Quanto do PCI DSS v4.0.1 a ISO 27001 realmente cobre?

Organizações que aceitam pagamentos com cartão e já mantêm um SGSI baseado na ISO 27001 costumam esperar que o PCI DSS seja uma pequena extensão. Os números dizem o contrário. Veja como a ISO 27001 se alinha a todo o PCI DSS v4.0.1, requisito por requisito, e por que a lacuna é maior do que a sobreposição de tópicos sugere.

O número principal

Dos 260 requisitos de PCI DSS, 77 (30%) mapeiam para algo em ISO 27001, 76 são apenas vagamente relacionados e 107 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Menos de um terço dos requisitos do PCI DSS corresponde a algo na ISO 27001, e um número semelhante está apenas vagamente relacionado. Quase todos os tópicos do PCI existem em algum ponto do Anexo A, então isto não é uma lacuna de tópicos. É uma lacuna de detalhe.

Onde está a sobreposição

seção PCI DSS	Mapeado	Vagamente relacionado	Sem mapeamento
Requirement 1: Install and maintain network security controls	4 de 19	3	12
Requirement 2: Apply secure configurations to all system components	2 de 11	3	6
Requirement 3: Protect stored account data	8 de 29	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	2 de 6	2	2
Requirement 5: Protect all systems and networks from malicious software	4 de 13	5	4
Requirement 6: Develop and maintain secure systems and software	10 de 19	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	3 de 12	3	6
Requirement 8: Identify users and authenticate access to system components	6 de 29	15	8
Requirement 9: Restrict physical access to cardholder data	8 de 27	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	6 de 27	10	11
Requirement 11: Test security of systems and networks regularly	3 de 21	6	12
Requirement 12: Support information security with organizational policies and programs	21 de 37	10	6
Appendix A: additional requirements	0 de 10	0	10

Tem ISO 27001, precisa de PCI DSS. Requisito a requisito: abrir o relatório de lacunas →

A sobreposição se concentra nas partes do PCI DSS que se parecem com qualquer padrão de segurança: políticas e papéis no início de cada requisito, risco e governança no Requisito 12, princípios de controle de acesso no Requisito 7 e resposta a incidentes. O sistema de gestão da ISO 27001 e o Anexo A cobrem bem esses pontos.

Por que a maior parte do PCI DSS é trabalho novo

O PCI DSS é prescritivo, enquanto a ISO 27001 é baseada em risco. O Anexo A diz "gerenciar vulnerabilidades técnicas"; o PCI DSS diz como, com que frequência e com qual scanner. As linhas sem mapeamento são dominadas por requisitos como estes:

• Tratamento de dados de conta (Requisito 3): o que nunca pode ser armazenado após a autorização, mascaramento do PAN na exibição, torná-lo ilegível onde quer que seja armazenado e procedimentos detalhados de gestão de chaves.
• Frequências específicas: varreduras internas de vulnerabilidades a cada três meses e após mudanças significativas, varreduras externas por um Approved Scanning Vendor, revisões de logs e revisões de acesso a cada seis meses.
• Configurações técnicas específicas: MFA para todo acesso ao ambiente de dados do titular do cartão, tempos limite de sessão, tamanhos mínimos de senha e limites de bloqueio.
• Controles específicos de pagamento: gestão de scripts nas páginas de pagamento e detecção de adulteração, e inspeção de dispositivos leitores de cartão quanto a adulterações.
• Análises de risco direcionadas: a v4.0 introduziu análises de risco que definem a frequência de algumas atividades, que então devem ser documentadas.

A ISO 27001 permite escolher tudo isso por meio do tratamento de riscos. O PCI DSS decide por você.

O que um SGSI ainda oferece

O terço mapeado não é trivial. Um SGSI que inclui o ambiente de dados do titular do cartão no escopo oferece a estrutura de políticas, a avaliação de riscos, os papéis, a gestão de fornecedores, a resposta a incidentes e a auditoria interna de que a conformidade com o PCI depende ano após ano. O Requisito 12 se parece com um resumo das cláusulas 4 a 10 da ISO, e organizações com um SGSI geralmente acham o lado de governança do PCI DSS simples.

Como planejar

1. Inclua o ambiente de dados do titular do cartão no escopo do SGSI e adicione o PCI DSS aos seus requisitos legais e contratuais (A.5.31).
2. Execute o relatório de análise de lacunas ISO 27001 → PCI DSS e trate cada requisito não mapeado como um controle a ser projetado, não como um mapeamento a ser encontrado.
3. Reduza o escopo antes de construir os controles: segmentação, tokenização e páginas de pagamento terceirizadas podem retirar grandes partes do PCI DSS do escopo.
4. Use as frequências do PCI nos controles do seu SGSI, para que um único controle atenda aos dois: a ISO é satisfeita com qualquer frequência bem fundamentada, então escolha a do PCI.

A comparação ISO 27001 vs PCI DSS lista todos os requisitos nas duas direções. O texto do PCI DSS é de direitos autorais do PCI SSC, por isso os títulos dos requisitos neste site são nossos resumos curtos.

Perguntas

A certificação ISO 27001 atende ao PCI DSS?

Não. As bandeiras de cartão exigem a validação do PCI DSS (um Relatório de Conformidade ou um Questionário de Autoavaliação), independentemente da certificação ISO. Um SGSI ajuda a conduzir o programa, mas a maioria dos requisitos do PCI é mais específica do que o Anexo A.

Quais requisitos do PCI DSS a ISO 27001 cobre melhor?

Governança e políticas (Requisito 12), princípios de controle de acesso (7) e resposta a incidentes se mapeiam bem. As lacunas se concentram em configurações técnicas específicas, frequências e tratamento de dados de conta.