Retalho: segmentar a rede da loja entre pagamentos e IoT

Redes · 4 min

Setor de atividade: Retalho e distribuição

Terminais de pagamento, etiquetas eletrónicas, câmaras e Wi-Fi de clientes coexistem nas redes das lojas. Saiba como separar zonas, controlar acessos e validar o isolamento.

Retalho: segmentar a rede da loja entre pagamentos e IoT

TL;DR

Uma rede de loja sem isolamento adequado pode permitir que equipamentos menos protegidos criem caminhos de acesso a sistemas de pagamento.
O PCI DSS não exige segmentação em todos os casos, mas o isolamento eficaz pode reduzir o âmbito da avaliação.
A segmentação deve considerar funções, níveis de confiança e fluxos de comunicação autorizados, com bloqueio por defeito entre zonas.
Modelos de rede por tipologia de loja e políticas centralizadas facilitam a aplicação consistente dos controlos.
O isolamento deve ser validado periodicamente e após alterações aos mecanismos de segmentação.

A loja tornou-se uma rede com muitos inquilinos

No retalho e distribuição, uma loja pode integrar na mesma infraestrutura de comunicações caixas e terminais de pagamento, balanças, etiquetas eletrónicas de prateleira, câmaras de videovigilância, sistemas de frio e climatização, Wi-Fi para clientes e equipamentos geridos remotamente por fornecedores. Em muitas cadeias, esta diversidade resulta de sucessivas implementações, remodelações e integrações tecnológicas. O desafio para as equipas de TI e de conformidade é organizar a rede de forma a impedir que um equipamento vulnerável, ou o acesso indevido de um técnico externo, crie um caminho até aos sistemas de pagamento. Ao mesmo tempo, a arquitetura tem de continuar operacionalmente viável para dezenas ou centenas de lojas, com necessidades e equipamentos diferentes.

No PCI DSS, a segmentação define o perímetro da avaliação

O PCI DSS é uma norma de segurança da indústria de cartões de pagamento, cuja aplicação decorre das regras das entidades participantes no ecossistema de pagamentos e dos respetivos acordos. A forma de validação depende, entre outros fatores, do modelo de aceitação de pagamentos e dos critérios aplicáveis à organização, que devem ser confirmados com o adquirente ou com o avaliador competente. A segmentação de rede não é obrigatória em todos os cenários, mas pode reduzir o âmbito da avaliação quando isola eficazmente o ambiente de dados de titulares de cartões (CDE) dos restantes sistemas. Importa, contudo, considerar também os sistemas ligados ao CDE ou capazes de influenciar a sua segurança. Criar VLAN separadas não é suficiente: são necessários controlos efetivos dos fluxos de comunicação e a validação do isolamento implementado.

Zonas desenhadas por função e por nível de confiança

Uma abordagem recomendada consiste em agrupar os equipamentos de acordo com a função, a criticidade e o nível de confiança, em vez de considerar apenas o tipo de ligação. Os pontos de venda e os sistemas associados ao processamento de pagamentos podem integrar uma zona específica; os equipamentos de operação de loja, como balanças e etiquetas eletrónicas, outra; os sistemas do edifício, como climatização e energia, uma terceira; e a videovigilância, uma zona própria. O Wi-Fi de clientes deve ter acesso restrito aos serviços necessários, normalmente à Internet. Entre zonas, a regra de base deve ser bloquear as comunicações por defeito e autorizar apenas os fluxos necessários, devidamente documentados e justificados. Num projeto de redes LAN e SD-WAN, este desenho deve ser definido antes da seleção dos equipamentos e validado em função das necessidades de cada loja.

Um modelo replicável em todas as lojas

A segmentação torna-se mais fácil de gerir em escala quando existe um modelo de referência por tipologia de loja, seja hipermercado, loja de proximidade ou entreposto, com endereçamento coerente, zonas de segurança definidas e políticas geridas centralmente. Quando a ligação entre lojas e sede utiliza uma arquitetura como a descrita em SD-WAN e SASE como alternativa ao MPLS, os controlos devem manter-se consistentes também nas comunicações com os serviços centrais e a cloud. Equipamentos desconhecidos podem ser sujeitos a uma política de acesso restrito, recorrendo a mecanismos de controlo de acesso à rede (NAC), como 802.1X, quando suportados. Para dispositivos que não o suportam, podem ser necessárias medidas complementares, devidamente avaliadas. O acesso remoto de fornecedores deve ser autorizado, limitado às necessidades da intervenção, autenticado e registado, evitando ligações permanentes não controladas à rede da loja.

Provar que a separação continua a funcionar

Um diagrama documenta o isolamento previsto; os testes demonstram se os controlos funcionam na prática. No PCI DSS v4.0.1, quando a segmentação é utilizada para isolar o CDE e reduzir o âmbito da avaliação, o requisito 11.4.5 prevê testes de penetração aos controlos de segmentação pelo menos uma vez a cada 12 meses e após alterações a esses controlos ou métodos. Para prestadores de serviços abrangidos pelo requisito 11.4.6, a periodicidade mínima é de seis meses, além dos testes após alterações. No retalho, aberturas de lojas, remodelações, novos quiosques e substituições de equipamentos podem introduzir ligações não previstas. Integrar verificações na abertura de lojas, comparar configurações com o modelo de referência e rever periodicamente as regras entre zonas ajuda a identificar desvios. Persistem limitações, como equipamentos antigos que dependem de comunicações abertas ou fornecedores que exigem acessos permanentes. Estas situações devem ser avaliadas individualmente e tratadas com medidas de mitigação adequadas, sem presumir que controlos alternativos dispensam automaticamente os requisitos aplicáveis.

Uma decisão de arquitetura mais do que de conformidade

Segmentar a rede de uma loja pode reduzir o âmbito de avaliação PCI DSS e limitar a propagação de determinados incidentes de segurança, desde que os controlos sejam eficazes e estejam devidamente validados. O resultado depende da arquitetura de pagamentos, dos equipamentos existentes, das dependências entre sistemas e da disciplina com que as políticas são aplicadas em cada localização. Tratar a segmentação como uma arquitetura de referência, sujeita a manutenção, monitorização e testes, é mais sustentável do que abordá-la como um projeto pontual. Desta forma, a rede pode evoluir com novas lojas, dispositivos e serviços sem perder o controlo sobre as comunicações e os riscos associados.