PCI DSS para Hotéis: Guia Prático do v4.0 para Operações Hoteleiras

O que é PCI DSS e por que se aplica ao seu hotel

O PCI DSS (Payment Card Industry Data Security Standard) é uma norma privada de segurança gerenciada pelo PCI Security Standards Council, criado por Visa, Mastercard, American Express, Discover e JCB. Não é uma lei. Nenhum órgão regulatório brasileiro o aplica diretamente. Quem o aplica é o contrato com o banco adquirente.

Ao contratar um adquirente para aceitar pagamentos com cartão (Cielo, Rede, Stone, Getnet ou qualquer outro), o hotel assume a obrigação contratual de cumprir o PCI DSS em todos os seus canais de pagamento. Os principais adquirentes no Brasil definem seus próprios programas de conformidade, com prazos, tipos de validação aceitos e consequências para não conformidade. A versão ativa é o PCI DSS v4.0, desde março de 2024. A versão 3.2.1 foi encerrada.

As penalidades por não conformidade são sérias: os adquirentes podem multar entre R$ 25.000 e R$ 500.000 por mês. Em caso de violação de dados de cartão, o hotel pode ser responsabilizado pelo custo de substituição de todos os cartões afetados, honorários de investigação forense e chargebacks. Os dados de cartão também são dados pessoais sob a LGPD: uma violação pode gerar obrigação de notificação à ANPD.

Por que o escopo PCI DSS de um hotel é mais complexo

A maioria das PMEs brasileiras tem um único canal de pagamento: um e-commerce ou um terminal de balcão. Hotéis raramente têm essa simplicidade. Um hotel de porte médio pode ter todos estes ambientes simultaneamente:

PMS com processamento integrado de cartão: O Property Management System processa pagamentos diretamente na plataforma em muitas instalações: pré-autorização no check-in, lançamentos de consumo interno e cobrança final no check-out. Se o PMS transmite ou armazena dados de cartão nos servidores do hotel, esse sistema está dentro do escopo PCI DSS com requisitos substanciais.

POS no restaurante, bar, spa e lavanderia: Cada terminal de ponto de venda no hotel que aceita cartão cria um ponto de escopo. Terminais POS conectados por IP (chip e senha via rede) se enquadram no SAQ B-IP se isolados corretamente da rede operacional do hotel. Terminais POS que se comunicam com sistemas internos mais amplos podem exigir SAQ C ou SAQ D.

Motor de reservas no site do hotel: Se o site do hotel usa um motor de reservas de terceiros com checkout hospedado. Nesse modelo, os dados de cartão nunca tocam os servidores do hotel, e o canal pode se qualificar para o SAQ A, com apenas 22 requisitos. Se o site do hotel interage com o formulário de pagamento via JavaScript ou tem scripts de terceiros carregados na página de checkout, pode ser necessário o SAQ A-EP.

OTAs e reservas por terceiros: Reservas originadas em Booking.com, Expedia ou outros canais geralmente são processadas pelo próprio canal. O hotel recebe uma garantia de pagamento ou cartão virtual, mas o escopo depende de como esse cartão é cobrado. Se o PMS cobra o cartão virtual diretamente, essa transação está no escopo do hotel. Se a OTA liquida o pagamento e repassa ao hotel por fatura, esse canal pode ficar fora do escopo de cartão.

Terminais no front desk: Check-in e check-out com cartão presente criam um ambiente card-present separado. A configuração do terminal determina qual SAQ se aplica ao canal: se processa localmente, via rede ou via sistema terceirizado certificado.

A consequência prática: muitos hotéis têm mais de um tipo de SAQ aplicável simultaneamente, um para cada canal de pagamento. Mapear todos os canais de pagamento do hotel e determinar como cada um processa dados de cartão é a primeira etapa de qualquer programa de conformidade PCI DSS hoteleira.

Níveis de lojista e qual SAQ se aplica ao seu hotel

O nível de lojista determina a intensidade da validação exigida pelo adquirente:

• Nível 1: mais de 6 milhões de transações Visa ou Mastercard por ano, ou qualquer hotel que tenha sofrido uma violação qualificada. Requer auditoria anual por um Qualified Security Assessor (QSA) e varreduras trimestrais por um Approved Scanning Vendor (ASV).
• Nível 2: 1 a 6 milhões de transações por ano. Questionário de Autoavaliação (SAQ) anual mais varreduras ASV trimestrais.
• Nível 3: 20.000 a 1 milhão de transações de e-commerce por ano. SAQ anual mais varreduras ASV.
• Nível 4: menos de 20.000 transações de e-commerce, ou menos de 1 milhão de transações totais. SAQ anual; varredura ASV pode ser exigida a critério do adquirente.

A maioria dos hotéis brasileiros é Nível 3 ou Nível 4. O seu adquirente confirma o nível com base no volume de transações reportado. Para hotéis com múltiplos canais, o adquirente pode aplicar diferentes tipos de SAQ por canal.

Os tipos de SAQ mais relevantes para hotéis:

• SAQ A: para o canal de reservas online quando totalmente terceirizado a uma página de checkout hospedada. 22 requisitos. Aplicável apenas se dados de cartão nunca passarem pelos sistemas do hotel.
• SAQ B-IP: para terminais POS com IP que não virtualizam e não armazenam dados de cartão. Aplicável a terminais de restaurante, bar e front desk isolados corretamente. 83 requisitos.
• SAQ C: para sistemas de aplicação de pagamento conectados à internet que não armazenam dados eletronicamente. Pode aplicar-se a PMS com integração de pagamento via rede. 160 requisitos.
• SAQ D: o mais abrangente. Aplica-se a hotéis que armazenam dados de cartão, têm ambientes de pagamento complexos ou não se qualificam para os SAQs mais simples. Mais de 300 requisitos.

Escolher o tipo de SAQ errado é em si uma falha de conformidade. Consulte seu adquirente antes de preencher qualquer autoavaliação.

Os 12 requisitos do PCI DSS

O padrão é estruturado em 12 requisitos que cobrem controles de rede, proteção de dados, gestão de acesso, monitoramento, testes e políticas. Para hotéis, cada requisito tem implicações específicas:

• 1. Controles de rede: A rede de hóspedes deve estar separada da rede que suporta sistemas de pagamento. PMS, POS e terminais de front desk devem estar em segmentos de rede distintos com regras de firewall documentadas.
• 2. Configurações seguras: Nenhuma senha padrão de fornecedor. Isso inclui os sistemas PMS, câmeras IP, roteadores de rede e terminais POS. Todos chegam com credenciais padrão que precisam ser alteradas antes da entrada em produção.
• 3. Proteção de dados armazenados: CVV não pode ser armazenado após autorização, nem em logs de PMS, nem em sistemas de reserva. Números de cartão (PANs) armazenados devem ser criptografados. Muitos sistemas PMS têm logs de debug que capturam dados de transação; isso precisa ser auditado.
• 4. Dados em trânsito: TLS 1.2 ou superior em todos os caminhos de transmissão. Dados de cartão nunca devem circular por e-mail, WhatsApp ou mensagens internas.
• 5. Proteção contra malware: EDR ou antimalware em todos os sistemas no escopo, incluindo os computadores que acessam o PMS, os terminais POS com sistema operacional e os servidores de reserva.
• 6. Sistemas e software seguros: Patches aplicados regularmente no PMS, no sistema operacional dos terminais POS e em qualquer aplicação voltada para pagamentos. Scripts de terceiros na página de checkout do motor de reservas precisam de inventário e controle de integridade (v4.0).
• 7. Acesso por necessidade de negócio: A equipe de reservas não precisa de acesso aos logs de POS de restaurante. A equipe de F&B não precisa acessar o PMS de hospedagem. Controle de acesso baseado em função, com privilégio mínimo.
• 8. Identificação e autenticação: IDs únicos para cada funcionário. MFA obrigatório para todo acesso ao ambiente de dados de cartão: front desk, back-office de reservas e administração de PMS. Isso foi expandido no v4.0.
• 9. Acesso físico: Verificações regulares de adulteração em terminais POS. Skimmers são instalados em terminais desprotegidos. Controle de quem tem acesso físico a servidores e equipamentos de rede que suportam sistemas de pagamento.
• 10. Logs e monitoramento: Logs de auditoria retidos por 12 meses com 3 meses disponíveis imediatamente. Alertas para padrões de acesso anômalos, como um terminal POS acessado fora do horário de funcionamento do restaurante.
• 11. Testes regulares: Varreduras de vulnerabilidade internas e externas trimestrais para ambientes no escopo. Teste de penetração anual. Para sistemas POS com IP, isso inclui os sistemas que se comunicam com eles.
• 12. Políticas e governança: Política de segurança da informação por escrito, avaliação de risco anual, plano de resposta a incidentes e treinamento de conscientização para equipes que manuseiam dados de cartão: recepção, reservas, F&B e administração financeira.

Novidades no PCI DSS v4.0 que impactam hotéis

O PCI SSC encerrou o v3.2.1 em 31 de março de 2024. Todos os 64 novos requisitos do v4.0 são agora obrigatórios. As mudanças mais relevantes para hotéis:

MFA expandida: O v4.0 exige autenticação multifator para todo acesso ao ambiente de dados de cartão, incluindo acesso local, não apenas remoto. Isso afeta diretamente a estação de trabalho do front desk, o acesso administrativo ao PMS e os sistemas de back-office de reservas.

Segurança de scripts no motor de reservas (Requisitos 6.4.3 e 11.6.1): Se o site do hotel carrega scripts de terceiros na página de checkout (Google Analytics, ferramentas de chat, pixels de marketing), esses requisitos exigem um inventário documentado de cada script, uma justificativa de negócio e verificação de integridade. Isso é diretamente relevante para qualquer hotel com motor de reservas integrado ao site.

Senhas mais longas: O comprimento mínimo de senha para contas em sistemas no escopo passou de 7 para 12 caracteres. Isso inclui contas de sistema PMS, administração de rede e acesso a terminais POS.

Análise de risco direcionada: A frequência de atividades periódicas como rotação de senhas, revisão de logs e testes de vulnerabilidade agora deve ser justificada por uma análise de risco documentada específica ao ambiente do hotel, em vez de um calendário fixo.

Como reduzir o escopo PCI DSS no seu hotel

O ambiente de dados do titular do cartão (CDE) abrange todo sistema que armazena, processa ou transmite dados de cartão, mais todo sistema que pode influenciar a segurança desses componentes. Reduzir o CDE reduz o esforço de conformidade. Para hotéis, as estratégias mais eficazes são:

Motor de reservas totalmente hospedado: Se o checkout do site do hotel redireciona para uma página de pagamento hospedada pelo provedor, mantendo os dados de cartão fora dos sistemas do hotel. Esse canal pode se qualificar para o SAQ A. Isso vale para provedores como Omnibees, Totvs Hiper ou qualquer motor de reservas com checkout hospedado certificado PCI DSS. O site do hotel não pode carregar scripts que interajam com o formulário de pagamento.

Tokenização no PMS: Para estadias longas, assinaturas e cobranças recorrentes, o PMS pode substituir o número de cartão por um token emitido pelo gateway de pagamento. Apenas o vault de tokens, mantido pelo provedor e não pelo hotel, precisa estar no escopo. O PMS armazena apenas o token, não o PAN.

Segmentação de rede: Terminais POS de restaurante e bar isolados em um segmento de rede separado, sem rota para o PMS ou para sistemas corporativos, podem ser avaliados com um SAQ B-IP independente. Sem essa segmentação, qualquer sistema que pudesse alcançar um terminal POS precisa ser tratado como dentro do escopo do CDE completo.

Gateway de pagamento para o front desk: Terminais de front desk conectados a um gateway externo certificado PCI DSS, sem armazenamento de dados de cartão no servidor do hotel, reduzem o escopo do canal card-present. O hotel pode então aplicar SAQ B-IP para esses terminais se isolados corretamente.

Decisões de escopo tomadas na fase de arquitetura do sistema custam muito menos do que corrigir lacunas de conformidade depois que os sistemas estão em produção. Isso vale ao avaliar um novo PMS, ao configurar um motor de reservas ou ao instalar uma nova rede de POS.

Próximos passos

Se o seu hotel nunca passou por uma avaliação PCI DSS, o ponto de partida é mapear todos os canais de pagamento e determinar como cada um processa dados de cartão. Com esse mapa, é possível confirmar o nível de lojista com o adquirente, identificar qual SAQ se aplica a cada canal e realizar uma análise de lacunas antes de comprometer recursos em remediação.

A sequência prática para hotéis atrasados na conformidade ou próximos de um prazo do adquirente:

• Mapeie todos os canais de pagamento (PMS, POS, motor de reservas, terminais de front desk) e documente como cada um processa dados de cartão.
• Confirme com o adquirente o nível de lojista e qual tipo de SAQ se aplica a cada canal.
• Realize uma análise de lacunas em relação ao SAQ aplicável para identificar controles ausentes ou sem evidência.
• Avalie oportunidades de redução de escopo antes de iniciar a remediação, com foco especial em tokenização no PMS e motor de reservas hospedado.
• Remedeie os controles com falhas e preencha o SAQ.
• Se o SAQ exigir, contrate um Approved Scanning Vendor (ASV) para a varredura externa.
• Envie a Atestação de Conformidade (AOC) ao adquirente dentro do prazo.

Nossa equipe tem experiência em operações hoteleiras nacionais e internacionais, incluindo redes com múltiplos sistemas PMS, POS e canais de distribuição. Podemos conduzir o mapeamento do escopo PCI DSS, a análise de lacunas e o apoio à remediação. Fale com a nossa equipe.

Para uma leitura mais aprofundada sobre PCI DSS em contexto brasileiro, incluindo detalhes sobre os 51 novos requisitos obrigatórios a partir de 2025, veja o guia PCI DSS para empresas brasileiras da Cyvra.