Os necessários fazem o site funcionar. Os outros medem quais páginas ajudam e quais anúncios trazem quem precisa da DM11. Você escolhe, e pode rever pelo rodapé.
Governança e conformidade
Primeiro reduzimos o escopo. Depois protegemos o que sobrou.
O maior ganho em PCI DSS raramente é controle novo: é tirar sistema de dentro do escopo. Antes de proteger qualquer coisa, mapeamos por onde o dado de cartão passa, com diagrama de rede, e reduzimos o território que a norma alcança. Cada sistema que sai do escopo é controle que você não precisa implantar nem evidenciar todo ano.
Com o escopo reduzido, fechamos as lacunas do que restou e organizamos o dossiê de evidência. Você não precisa saber de antemão qual autoavaliação se aplica ao seu caso: identificamos pelo seu fluxo de pagamento. Também entregamos a matriz de responsabilidade entre você, seus clientes e seus fornecedores, porque em cartão quase nenhuma exigência é de uma empresa só.
Da sua parte, o projeto pede acesso a quem conhece a arquitetura, aos diagramas e contratos existentes e ao fluxo real de pagamento. Você escolhe até onde vamos: só o diagnóstico com plano de ação, a adequação completa ou o acompanhamento até o fim, com ensaio antes da validação formal. Quem emite o certificado ou o relatório formal de conformidade é sempre o QSA, contratado por você.
As etapas e os entregáveis abaixo descrevem a modalidade Adequação completa. As outras modalidades aparecem quando você pede a proposta.
Definição de escopo
Fechamos por escrito o que entra e o que fica de fora, e por quê. Escopo mal definido é a causa mais comum de projeto que estoura prazo.
Redução de escopo
Antes de proteger, tiramos de dentro do escopo tudo que não precisa estar lá. É onde mora a maior economia, e quase ninguém faz primeiro.
Diagnóstico de lacunas
Comparamos o que existe hoje com o que a referência exige, item a item, e classificamos cada lacuna por risco e por esforço de correção. O resultado sai em ordem de ataque: o que fazer primeiro e por quê, em vez de um inventário de tudo que está errado.
Implantação
Colocamos os controles de pé junto com o seu time, escrevemos o que precisa existir no papel e treinamos quem vai operar. Nada é dado por implantado sem estar funcionando na prática e sem alguém do seu lado sabendo sustentar.
Rotina de evidências
Montamos como cada controle prova que funcionou, com responsável e frequência, para a auditoria não virar corrida.
Costuma vir junto
Não é pacote e não muda o que você já escolheu. É o que costuma aparecer logo depois, na experiência de quem já passou por isso.