Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Os hackers costumam ter como alvo os dados do setor de cartões de pagamento (PCI). Para ajudar a proteger contra isso, foram criados regimes de conformidade, como a Norma de Segurança de Dados do PCI (PCI DSS), com o objetivo de proteger os dados dos titulares de cartões, independentemente de onde sejam processados ou armazenados.
O PCI DSS inclui vários requisitos criados para ajudar a proteger os dados dos titulares de cartões, incluindo recomendações específicas no que diz respeito à correção de vulnerabilidades. Dentro das diretrizes de segurança de aplicativos, o PCI DSS informa às organizações o prazo para corrigir quaisquer vulnerabilidades conhecidas que surjam na tecnologia que dá suporte às transações de pagamento e armazena dados de pagamento.
Neste artigo, analisaremos os requisitos do PCI DSS relativos à aplicação de patches e apresentaremos o que você pode fazer para atendê-los, mesmo quando a aplicação de patches for complicada.
Quais são os requisitos da PCI DSS para a aplicação de patches?
A versão mais recente da norma PCI DSS, a versão 4.0, foi lançada no final de março de 2022 (embora a versão 3.2.1 da PCI DSS permaneça em vigor até março de 2024). Com exceção de algumas alterações, os requisitos de aplicação de patches permanecem semelhantes na PCI DSS 4.0 e, para os fins deste artigo, nos referiremos à versão 4.0 da norma.
Independentemente da versão a que você se referir, você encontrará o conteúdo essencial dos requisitos relativos à aplicação de patches na Seção 6, que contém as especificações para o desenvolvimento e a manutenção de softwares e sistemas seguros. Na versão 4.0 do PCI DSS, a seção que aborda a aplicação de patches é a 6.3: “As vulnerabilidades de segurança são identificadas e corrigidas”.
A aplicação de patches é mencionada algumas vezes na Seção 6.3, mas o requisito está no item 6.3.3. Aqui, os requisitos do PCI DSS estabelecem que:
Todos os componentes do sistema são protegidos contra vulnerabilidades conhecidas por meio da instalação das correções/atualizações de segurança aplicáveis, conforme descrito a seguir: as correções/atualizações de segurança críticas ou de alto risco (identificadas de acordo com o processo de classificação de risco descrito no Requisito 6.3.1) são instaladas no prazo de um mês após o lançamento.
Todos os demais patches/atualizações de segurança aplicáveis são instalados dentro de um prazo adequado, conforme determinado pela entidade (por exemplo, no prazo de três meses após o lançamento).
Em resumo, para manter a conformidade com o PCI DSS, os patches críticos precisam ser aplicados no prazo de um mês a partir do lançamento do patch, enquanto os patches menos críticos devem ser aplicados no prazo de três meses a partir do lançamento do patch. A gravidade, conforme definida na Seção 6.3.1, resulta de uma combinação entre o que o fornecedor afirma, relatórios de segurança independentes, e da pontuação CVSS.
A norma PCI DSS estabelece requisitos rigorosos quanto aos prazos para a aplicação de patches. As organizações abrangidas que não cumprirem esses requisitos serão consideradas não conformes.
O que você pode fazer para cumprir os prazos de aplicação de patches da norma PCI DSS
Cada organização adota sua própria abordagem em relação aos prazos para aplicação de patches — mesmo que, na prática, o prazo se resuma basicamente a “o mais rápido possível”. Uma norma independente, como a PCI DSS, no entanto, estabelece requisitos fixos que podem ser difíceis de cumprir dentro das práticas de segurança cibernética já existentes.
Dependendo da fonte consultada, o tempo normal para a aplicação de patches pode variar de dois a cinco meses e as organizações geralmente enfrentam dificuldades para cumprir os prazos de aplicação de patches. A realidade da aplicação de patches pode facilmente entrar em conflito com os requisitos do PCI DSS. A falha em implantar um patch com rapidez suficiente pode acabar resultando em uma multa – ou algo pior.
Algumas das medidas que sua organização pode adotar para reduzir o tempo necessário para aplicar patches e aumentar as chances de manter a conformidade com o PCI DSS incluem:
- Apresentando a visibilidade. Como em muitos aspectos da segurança cibernética, não é possível proteger aquilo que não se conhece. Identifique quais sistemas você utiliza para lidar com dados de titulares de cartões e pagamentos e, em seguida, mapeie também suas dependências.
- Concentrando-se no que é essencial. Se o seu regime de conformidade – PCI DSS – exige que as atualizações de segurança da tecnologia relacionada a pagamentos sejam aplicadas em tempo hábil, é nisso que você precisa concentrar seus recursos..
- Comunicar-se e coordenar-se melhor. Não entre em modo de crise na hora de aplicar patches: certifique-se de monitorar constantemente as metas de aplicação de patches, comunicar a necessidade de aplicar patches às partes interessadas e planejar janelas de manutenção.
- Usando a tecnologia para mudar o jogo. A aplicação manual de patches, que consome muito tempo e envolve reinicializações que causam interrupções. Explore o uso de correções em tempo real em qualquer um dos seus sistemas relacionados a pagamentos que possam ser atualizados em tempo real. Isso inclui distribuições Linux corporativas, bibliotecas de código aberto, bancos de dados e ambientes de virtualização.
- Alocação adequada de recursos. A necessidade de aplicar patches já não deve ser novidade para você, e você não deve se surpreender com os intensos requisitos de recursos envolvidos na aplicação consistente de patches em grandes infraestruturas de tecnologia. Para manter a conformidade com o PCI DSS, é necessário alocar recursos adequados para a aplicação de patches em conformidade.
Para atender aos requisitos de aplicação de patches, incluindo os da norma PCI DSS, é realmente necessário que todos se empenhem. Isso inclui a implantação de todas as soluções tecnológicas à sua disposição – desde a verificação de vulnerabilidades até a aplicação de patches em tempo real.
Algumas outras observações sobre a aplicação de patches no PCI DSS
A aplicação de patches é mencionada em alguns outros requisitos do PCI DSS. Por exemplo, o requisito 1.2.5 destaca a necessidade de identificar os serviços de tecnologia que estão ativos e disponíveis e verificar se cada um desses serviços tem uma necessidade comercial definida. Serviços não utilizados costumam ser esquecidos e, consequentemente, ficam sem patches e vulneráveis.
Da mesma forma, a Seção 11.3 refere-se à necessidade de fazer a varredura de dispositivos expostos externamente e garantir que quaisquer vulnerabilidades encontradas sejam corrigidas ou sanadas de outra forma. Há também algumas menções secundárias nos diversos apêndices da norma.
Obtenha toda a ajuda de que precisa
O não cumprimento dos prazos para aplicação de patches estabelecidos na Seção 6.3 do PCI DSS implica em não conformidade com a norma PCI DSS. Uma organização sujeita aos requisitos do PCI DSS estará sujeita a multas pesadas caso seja constatada a não conformidade.
Há também o risco de que a aplicação inadequada de patches leve a uma violação de segurança — o que pode acarretar custos enormes com a correção do problema e até mesmo o fechamento da empresa.
Na TuxCare, podemos agilizar seu processo de aplicação de patches e facilitar significativamente a obtenção e a manutenção da conformidade com a norma PCI DSS.
Com nossas soluções de aplicação de patches em tempo real, seus sistemas receberão os patches mais recentes para vulnerabilidades do Linux assim que forem disponibilizados. Com a TuxCare, os patches são implantados automaticamente em segundo plano enquanto os sistemas estão em funcionamento, sem que sua equipe precise agendar um intervalo de manutenção ou reiniciar os sistemas.
O serviço de correções dinâmicas da TuxCare oferece suporte aos sistemas operacionais Linux corporativos mais populares, bem como às bibliotecas e bancos de dados de código aberto mais utilizadas – e até mesmo a ambientes de virtualização. Saiba mais sobre a linha de soluções de correção dinâmica da TuxCare aqui.
