Boas Prticas de

Segurana da
Informao
Regras para proteo de dados de
cartes para a pequena e mdia
empresa.
Prezado Cliente,

A constante evoluo da tecnologia est sempre rompendo paradigmas,

tornando realidade o que antes era impossvel ou at imaginvel. As fronteiras
desaparecem, negcios so realizados em mbito global fazendo com que bens
e servios, antes acessveis somente em escala regional de distribuio
pudessem ser adquiridos em qualquer parte do planeta.

No entanto, este cenrio expe os negcios a novos riscos to

inimaginveis quanto aos novos benefcios oferecidos pela revoluo
tecnolgica.
gica. Novas modalidades de fraudes
fraudes so geradas medida que a
tecnologia avana e proteger sua plataforma tecnolgica contra o ataque de
fraudadores se tornou to importante quanto proteger sua loja fisicamente
fisicamente.

Acreditamos que a chave para a proteo do mercado, reside no

compartilhamento
nto do conhecimento. Desta forma, este documento contm
regras bsicas para segurana das informaes que, se aplicadas em sua
totalidade, sero de grande valia para a proteo seu negcio reduzindo riscos
de ataques, comprometimento de informaes confidenciais e fraudes.

Boa leitura,

2
Sumrio

1. Dados de Carto ................................................................................................

................................ .........................................................4
2. Arquitetura de Rede ................................................................................................
.................................................6
3. Redes Sem Fio ..............................................................................................................................
................................ .............................. 7
4. Servidores e Estaes de Trabalho ................................................................
.................................................9
5. Centrais de Atendimento ................................................................................................
................................... 13
6. Gesto de Segurana ................................................................................................
........................................... 15

3
1. Dados de Carto

Os comrcios que operam com cartes possuem as mais diversas configuraes

de ambiente e especificidades no tratamento do dado de carto e a obteno
destes dados o principal objetivo dos criminosos. No entanto, quais seriam
estas informaes?
So considerados
iderados como dados de cartes:
Nmero do Carto, ou PAN (Primary Account Number).
Nome do Portador.
Data de vencimento do carto.
Cdigo de segurana.
Contedo da tarja magntica

1.1. Evite armazenar os dados de carto aps a autorizao da transao.

O armazenamento destas informaes no recomendvel, porm ao se
cogitar a possibilidade de armazen-las,
armazen las, sugerimos que seja feita uma anlise
critica em que seja questionado se estes dados so realmente necessrios
lembrando que a Cielo oferece o TID ou cdigo de transao o qual pode ser
usado para identificar qualquer transao em nossos sistemas sem a
necessidade do nmero do carto.

1.2. No armazene o Cdigo de Segurana em hiptese alguma.

O armazenamento desta informao em conjunto com os outros dados do
carto permite que criminosos realizem compras fraudulentas.

1.3. No envie dados de carto via email, Skype, MSN, Gtalk, redes sociais ou
qualquer outro mecanismo de troca de mensagens via internet
internet.
A partir do momento em que uma mensagem deste tipo enviada no
possvel controlar a disseminao desta informao. Proibir o envio de dados

4
 de carto por estes meios de comunicao necessrio para evitar o
vazamento de informaes e fraudes.

1.4. Caso os dados de carto sejam manipulados no ambiente de algum de

seus fornecedores, exija contratualmente que a empresa esteja certificada
no PCI DSS.
O PCI DSS (em portugus, Padro de Segurana de Dados da Indstria de
Cartes de Pagamento) um padro internacional para a proteo de
informaes de carto. Nele se encontram mais de 200 regras de segurana a
serem implementadas em ambientes nos quais o dado de carto trafegado,
processado ou armazenado.
Recomendamos a conformidade de seu ambiente ao PCI PCI DSS. No entanto,
obrigatrio que seus fornecedores (gateways de pagamento, data centers e
outros fornecedores de solues) sejam certificados no padro e que esta
obrigao se d contratualmente.

5
2. Arquitetura de Rede

A arquitetura de rede o desenho

desenho de um sistema de comunicaes que inclui
roteadores, switches e outros dispositivos, alm dos mtodos de acesso a serem
utilizados.
Na definio de uma arquitetura de rede importante considerar a segurana
das informaes, pois a perspectiva de proteo
proteo do ambiente pode determinar a
forma pela qual os dispositivos sero inseridos no desenho. O mesmo vale para
posteriores mudanas no ambiente porque uma alterao estrutural pode tornar
o ambiente vulnervel.

2.1. Segregue os seus dispositivos em redes especficas de acordo com a sua

funo para o negcio.
negcio
Faz parte de uma arquitetura de rede segura a separao de dispositivos em
redes de acordo com a sua funo. Por exemplo, a rede do primeiro andar, a
rede dos servidores de banco de dados, etc.
Esta medida melhora o desempenho da sua rede e permite a definio de
poltica de acessos mais efetiva entre as redes.

2.2. Se seu ambiente possui mais de uma rede, instale firewalls entre elas
separando os servidores com informaes confidenciais em uma rede
especfica
fica e bloqueando qualquer acesso com origem na internet e destino
na rede interna que no esteja diretamente ligado ao seu negcio.
Firewalls so dispositivos que possuem o objetivo de filtrar o trfego entre
redes permitindo ou negando acessos entre elas dependendo da maneira em
que esto configurados e podendo atuar como uma camada de proteo
contra ataques.
Proteger uma rede pressupe definir nveis de segurana para os
equipamentos de acordo com a criticidade da informao neles
armazenados. A melhor forma de realizar isto criar redes especficas para os
equipamentos com informaes de maior criticidade para o negcio e
conceder, atravs de firewalls o acesso a informaes somente as pessoas
necessrias.

2.3. Restrinja o acesso remoto ao seu ambiente ao menor

menor nmero de pessoas
possvel
O acesso remoto ao ambiente precisa ser controlado de modo que somente
aqueles que necessitam acessar o ambiente nesta modalidade o faam.

2.4. Criptografe todas as conexes remotas.

Todos os acessos remotos, sobretudo com origem na Internet devem ser
criptografados,, por exemplo
exemplo,, usando VPNs. Esta medida tem o objetivo de
evitar a obteno de dados confidenciais como usurios e senha atravs da
captura das informaes em trnsito.

6
3. Redes Sem Fio

O uso da tecnologia de redes sem fio tem facilitado muito as atividades nas
empresas, sobretudo naquelas que exigem grande mobilidade de seus
colaboradores. No entanto, dispositivos mal configurados ou em uma
arquitetura de rede desprotegida podem colocar em risco todas as infor
informaes
da empresa.

3.1. Caso o seu ambiente possua pontos de acesso sem fio, concentre
concentre-os em
uma rede separada d
da rede interna e mantenha seu acesso filtrado por
firewall.
Manter pontos de acesso sem fio na rede interna uma vulnerabilidade, pois
na ocorrncia do acesso no autorizado ao ponto de acesso o criminoso
poder acessar qualquer computador da rede. A segmentao do acesso
atravs de firewall cria uma barreira adicional ao ataque.

3.2. Personalize os pontos de acesso desativando todas as configuraes de

fbrica.
Os pontos de acesso sem fio possuem uma configurao de fbrica que
geralmente reduz o nvel de segurana ao mnimo para a seu funcionamento.
Criminosos se aproveitam do baixo nvel de seguranasegurana presente nos
dispositivos configurados desta forma para invadir o equipamento distncia
e chegar a rede interna da vtima. Desta forma, importante que antes de
inserir o ponto de acesso na rede interna sejam alteradas todas as
configuraes como nome
no do equipamento, senhas, etc.

3.3. Se aplicvel, ative o mecanismo de logs do ponto de acesso.

A maioria dos pontos de acesso sem fio possuem um mecanismo que
armazena registros contendo o histrico de acessos ao equipamento em
arquivos de log. importante ativar
ativar este mecanismo para que seja possvel
obter informaes sobre um determinado equipamento invasor no caso de
um acesso no autorizado ao ponto de acesso.

3.4. Nunca utilize o mtodo de autenticao WEP (Wired Equivalent Privacy).

A concesso do acesso a uma
um rede sem fio realizada por meio do envio de
uma senha criptografada do computador cliente para o ponto de acesso.
Caso a senha esteja correta, o acesso ao computador cliente permitido. A
criptografia da senha realizada por meio de um mtodo de autenticao
aute e
atualmente existem alguns mtodos de autenticao disponveis pr-
configurados nos pontos de acesso. Dentre eles o mais vulnervel o WEP
em que possvel capturar facilmente a senha em trnsito. Desta forma,

7
 recomendamos o uso do mtodo WPA2 o qual possui uma proteo mais
robusta.

3.5. Realize periodicamente um inventrio fsico e lgico de seus pontos de

acesso sem fio.
Esta medida possui o objetivo de evitar que pontos de acesso sejam
instalados de maneira no autorizada. Desta forma, importante realizar uma
varredura peridica das instalaes fsicas em busca de redes que no faam
parte do ambiente.

8
4. Servidores e Estaes de Trabalho

A proteo de servidores e estaes compreende todas as atividades para a

configurao destes ativos com o objetivo de implementar medidas de controle
de acesso, atualizaes de software, proteo contra vrus e gerao trilhas de
auditoria.

4.1. No utilize softwares no confiveis em seu ambiente.

Evite utilizar softwares piratas em seu ambiente, bem como aqueles que no
passaram por um processo de homologao.

4.2. Instale antivrus em todos os computadores, mantenha-o

mantenha o atualizado e o
configure para realizar scans automticos periodicamente.
Antivrus um componente essencial para a proteo dos computado
computadores
contra diversas ameaas disseminadas pela internet. Atualmente existem
sistemas deste tipo disponveis para grande parte dos sistemas operacionais
do mercado. importante manter estas ferramentas atualizadas e configur
configur-
las para realizar varreduras automticas
au ao
o mnimo semanalmente.

4.3. Ative o firewall do sistema operacional.

Muitos sistemas operacionais possuem esta funcionalidade. importante
ativ-la,
la, sobretudo nos computadores com acesso direto internet.

4.4. Instale todas as atualizaes de software fornecidas

fornecidas pelo fabricante de seu
sistema.
Todo fabricante de software, eventualmente disponibiliza atualizaes para
seu produto. Estas atualizaes corrigem problemas no funcionamento do
software e tambm falhas de segurana. importante tante estabelecer um
processo peridico ou automatizado para a atualizao de todo o ambiente.

4.5. Desabilite qualquer funcionalidade ou servio desnecessrio para a funo

de um servidor.
Geralmente, a ativao de servios em servidores e estaes de trabalho
acarreta na abertura de portas de acesso nestes equipamentos. Partindo deste
pressuposto, a ativao de servios os quais no esto em uso mantm
portas de acesso abertas sem necessidade. Criminosos se aproveitam desta
situao usando estas portas como ponte para invadir o equipamento.
equipamento.

4.6. Renomeie as contas de administrador instaladas por padro nos Sistemas

Operacionais. Use nomes especficos para o seu ambiente.
Todos os sistemas operacionais so instalados com contas de acesso
administrativo padro. Por exemplo, a conta administrativa
administrativa dos Sistemas
Operacionais da famlia Windows Administrator e a conta com a mesma
funo em sistemas Unix root.
Estas contas de acesso so de conhecimento comum, de maneira que
criminosos as usam em seus ataques automatizados e de grande es
escala.

9
 importante que estes nomes de conta sejam alterados para nomes de
conhecimento das equipes que atuam na administrao dos equipamentos
de sua empresa.

4.7. Atribua uma conta de acesso para cada funcionrio ou prestador de

servios com acesso ao ambiente.
ambient
O uso de contas individuais permite que sejam concedidos acessos
especficos para cada funcionrio ou prestador de servio e tambm que no
caso de incidente ((invaso, fraude, sabotagem ou erro operacional) seja
identificada com qual conta de acesso ocorreu o problema.

4.8. No permita o compartilhamento de contas de acesso ou o uso de contas

de acesso genricas em seu ambiente.
A senha de uma conta de acesso somente deve ser de conhecimento de seu
dono.
Compartilhar senhas ou usar contas genricas para o uso coletivo acarreta no
risco de se conceder mais acessos do que o necessrio para um usurio.
Alm disso, esta situao expe o ambiente ao risco de vazamento de
informaes ou sabotagem, pois com o uso de senhas de conhecimento
comum se torna quase im impossvel
possvel chegar ao usurio que realizou a ao
atravs da anlise dos logs.

4.9. Implemente uma poltica de controle de acessos lgicos concedendo aos

funcionrios e prestadores de servios somente o acesso necessrio para a
realizao de suas atividades.
A concesso
cesso de acessos totais a todos os funcionrios no uma boa medida
de segurana,, pois permitiria, por exemplo, o acesso a informaes de folha
de pagamento a equipes no ligadas s atividades de Recursos Humanos.
A concesso de acessos s informaes precisa
precisa ser controlada de maneira a
no serem concedidos mais acessos do o que o necessrio para os
funcionrios e prestadores de servios que realizarem o seu trabalho.

4.10. Estabelea um processo para a desativao dos logins dos funcionrios

demitidos logo aps o seu desligamento da empresa.
Esta medida importante para evitar ocorrncias de sabotagem ou
vazamento de informaes com o uso de contas de acesso de demitidos.
importantee tambm manter um controle das contas dos prestadores de
servios.

4.11. Estabelea uma poltica de senhas da seguinte maneira:

4.11.1. Comprimento mnimo de 8 caracteres;
4.11.2. Perodo de expirao de no mnimo 90 dias;
4.11.3. Obrigatoriedade de que a senha seja composta de nmero
nmeros e letras;
4.11.4. Obrigatoriedade de o usurio, ao compor uma nova senha no utilize
nenhuma das quatro senhas anteriores;
4.11.5. Bloquear a conta do usurio aps cinco tentativas de acesso sem
sucesso;

10
 4.11.6. Manter o usurio bloqueado de acordo com a regra 4.11.5
.11.5 (acima) por
30 minutos ou at o desbloqueio do administrador.
A definio de critrios para a construo de senhas deve privilegiar a
segurana. Senhas complexas podem ser fceis de serem lembradas e difceis
de serem adivinhadas o que as tornam mais seguras.
O uso de senhas complexas, somado ao bloqueio da conta no caso de um
nmero especfico de tentativas mal sucedidas tambm dificulta o xito de
ferramentas de ataque automatizado.

4.12. Ative a funcionalidade de gerao de logs em todos os computadores e

dispositivos de
e rede os configurando conforme as regras abaixo:
4.12.1. Configure os computadores e dispositivos de rede para gerar logs de
todos os eventos realizados a partir de usurios com privilgios
administrativos.
4.12.2. Configure os computadores e dispositivos de rede para gerar logs de
todos os eventos cuja tentativa de acesso resultou em falha.
4.12.3. Configure os mecanismos de logs para gerar eventos contendo:
data/hora do evento; identificao do usurio; tipo de evento e
indicao de sucesso ou falha.
falha
4.12.4. Estabelea mecanismos de controle de acesso para proteger os
arquivos de log do acesso no autorizado. Exemplo: Somente a conta
de administrador local que possui privilgios de escrita no arquivo de
log, todas as outras possuem somente acesso de leitura.
4.12.5. Configure o prazo de reteno
reteno dos arquivos de log para 30 dias, no
mnimo.
4.12.6. Insira os arquivos de logs na rotina de backup dos servidores
Nos logs so registradas as atividades realizadas em um computador.
importante ativar a gerao de logs para que, na ocorrncia de um incident
incidente
(invaso, fraude, sabotagem ou erro operacional) seja possvel obter
informaes de como este ocorreu e quais contas de acesso foram utilizadas
em sua execuo.

4.13. Estabelea o bloqueio de unidades de mdia removvel (USB, CD, e outros

drives) em todos os equipamentos
equipamentos nos quais este recurso no necessrio.
Geralmente os computadores envolvidos no processo de pagamento no
necessitam que sejam ativados os drives de mdia removvel para a sua
execuo. Desabilite estes recursos para evitar a infeco por vrus ou outras
ameaas semelhantes.

4.14. Estabelea mecanismos de filtro de contedo e controle de acesso

internet de maneira que os funcionrios e prestadores se servio somente
possuam os acessos necessrios para a execuo de seu trabalho.
Atualmente possvel
ssvel implementar sistemas de baixo custo para o controle
do contedo a ser acessado na Internet de maneira a bloquear ou restringir o
acesso a determinados sites.

11
 Esta medida protege o computador da incidncia de vrus ou outras ameaas
que buscam obter informaes de forma no autorizada.

4.15. Mantenha os equipamentos com informaes confidenciais em local

protegido.
Servidores e estaes de trabalho usados na manipulao de informaes
confidenciais precisam estar em um ambiente protegido (sala fechada) e de
preferncia sendo monitorados por cmeras de segurana.

12
5. Centrais de Atendimento

A atividade de vendas por telefone demanda controles de segurana especficos

para a proteo das informaes de cartes. Abaixo os principais requisitos:

5.1. Isole fisicamente as ilhas que manipulam dados de cartes.

Nem todas as ilhas de atendimento precisam operar sob um criterioso regime
de segurana. Recomendamos a separao das ilhas de que manipulam
informaes confidenciais, como dados de carto e a aplicao dos controles
de segurana
na especficos (abaixo) para elas.

5.2. Instale mecanismos de controle de acesso fsico para as ilhas que

manipulam dados de cartes,
cartes conceda acesso somente s pessoas
necessrias e armazene os registros de entrada e sada.
sada
importante e conceder acesso somente s pessoas as quais suas atividades
demandam a necessidade de permanecer na ilha que manipula dados de
carto.
Instale algum tipo de soluo,
soluo por exemplo, por digitao de cdigo, leitura
de impresso digital, crach, entre outras.
outras Determine
etermine quais pessoas podem
entrar na sala e armazene os dados de entrada e sada.
Recomendamos o armazenamento destas informaes por, por, no mnimo,
mnimo 90
dias.

5.3. Monitore o ambiente por cmeras, armazene as imagens

imagens e mantenha uma
rotina de verificao do que foi gravado.
O monitoramento de ambientes por cmeras reconhecidamente eficaz
como fonte de informaes para a elucidao de crimes, mas tambm para
criar um fator de intimidao que colabora em evitar que in incidentes
aconteam. Desta maneira, importante
importante at para os lojistas com operaes
menores, que instalem estes dispositivos.
recomendvel tambm que as imagens sejam armazenadas por um perodo
razovel (recomendamos 90 dias) e tambm que, de forma proati proativa e no
mnimo por amostragem, haja a atividade peridica de verificao das
imagens.

5.4. Bloqueie o acesso sala em que os dados de carto sero manipulados de

qualquer mecanismo que possa
po ser utilizado para copiar informaes
informaes.
Lpis, canetas, telefones celulares ou cmeras fotogrficas so exemplos de
objetos que podem sem utilizados para armazenar informaes de cartes.
importante que os profissionais das centrais de atendimento que manipulam
dados de cartes somente interajam com sistemas corporativos e que a
entrada com objetos deste tipo seja proibida.

13
5.5. Implemente bloqueios de segurana especficos para o software e
hardware utilizado pelos operadores de telemarketing que manipulam
dados de carto.
A manipulao de dados de carto exige que que as estaes de trabalho em uso
pelos operadores possuam controles de segurana diferenciados.
Recomendamos o bloqueio de funcionalidades que permitam a captura de
telas dos sistemas (Print Screen),, o bloqueio de qualquer aplicativo que no
possua ligao o com a atividade do operador e tambm os bloqueios da
Internet e de unidades de mdia removvel (citados no item 4.13
.13 acima
acima).

14
6. Gesto de Segurana

Manter um ambiente protegido requer a execuo de procedimentos peridicos

com o objetivo de testar a segurana do ambiente e garantir que todos os
envolvidos nos processos de negcio sejam informados de suas obrigaes para a
manuteno da segurana das informaes das empresas.
empresas. Abaixo os principais
requisitos sobre este tpico:

6.1. Eleja uma pessoa e rea para ser responsvel pelos assuntos de Segurana
da Informao.
Formalizar a responsabilidade por proteger o ambiente uma medida
essencial para que as demandas de segurana ganhem prioridade de tenham
o acompanhamento adequado.

6.2. Realize scans de vulnerabilidades em seu ambiente pelo menos

trimestralmente.
Scans de vulnerabilidades so mecanismos automatizados de realizam uma
varredura em equipamentos em busca de vulnerabilidades.
Como os ambientes mudam continuamente importante realizar esta
atividade periodicamente.

6.3. Realize testes de intruso na modalidade de rede e de aplicao pelo

menos uma vez ao ano.
Testes de intruso so projetos nos quais um especialista em segurana
simula uma srie de ataques no ambiente.
Estes ataques podem ser rrealizados
ealizados buscando explorar vulnerabilidades nas
aplicaes expostas na internet ou vulnerabilidades de rede.
importante realizar estes testes ao mnimo anualmente.

6.4. Corrija as vulnerabilidades apontadas como crticas pelo scan de

vulnerabilidade e pelo teste de intruso em carter emergencial.
A incidncia de vulnerabilidades crticas no
no resultado dos testes indica que
seu ambiente est em srio risco. vital que se atue na correo das
vulnerabilidades imediatamente.

6.5. Solicite formalmente aos seus prestadores

prestadores de servio que protejam as
informaes em todas as operaes terceirizadas
terceirizadas.
A maioria das atividades de terceirizao contempla a troca de informaes
confidenciais entre as empresas contratante e contratada. Recomendamos
que existam garantias definidas
efinidas nos contratos de terceirizao que garantam
a definio de controles de segurana da informao.

15
6.6. Conscientize as equipes com relao segurana.
O Compartilhamento do conhecimento sobre a segurana das informaes
uma ferramenta importantssima
importantssima para a proteo do ambiente.
Recomendamos a disseminao das regras para a proteo do ambiente
entre todos os funcionrios e prestadores de servio.

16