Desmistificando o PCI-DSS: Compreensão, Implementação e Manutenção

4Bios IT Academy

Sobre o Curso

Treinamento exclusivo da 4Bios IT Academy

Neste curso, você vai aprender a extrair o que há de melhor no Padrão de Segurança da Indústria de Cartões de Pagamento (PCI DSS v3.1) de maneira a não somente conduzir projetos de certificação em seu ambiente de cartões, mas também aproveitar os requisitos para aumentar o nível de maturidade em segurança de toda empresa.

O PCI DSS é um padrão de segurança da informação para a proteção de dados de portadores de cartões de pagamento. As regras deste documento são aplicáveis a todas as empresas que processam, transmitem ou armazenam dados de cartões. No entanto, a maioria delas é baseada em práticas consagradas pelo mercado de segurança da informação, de modo que esse treinamento poderá habilitá-lo a agregar segurança em todo seu ambiente.

Objetivo

Este treinamento tem por objetivo orientar o aluno na compreensão do programa de conformidade ao PCI-DSS e também fornecer apoio para que este programa se converta em uma ferramenta para a gestão de segurança da informação em toda a empresa.
O treinamento repassa os objetivos dos conjuntos de requerimentos do PCI-DSS, como implementá-los, focando não somente na proteção de dados de cartão como também no que é de maior valor para a empresa.

O que você aprenderá

Elaborar um projeto de conformidade ao padrão.
Converter as atividades do projeto em um programa de conformidade.
Transformar um programa de conformidade em um programa de segurança da informação
Implementar e monitorar controles de segurança da Informação

Inscreva-se Agora

Conteúdo Programático

Ecossistema da indústria de cartões

Tipos de empresas que fazem parte da indústria de cartões.
Dados de cartões
Padrões para cada modo de atuação.
Papéis de cada tipo de empresa no contexto dos padrões da indústria.
Atividades de conformidade aceitáveis para cada tipo de empresa.
Como funciona a obrigatoriedade para cada tipo de empresa que faz parte da indústria.

Escopo

Processo de definição e delimitação de escopo
Escopo de Prestadores de Serviços (Hosting, Cloud, Colocation, Manutenção de serviços)
Manutenção de prestadores de serviços
Inventário do escopo
Atividade em grupo

Políticas e procedimentos

Estrutura da política
Procedimentos
Formulários e evidências

Padrões de Configuração

Considerações para elaboração de padrões de configuração
Manutenção da implementação de padrões de configuração

Segurança de Perimetro

Implementação de firewall e roteadores
Segregação de redes (LAN, WAN, WLAN)
Mapeamento de protocolos, serviços
Processo de manutenção de rotas e regras de roteadores e firewalls

Proteção do armazenamento e transmissão de dados de portador

Criptografia
Gestão de chaves criptográficas
Transmissão de dados de portador

Manutenção e Desenvolvimento de sistemas

Padrões de desenvolvimento aceitáveis
Procedimentos de revisão de códigos
Procedimentos de controle e monitoramento de risco
Gestão de mudança

Controle do ciclo de vida de acessos lógicos e userids

Segregação de funções
Sistema de controle de acessos
RBAC
Procedimentos para a gestão de acessos lógicos
Requisitos de senha
Duplo fator de autenticação

Monitoramento e Prevenção de Intrusão

Armazenamento e Coleta de Logs
Tecnologias para a concentração e correlação das trilhas de auditoria.
Procedimentos para a gestão de logs no ambiente.
Procedimentos de sincronismo de horário
Sistemas Antimalware
Controles para sistemas operacionais não comumente afetados por malwares
Web Application Firewall
Monitoramento de integridade de arquivos

Segurança física

Requisitos para o armazenamento e gestão de mídias.
Proteção e controle de dispositivos de captura de transação (Pinpads, POSs e similares)
Gestão de acesso físico.
Gestão de dispositivos de segurança (câmeras, catracas, crachás e similares)

Procedimentos e manutenção de Conformidade

Scan de vulnerabilidade
Testes de intrusão (pentest)
Procedimentos de gestão de vulnerabilidades e correções.
Testes de pontos de rede wireless
Avaliação de risco
Procedimentos e Planos de resposta a incidentes

Controles compensatórios

Atividade em grupo

Avaliação