Escopo do PCI DSS para Quiosques de Agência: Checklist de 9 Pontos

Resposta curta: um quiosque de autoatendimento de agência está dentro do escopo do PCI DSS?

Um quiosque de agência está no escopo do PCI DSS sempre que armazena, processa ou transmite dados do titular do cartão ou dados de autenticação sensíveis — isso o coloca dentro do ambiente de dados do titular do cartão. Componentes que estão meramente conectados a esse ambiente, ou que podem afetar sua segurança, também podem ser incluídos. A criptografia por si só e o fato de o terminal não ser assistido não são exclusões automáticas.

A maioria das orientações para por aí e repete os doze requisitos. Esse não é o problema que um responsável pela conformidade de uma agência realmente tem. O problema é que os limites de escopo são decididos implicitamente durante a aquisição — pelo que o leitor de cartões faz, por como o módulo de dinheiro é conectado, pela VLAN na qual a unidade é colocada e pelo que o fornecedor coloca por escrito — e depois são descobertos durante a próxima avaliação, quando o dispositivo já está fixado no chão. Os nove itens abaixo transformam esses limites em uma lista de aprovação que você pode anexar à RFP e aos critérios de aceitação do fornecedor, com um responsável nomeado para cada resposta.

O checklist de escopo de quiosques de agência com 9 pontos

Dois desses itens decidem a maior parte do trabalho subsequente. O item 1 é binário: ou o leitor é um dispositivo de entrada de PIN que lida com dados de autenticação sensíveis, ou é um componente que apenas transporta um payload já criptografado — e os dois são documentados de forma diferente. O item 5 é a maior alavanca que você controla, porque determina quantos outros sistemas de filial devem atender ao conjunto completo de controles. Os itens 4, 6 e 9 são os que os compradores mais frequentemente deixam em branco, e são aqueles sobre os quais um QSA perguntará primeiro.

No item 2, seja preciso sobre o que você está comprando. A criptografia ponto a ponto listada pela PCI reduz substancialmente o esforço de validação aplicável, mas não remove o PCI DSS do ambiente do comerciante — esse esclarecimento vem do próprio PCI SSC, não de uma ficha técnica de fornecedor, e é amplamente reiterado na literatura de pagamentos não assistidos. Trate "P2PE certified" como uma entrada de redução de escopo, nunca como uma saída de escopo.

A aceitação de dinheiro não é uma questão secundária para o escopo

Dinheiro não é dado de portador de cartão, então é tentador tratar um reciclador de dinheiro como fora da conversa. Em um quiosque de agência, não é, por dois motivos. Primeiro, o módulo de dinheiro adiciona um módulo físico e eletrônico dentro do mesmo chassi que o leitor, e qualquer controlador compartilhado, caminho de energia compartilhado ou interface de serviço compartilhada torna-se uma questão de conectado a. Segundo, o manuseio de dinheiro é onde um atacante com acesso físico tem o maior tempo de permanência, e é por isso que controles de substituição e skimming ficam na mesma avaliação que o caminho de pagamento.

A pergunta ao fornecedor a ser feita por escrito é simples: o módulo de dinheiro está em um canal de dados separado do leitor de cartão, e como essa separação é mostrada na documentação de integração? Um diagrama de fiação e uma declaração de fluxo de dados são a evidência. Se a resposta for verbal, trate a fronteira como não resolvida e precifique o risco. Nosso quiosque de autoatendimento autônomo para manuseio de dinheiro é um exemplo da configuração em que esta pergunta deve ser respondida antes, e não depois, do teste de aceitação.

SAQ ou ROC? Por que a resposta é sobre o seu canal, não o dispositivo

Nenhuma ficha técnica de quiosque determina se você valida com um Questionário de Autoavaliação ou um Relatório de Conformidade completo. Essa determinação cabe ao comerciante e à sua adquirente, e depende do seu perfil de canal com cartão presente e não assistido, do volume de transações e de como sua adquirente classifica a implantação. O dispositivo contribui com evidências; ele não toma a decisão.

Encerre este item antes do pedido de compra, não depois. Peça à adquirente e ao seu QSA que confirmem por escrito a rota de validação, e recuse critérios de aceitação que presumam que a declaração de escopo de um fornecedor substitui a determinação do próprio comerciante. Se uma cotação implicar que comprar um terminal específico muda sua categoria de validação, essa é uma questão para a adquirente.

Segmentação de rede: a alavanca que reduz sua auditoria

Isolar o ambiente de dados do titular do cartão do restante da rede da agência significa que menos sistemas precisam do conjunto completo de controles — a segmentação reduz o escopo da auditoria em vez de apenas organizá-lo, e é por isso que ela é analisada como o clássico ponto cego em ambientes de agência. Três perguntas para sua própria equipe de rede antes de o quiosque chegar:

1. Qual VLAN ou segmento hospedará o quiosque, e qual é o conjunto de regras documentado entre ele e caixa, back-office e serviços compartilhados?
2. Qual acesso leste-oeste é permitido entre o quiosque e os sistemas da agência, e quem aprovou cada regra?
3. Quem é responsável pelo monitoramento e alertas desse segmento, e onde os logs são armazenados?

Uma rede de agências plana transforma um quiosque em uma reavaliação em todo o site — o custo desse erro aparece muito depois da instalação, e é por isso que ele pertence à decisão de compra, e não ao plano de implantação.

Agências na UE: o que a sobreposição DORA muda

Para entidades financeiras da UE, um caixa eletrônico ou terminal de autoatendimento é um ativo de TIC dentro do regime de resiliência operacional, não apenas um dispositivo de pagamento. O Regulamento (UE) 2022/2554 (DORA) estabelece deveres de gerenciamento de risco de TIC que incluem avaliar tais ativos, e impõe testes de penetração liderados por ameaças a entidades financeiras significativas. A consequência prática para compras é que as expectativas de evidências de resiliência e testes pertencem ao contrato do fornecedor desde o início; elas não podem ser acrescentadas durante o próximo ciclo de supervisão.

Grupos multijurisdicionais devem presumir que os controles se acumulam em vez de se substituírem. O trabalho de PCI DSS nos EUA, as obrigações de resiliência da UE e, quando relevante, as expectativas de segmentação do SWIFT CSP adicionam cada um sua própria trilha de evidências. Projete a rede de agências e o pacote de evidências do fornecedor uma única vez, para que cada framework seja atendido pelos mesmos artefatos.

O que exigir do fornecedor antes de assinar (pacote de evidências)

• Uma declaração assinada do que o dispositivo armazena, processa e transmite — e uma lista explícita do que ele não armazena, processa ou transmite.
• Política de atualização de componentes e firmware: quem pode enviar atualizações, por qual canal e como a integridade é verificada.
• Descrição do acesso remoto e do modelo de serviço, mapeada para seus próprios controles de acesso e registro.
• Descrição da resposta à adulteração do leitor e do módulo de dinheiro, incluindo como o módulo se comporta após um evento detectado.
• Reconhecimento explícito do que o fornecedor não pode garantir — qualquer coisa que dependa da sua rede, do seu adquirente ou dos seus controles operacionais.
• Tratamento de fim de vida para chaves, credenciais e registros.

Espelhe esta lista na sua pontuação de RFP para que as respostas de conformidade sejam comparáveis entre licitantes, em vez de ficarem enterradas em anexos — o checklist de compras de RFP para quiosque de autoatendimento mostra como ponderar essas linhas em relação a critérios de hardware e serviço. Seja claro internamente sobre as funções aqui: somos uma empresa de hardware OEM/ODM e fornecemos o dispositivo e suas evidências; não certificamos sua conformidade, e a determinação de escopo e a seleção de SAQ ou ROC cabem ao lojista e ao seu adquirente.

Onde essas decisões alteram seu custo total

Três escolhas de escopo têm um preço que só aparece após o go-live se forem deixadas em aberto: engenharia de segmentação e manutenção contínua de regras; controles de acesso de serviço e registro para suporte em campo e remoto; e esforço de revalidação quando uma fronteira acaba sendo não documentada. Coloque essas linhas ao lado do preço unitário no caso de negócio — o Comparação de TCO de quiosque de autoatendimento bancário coloca os custos de aquisição, integração e modelo de serviço lado a lado, para que o setor financeiro veja o quadro completo em vez da fatura.

Como verificar qualquer alegação de "fora do escopo" ou "P2PE certificado"

1. Peça a listagem ou referência exata e verifique se ela está atual, e não um certificado histórico para uma configuração substituída.
2. Releia a própria linguagem de limitação do fornecedor — o parágrafo após a alegação principal geralmente indica o que está excluído.
3. Confirme se a alegação se refere ao modelo e ao firmware que você está comprando, e não a uma plataforma de referência.
4. Se a evidência estiver ausente ou for verbal, trate a questão de escopo como em aberto e precifique esse risco na decisão.

Perguntas que os compradores fazem durante a revisão de escopo

Os quiosques de autoatendimento estão no escopo do PCI DSS se aceitarem cartões apenas por alguns segundos?

A duração é irrelevante. Se o dispositivo armazena, processa ou transmite dados do titular do cartão ou dados de autenticação sensíveis, ele está no ambiente de dados do titular do cartão, e componentes conectados ou que impactam a segurança também podem ser incluídos.

A criptografia dos dados do cartão remove o quiosque do escopo do PCI DSS?

Não. A criptografia reduz a exposição e dá suporte a um caminho de validação reduzido, mas a orientação do PCI SSC não considera que a criptografia por si só remova a aplicabilidade do PCI DSS.

Uma solução listada pelo PCI P2PE remove a necessidade de um SAQ?

Não. Ele pode reduzir substancialmente o esforço de validação aplicável, mas o comerciante ainda valida, e a rota é confirmada com o adquirente e o QSA — não pelo dispositivo.

Que evidências um fornecedor de quiosque deve fornecer para aprovação de conformidade da agência?

O pacote de evidências acima: uma declaração assinada de tratamento de dados, política de componentes e atualizações, modelo de acesso remoto, descrição de resposta a adulteração, limitações declaradas e tratamento de fim de vida. Qualquer coisa que o fornecedor não possa garantir deve ser nomeada, não implícita.

Próximo passo

Anexe esta lista de verificação ao seu RFP e peça a cada licitante que a responda linha por linha, com o responsável por cada resposta nomeado. Solicite a lista de verificação de determinação de escopo PCI DSS do quiosque da agência + pacote de evidências de conformidade — ou uma ficha técnica para a configuração de terminal de aceitação de cartão e aceitação de dinheiro que você está avaliando — de a página da plataforma de quiosque de manuseio de dinheiro , e retornaremos a documentação de hardware e os itens de evidência que você pode entregar ao seu QSA. A transferência é direta: o hardware e suas evidências acompanhantes vêm de nós; a determinação de escopo, o design de rede e a seleção de SAQ ou ROC permanecem com suas equipes de comerciante, rede e adquirente.