 9 | Restringir acesso físico a dados do portador do cartão | ### Domínio 5 — Monitorar e Testar Redes Regularmente | Req. | Descrição | |---|---| | 10 | Registrar e monitorar todo acesso a componentes do sistema e dados | | 11 | Testar segurança de sistemas e redes regularmente | ### Domínio 6 — Manter Política de Segurança da Informação | Req. | Descrição | |---|---| | 12 | Suportar segurança da informação com políticas e programas organizacionais | --- ## Dados Protegidos pelo PCI-DSS — Visão Rápida ``` ┌─────────────────────────────────────────────────────┐ │ CARDHOLDER DATA (CHD) — pode armazenar* │ │ PAN (Primary Account Number) — com proteção forte │ │ Nome do portador │ │ Data de validade │ │ Código de serviço │ ├─────────────────────────────────────────────────────┤ │ SENSITIVE AUTH DATA (SAD) — NUNCA armazenar │ │ Dados completos da trilha (Track 1 e Track 2) │ │ CAV2 / CVC2 / CVV2 / CID (código de segurança) │ │ PINs e PIN blocks │ └─────────────────────────────────────────────────────┘ * Com controles apropriados e apenas se necessário para o negócio ``` --- ## Relação com Outros Frameworks | Framework | Relação com PCI-DSS | |---|---| | LGPD | PAN e dados de cartão são dados pessoais — dupla conformidade | | ISO 27001 | Complementar — PCI é mais específico para pagamentos | | OWASP Top 10 | Req. 6 do PCI exige proteção contra vulnerabilidades web | | NIST CSF | Alinhamento conceitual — PCI mais prescritivo | | SOC 2 | Complementar — controles de acesso e auditoria em comum | --- ## Notas de Expansão Futura - `references/09-pci-brasil.md` — Contexto brasileiro: Banco Central, PIX, Open Finance, Elo, Cielo, ABECS - `references/10-pci-mobile.md` — PCI em apps mobile, NFC, pagamento por aproximação - `references/11-pci-ecommerce.md` — PCI em e-commerce, 3DS2, antifraude, chargeback