O PCI DSS v4.0 exige compreensão, evidências e consistência com maior profundidade do que as versões anteriores da norma. O PCI DSS exige que as organizações atendam a seis objetivos e 12 requisitos em todos os sistemas, usuários e processos que armazenam, processam, transmitem ou podem afetar dados de titulares de cartões e dados de autenticação confidenciais. Isso se aplica a tudo dentro de um ambiente de dados do titular do cartão (CDE) estendido, incluindo sistemas conectados indiretamente.
O PCI DSS 4.0 mantém esses mesmos objetivos, mas eleva o padrão de execução. Exige o cumprimento periódico da validação contínua dos controles e comprovação mais robusta por meio de evidências documentadas, projeto de controle claro e aplicação consistente. Amplia o escopo por meio da descoberta obrigatória de dados, impõe a autenticação multifator (MFA) para todo o acesso ao CDE, reforça os controles de autenticação e introduz flexibilidade por meio de abordagens personalizadas, o que aumenta o ônus da justificativa. Existem expectativas adicionais, como frequência de controle baseada em risco, segurança de scripts de pagamento, testes de penetração atualizados, resposta a incidentes aprimorada, treinamento focado em phishing e registro e monitoramento expandidos, que aumentam a complexidade operacional.
