Calculadora do Custo da Conformidade PCI e Guia Prático

Sabe que a conformidade com o PCI não é opcional. O seu processador deixou isso claro. Mas ninguém lhe disse quanto isso iria realmente custar.

Liga a um consultor para pedir um orçamento. Dizem-lhe que «depende» e pedem uma chamada de descoberta de três horas. Pesquisa no Google «custo da conformidade com o PCI» e encontra valores entre 500 $ e 50 000 $. Isso não é um intervalo — é uma roleta.

Eis o que realmente determina o custo: a forma como aceita pagamentos. O número de locais e terminais que gere.

Se os seus sistemas estão protegidos ou completamente expostos. Se trata de tudo internamente, contrata um consultor ou recorre a um serviço gerido. E se os seus funcionários alguma vez — alguma vez — introduzem dados de cartões num navegador em vez de utilizarem um terminal.

Esta calculadora elimina o ruído.

Responda a algumas perguntas sobre a configuração dos seus pagamentos e o seu nível de segurança, e verá os totais do primeiro ano e anuais — além dos fatores que os determinam e de como reduzir o valor sem cortar caminho.

Como utilizar esta calculadora do custo da conformidade com o PCI

A calculadora analisa sistematicamente o seu ambiente:

1. Escolha a forma como aceita pagamentos. Apenas em loja, apenas online ou ambos? Cada canal acrescenta diferentes tarefas de conformidade — o comércio eletrónico cria requisitos de análise, o comércio a retalho acrescenta a gestão de dispositivos e uma abordagem omnicanal implica ambos.
2. Indique os locais e os terminais. Mais lojas e dispositivos POS significam mais políticas a elaborar, mais pontos terminais a proteger e mais gestão de dispositivos. A calculadora tem este fator em conta automaticamente.
3. Selecione o volume mensal de cartões. Um volume de transações mais elevado não multiplica os custos de forma linear, mas afeta os requisitos de auditoria e o escrutínio do processador. A calculadora ajusta o resultado em conformidade.
4. Ajuste as definições opcionais. Escolha o nível de proteção do seu sistema (Básico, Moderado ou Avançado). Decida quem trata da conformidade — internamente, internamente com apoio de um consultor ou de forma totalmente gerida. Indique se os funcionários introduzem os dados dos cartões nos navegadores e se os terminais utilizam P2PE validado. Estas escolhas alteram significativamente o total.
5. Veja a sua estimativa. Obtenha os custos do primeiro ano (incluindo a configuração) e os custos anuais recorrentes. A discriminação mostra os fatores que determinam o total — para que possa corrigir os itens mais dispendiosos.

O que determina realmente os custos da conformidade com o PCI

Alguns fatores controlam a maior parte dos custos. Compreenda-os e poderá tomar melhores decisões antes de assinar contratos.

• Fluxo de pagamentos e arquitetura. Um processo de pagamento alojado em que o seu site nunca toca nos dados dos cartões? Âmbito mínimo, custo mínimo. Sistemas POS locais na sua rede empresarial plana? Âmbito máximo, despesa máxima. Terminais validados com P2PE que encriptam os dados dos cartões no ponto de entrada? Ficam algures no meio — mas muito mais próximos do mínimo.
• Número de locais e terminais. Cada loja precisa de políticas, formação dos funcionários e, potencialmente, análises separadas. Cada terminal precisa de gestão de dispositivos, normas de configuração e correções de segurança. Cinco locais com 20 terminais custam mais do que um local com cinco terminais — mas não proporcionalmente mais se fizer tudo de forma inteligente.
• Maturidade da segurança. Sistemas já protegidos com redes segmentadas, gestão de correções, controlos de acesso e políticas documentadas? Custos mais baixos porque há menos a corrigir. Redes completamente expostas, onde o POS partilha a infraestrutura com o Wi-Fi, dispositivos de convidados e estações de trabalho administrativas? Custos mais elevados porque está a construir tudo de raiz.
• Tratamento interno versus serviços geridos. Os consultores custam dinheiro. Tratar de tudo internamente custa tempo. A questão não é saber qual é mais barato — é saber qual fica concluído dentro do prazo. Se tem uma equipa de TI que conhece a segmentação de redes e consegue executar análises de vulnerabilidades, tratar de tudo internamente funciona. Se é uma equipa de operações de duas pessoas responsável por 15 lojas, pague a alguém. A calculadora permite comparar ambas as opções.
• Pessoas e processos. A coisa mais dispendiosa que pode fazer é permitir que os funcionários introduzam dados de cartões nos navegadores — mesmo que ocasionalmente. Um gerente de loja que introduza dados de cartões num terminal virtual através de um portátil não protegido alarga o seu âmbito de alguns terminais para todos os dispositivos da sua rede. Corrija primeiro o fluxo de trabalho e só depois defina o orçamento para a conformidade.

Como transformar esta estimativa em ações concretas

Comece pelo custo atual.

Execute a calculadora com a sua configuração atual — com todos os problemas incluídos. Os funcionários introduzem dados de cartões nos navegadores? Assinale a opção. Rede plana? Escolha a segurança «Básica». Trata de tudo internamente? Selecione essa opção. Esse é o seu ponto de referência.

Compare com o risco de uma violação.

Uma violação de dados custa, em média, 200 $ por cartão comprometido em análise forense, notificação, reemissão e danos para a marca, de acordo com estimativas do setor.

Se processa 1 000 cartões por mês e sofre uma violação, isso representa uma exposição de 200 000 $. De repente, um programa anual de conformidade de 10 000 $ parece barato.

Modele a versão otimizada.

Agora execute novamente a calculadora com terminais P2PE, páginas de pagamento alojadas para comércio eletrónico e redes segmentadas.

Vê a diferença? Esse é o seu roteiro. Se a atualização para P2PE poupar 15 000 $ por ano em custos indiretos de conformidade, fica rapidamente paga.

Tenha em conta as penalizações dos processadores.

Muitos processadores cobram taxas por incumprimento — entre 50 $ e 200 $ por mês até concluir o seu SAQ e a declaração de conformidade. Só essas taxas podem pagar um consultor ou um serviço gerido.

O nosso guia sobre conformidade PCI para pequenas empresas explica as estruturas de penalizações por tipo de processador.

Relacione os custos com o seu SAQ.

Se a calculadora apresentar custos elevados e isso o surpreender, verifique em que SAQ se enquadra utilizando o nosso questionário sobre SAQ PCI. Se estiver limitado ao SAQ D (o enorme questionário com 329 perguntas), a calculadora mostra porquê — e como passar para um SAQ mais simples reduzindo o âmbito.

Formas concretas de reduzir o custo total sem fazer atalhos

• Utilize páginas alojadas para o comércio eletrónico. Mantenha os dados dos cartões completamente fora do seu sítio Web. Utilize páginas de pagamento alojadas, iframes ou campos de pagamento fornecidos pelo seu gateway — e não pelo seu CMS. Isto permite passar do SAQ A-EP ou D para o SAQ A, reduzindo os custos anuais em milhares.
• Implemente terminais validados para P2PE. A encriptação ponto a ponto significa que os dados dos cartões são encriptados no terminal e permanecem encriptados até serem desencriptados pelo seu processador. Sem dados de cartões em texto simples no seu ambiente, o âmbito é menor, há menos controlos e as auditorias são mais curtas. Pergunte ao seu processador sobre as opções P2PE — o custo do terminal é rapidamente recuperado.
• Segmente as suas redes. Os sistemas POS e os terminais de pagamento não devem partilhar a infraestrutura de rede com o Wi-Fi, os dispositivos administrativos ou o acesso de convidados. Uma VLAN segmentada para os sistemas de pagamento reduz o seu CDE (ambiente de dados dos titulares de cartões), passando de toda a sua rede para apenas a sub-rede de pagamento. Esta alteração pode reduzir o trabalho de conformidade em 60%.
• Automatize as análises e a aplicação de correções. A maioria dos SAQ exige análises trimestrais de vulnerabilidades. As análises mensais são melhores — detetam problemas antes de estes se tornarem sinais de alerta numa auditoria. A gestão automatizada de correções mantém os sistemas atualizados sem intervenções de emergência. Ambas reduzem o trabalho inesperado durante os ciclos de conformidade.
• Documente tudo desde o primeiro dia. Políticas, registos de formação, registos de alterações e listas de inventário. Se não estiver documentado, não aconteceu — e os auditores obrigá-lo-ão a repetir o trabalho. Registe tudo à medida que avança, em vez de tentar recuperar o atraso antes da validação anual.
• Forme o pessoal sobre o porquê, e não apenas sobre o quê. "Não escreva os números dos cartões" é uma regra. "Escrever os números dos cartões significa que ficam abrangidos pelo âmbito, o que triplica os nossos custos de conformidade e nos expõe à responsabilidade por uma violação de dados" é uma razão. O pessoal formado segue as políticas — quem compreende o motivo faz cumprir as políticas.
• Proteja os terminais virtuais. Se a sua equipa utiliza terminais virtuais (introdução de dados de cartões através da Web), restrinja o acesso a dispositivos específicos, utilize autenticação multifator e registe todas as sessões. Melhor ainda, elimine completamente os terminais virtuais implementando terminais em todos os locais que precisam de aceitar pagamentos.

Quando fazer internamente e quando contratar ajuda

Fazer internamente funciona quando:

• Tem menos de cinco locais e um volume de transações reduzido
• A sua equipa de TI compreende a segmentação de redes, a análise de vulnerabilidades e os controlos de acesso
• Já utiliza páginas de pagamento alojadas ou terminais P2PE (âmbito reduzido)
• Tem tempo para aprender os requisitos PCI e documentar tudo

Contrate um consultor quando:

• Está limitado ao SAQ D e não sabe como reduzir o âmbito
• Tem ambientes complexos — comércio a retalho com vários locais e sistemas centralizados
• A sua equipa de TI está no limite e não consegue assumir o trabalho de conformidade
• Precisa de alguém que transforme os requisitos PCI em correções técnicas concretas

Opte por uma solução totalmente gerida quando:

• Não tem uma equipa de TI interna além do suporte básico
• Está a crescer rapidamente e a conformidade continua a falhar
• As contas compensam — os serviços geridos custam menos do que o tempo da sua equipa mais os honorários de consultoria
• Pretende uma validação anual garantida sem gestão interna de projetos

A calculadora permite-lhe modelar as três abordagens. Compare os valores e depois decida com base na capacidade da sua equipa — e não apenas no custo monetário.

O custo oculto: fazer tudo mal

A calculadora mostra os custos diretos — ferramentas, serviços e tempo. Não mostra o custo de fazer mal a conformidade PCI.

• Custos de uma violação. Em média, $200 por cartão, de acordo com estimativas do setor. Os pequenos retalhistas que processam 500 cartões por mês enfrentam uma exposição de $100,000 perante um comprometimento total — perícia, notificação, reemissão dos cartões, honorários jurídicos e danos à marca.
• Penalizações do processador. As taxas de não conformidade, entre $50 e $200 por mês, somam até $2,400 por ano. Isso paga um consultor. Isso paga terminais P2PE. Isso paga um serviço gerido. Vai pagar de qualquer forma — mais vale pagar pela conformidade do que pelas penalizações.
• Auditorias falhadas. Se o seu processador exigir um Relatório de conformidade (ROC) em vez de uma autoavaliação e a sua empresa falhar, terá de suportar os custos de correção, além de outro ciclo de auditoria. O orçamento aumenta. Os projetos sofrem atrasos. As equipas ficam sob pressão.
• Expansão do âmbito causada por atalhos. Naquela vez em que permitiu que um gerente introduzisse os dados de um cartão num portátil não controlado? Parabéns: o âmbito da sua conformidade acabou de passar de três terminais para todos os dispositivos da sua rede. O custo de corrigir isso é 10 vezes superior ao custo de implementar mais um terminal.
• Calcule o valor real — e depois aja com base nele. Utilize esta ferramenta para compreender os custos. Depois, utilize o nosso Questionário PCI SAQ para confirmar o seu tipo de SAQ e o nosso guia de conformidade PCI para pequenas empresas para definir o seu plano de ação.

E se o seu valor for superior ao esperado?

Se a calculadora apresentar custos que não esperava, não entre em pânico. Tem opções.

• Valide primeiro o seu SAQ.

Utilize o nosso Questionário PCI SAQ para confirmar que está a preencher o questionário correto.

Muitas empresas partem do princípio de que se enquadram no SAQ D, quando poderiam qualificar-se para o B ou C com pequenas alterações. Passar para um SAQ mais simples reduz imediatamente os custos.

• Concentre-se nas alterações à arquitetura.

A transição de páginas de pagamento no local para um processo de pagamento alojado pode reduzir os custos anuais em $10,000+.

A implementação de terminais P2PE em vez de terminais padrão permite poupar no trabalho contínuo de análise e auditoria. Estas não são soluções temporárias — são reduções permanentes de custos.

• Implemente o trabalho por fases.

Não tem de corrigir tudo de uma só vez.

Comece pelas alterações com maior impacto — segmentação da rede, implementação de P2PE e processo de pagamento alojado — e depois trate das políticas e da documentação. A calculadora apresenta os custos totais, mas pode distribuir o trabalho ao longo dos trimestres.

• Compare os seus fornecedores.

Os gateways de pagamento variam muito na quantidade de encargos de conformidade PCI que criam.

Alguns tratam da conformidade por si. Outros transferem toda a responsabilidade para si. A nossa comparação dos melhores fornecedores de gateways de pagamento inclui considerações relativas à PCI — porque o gateway mais barato deixa de ser barato se triplicar os seus custos de conformidade.

• Obtenha propostas de vários fornecedores.

Se a calculadora indicar que precisa de ajuda, solicite propostas a vários QSAs (Qualified Security Assessors) ou fornecedores de serviços geridos.

Os preços variam 3x entre fornecedores para trabalhos idênticos. Compare as opções.