什么是PCI DSS合规性？

什么是PCI DSS合规性？

支付卡行业数据安全标准（PCI DSS）是一套安全标准，旨在确保在信用卡交易期间保护持卡人数据。它旨在为处理信用卡支付的组织建立一个安全的环境，降低数据泄露、欺诈和未经授权访问敏感信息的风险。

2006年，美国运通、Discover Financial Services、JCB International、万事达卡和Visa等领先支付品牌成立了支付卡行业安全标准委员会（PCI SSC）。这标志着统一安全标准发展的一个重要里程碑。目前，理事会拥有700多个成员组织，横跨60多个国家。其主要任务是促进金融业内遵守并加强对这些重要安全原则的理解。

PCI DSS保护哪些数据？

PCI DSS专门保护持卡人数据和敏感身份验证数据。以下是这些类别的详细信息：

1.持卡人数据

持卡人数据是指以任何形式在支付卡上打印、处理、传输或存储的任何信息。根据PCI DSS，持卡人数据包括：

• 主帐号（PAN）：这是最重要的持卡人数据，总是被认为是敏感的，如果存储，必须受到保护。
• 持卡人姓名：支付卡正面显示的姓名。
• 到期日期：支付卡到期的月份和年份，如卡上所示。
• 服务代码：显示在支付卡上的一组数字和/或字母，定义了卡属性和权限。

2.敏感的认证数据

敏感身份验证数据包括安全相关信息，用于对持卡人进行身份验证并授权支付卡交易。PCI DSS要求在授权后永远不要存储这些数据，即使加密了。这包括：

• 完整磁条数据（磁条数据或芯片上的等效数据）：此数据位于用于验证卡数据的磁条或芯片中，包括PAN、持卡人姓名、到期日期和服务代码。
• CAV2/CVC2/CVV2/CID：这些是卡正面（美国运通）或背面（Visa、万事达卡和Discover）上的三位数或四位数，用于保护“无卡”交易。
• PIN/PIN 块：持卡人在持卡交易期间输入的个人识别号码（PIN）和交易消息中存在的加密PIN块。

为什么要保护这些数据？

保护这些数据至关重要，原因有几个：

• 防止欺诈：安全处理持卡人和敏感身份验证数据，降低了卡欺诈的风险。
• 避免达到：适当的安全措施有助于防止数据泄露，而这些数据泄露对企业来说可能成本高昂。
• 建立信任：确保支付数据的安全性有助于在商家和客户之间建立信任。
• 遵守法定要求：对于处理信用卡支付的企业来说，遵守PCI DSS不是可选的。不遵守规定可能会导致巨额罚款和处罚。

谁必须遵守？

PCI DSS普遍适用于任何参与存储、处理或传输持卡人数据的实体（即参与支付卡处理的参与者，包括商家、服务提供商、金融机构等）。它包括与持卡人数据相关或与之连接的系统组件的技术和操作方面。因此，如果您是参与接受或处理支付卡的商家，则必须遵守PCI DSS。

谁是商家？

商家被定义为接受带有PCI SSC（包括Visa、Mastercard、American Express、Discover和JCB）任何一个徽标的支付卡作为商品或服务的实体。商家有各种规模和类型，从小型本地商店到大型跨国公司，他们必须根据他们处理的交易量在不同程度上遵守PCI DSS。

商家的类别

• 第1级：每年在所有渠道上处理超过600万笔交易，或遭受数据泄露/数据泄露，导致帐户数据泄露。
• 第2级：每年在所有渠道上处理100万到600万笔交易。
• 第3级：每年处理2万到100万笔电子商务交易。
• 第4级：每年处理少于20,000笔电子商务交易，或每年在所有渠道处理多达100万笔交易。

根据交易量和收购银行制定的具体要求，商家必须每年通过外部合格安全评估员（QSA）或自我评估问卷（SAQ）验证其合规性。

谁是服务提供商？

服务提供商是指为其他实体处理持卡人数据或有可能影响持卡人数据环境安全的组织。这包括处理、存储或传输持卡人数据等活动。提供托管防火墙、入侵检测系统和其他安全服务等服务的托管服务提供商就是典型的例子。

服务提供商的类别

• PCI DSS范围内的所有服务提供商都必须符合PCI DSS，并每年验证合规性，通常通过合规性报表（ROC），这是一份官方文件，用于验证实体是否遵守PCI DSS要求，通常由QSA为处理大量交易的大型组织完成。

服务提供商在支付生态系统中发挥着至关重要的作用，因为他们经常处理敏感的持卡人数据或敏感的身份验证数据，这使得他们遵守PCI DSS对支付系统的整体安全性至关重要。

谁是PCI DSS QSA？

QSA是在QSA公司工作的个人，该公司由PCI SSC认证，可以进行PCI DSS评估。QSA必须满足理事会制定的具体要求，个人评估员及其公司都要接受认证和重新认证，以确保他们遵守理事会的评估标准。建议在每次参与QSA的服务时验证其当前资格状态。

什么是SAQ？

自我评估问卷（SAQ）是PCI DSS使用的工具，用于帮助商家和服务提供商报表其PCI DSS自我评估结果。SAQ包括一系列与PCI DSS要求相对应的问题，这些问题适用于其支付卡操作。SAQ的目的是帮助实体评估其对PCI DSS标准的遵守情况。

SAQ的类型

有几种类型的SAQ，都旨在满足不同的场景，具体取决于组织如何处理支付卡数据：

• SAQ A：适用于所有持卡人数据功能外包的商家。这可能是完全外包所有持卡人数据功能的电子商务、邮件或电话订单商家。
• SAQ A-EP：适用于将持卡人数据处理部分外包给第三方服务提供商，但不在其系统或场所存储、处理或传输任何持卡人数据的电子商务商家。
• SAQ B：对于仅使用独立拨号支付终端的商家，不以电子方式存储持卡人数据。
• SAQ C：适用于拥有连接到互联网的支付应用程序系统的商家，没有电子持卡人数据存储。
• SAQ D：适用于那些不符合先前SAQ类型描述的人，通常是服务提供商，其运营模式包括存储、处理或传输持卡人数据。

四个PCI DSS级别是什么？

根据每年处理的卡交易量，PCI合规性分为四个级别：

• PCI 1级：企业每年处理600多万笔交易。
• PCI 2级：企业每年处理100万到600万笔交易。
• PCI 3级：企业每年处理20,000至100万笔交易。
• PCI 4级：企业每年处理不到20,000笔交易。商家可以通过与服务提供商协调或使用报表工具来确定其PCI合规性水平。建议验证适用于所用信用卡公司的具体商家级别。

对于旨在实现PCI DSS合规性并确立自己作为可靠品牌的企业来说，最初的关键步骤是确定其当前的PCI DSS合规性水平。

12个PCI DSS要求是什么？

PCI DSS概述了组织必须遵守的12项要求，以保护持卡人数据并实现合规。这些要求旨在为信用卡交易建立一个安全的环境，并降低数据泄露的风险。

如何符合PCI DSS标准

为了遵守PCI DSS要求，参与存储、处理或传输持卡人数据的实体必须遵循结构化方法。这涉及一系列步骤，有助于确保有效解决PCI DSS的各个方面。以下是每个步骤的详细细分：

• 第1步：定义范围 第一步是通过识别参与处理持卡人数据的所有系统组件、流程和网络来准确确定合规范围。这包括任何可能影响持卡人数据环境（CDE）安全的系统。必须明确定义CDE，以便将合规工作集中在网络的相关部分，从而降低复杂性和成本。
• 第2步：评估环境 一旦定义了范围，下一步涉及评估所有范围内系统组件是否符合PCI DSS要求。这种评估可以使用SAQ在内部进行，也可以由外部审计师或QSA进行。无论哪种方式，目标是确定合规性中的任何差距，并了解每个要求的遵守程度。
• 第3步：生成合规报表 评估后，实体必须完成必要的文档，这些文档因实体的规模和交易量而异。较小的商家可能有资格完成SAQ，而大型商家和服务提供商可能需要更详细的ROC。本文档包括PCI DSS要求的详细信息，实体如何遵守每个要求，以及任何已到位的补偿控制。
• 第4步：获得认证 在完成所需报表后，实体必须完成合规证明（AOC），这是实体对PCI DSS合规状态的正式声明。该证明由公司一名高管签署，确认PCI DSS评估的准确性和完整性。
• 第5步：提交报表SAQ或ROC，以及AOC和其他要求的证明文件，如来自经批准的扫描供应商（ASV）的扫描报表，必须提交给相关方。对于商家来说，这通常意味着向其收购方（处理其卡付款的银行或金融机构）提交。对于服务提供商来说，文件通常提交给需要合规验证的支付品牌或请求者。
• 第6步：采取补救措施 如果评估发现任何不合规领域，实体必须通过补救过程解决这些问题。这涉及修复评估期间发现的问题，以使系统组件符合要求。应记录补救工作，包括采取的行动和解决时间表。补救后，可能有必要重新评估受影响地区，以确保它们现在符合PCI DSS要求。

通过有条不紊地遵循这些步骤，实体可以确保他们满足PCI DSS要求，从而保护持卡人数据并降低数据泄露的风险。

下表概述了满足PCI DSS要求所需的安全控制和流程。

用例

PCI DSS清单

• 使用强密码：用户密码需要难以利用，这是通过使用特殊字符、避免字符模式、创建更长的密码和使用所有允许的字符类型来实现的。密码也需要定期更改，以保持其强度。
• 加密敏感信息：为了保护敏感数据，如信用卡信息，在存储和传输时加密很重要。
• 使用防火墙：防火墙是网络安全的重要组成部分。它们通过控制传入和传出的网络流量来防止未经授权访问网络。
• 获取安全支付网关：安全支付网关通过使用加密和其他安全措施，确保在交易过程中保护敏感的支付信息。
• 使用防病毒软件：防病毒软件有助于保护系统免受恶意软件攻击，恶意软件可能会对网络造成严重损害。
• 限制远程和物理访问：限制对网络资源的远程和物理访问是保护敏感数据免受未经授权的访问的关键步骤。
• 制定安全评估政策：安全评估政策概述了为保护敏感信息而采取的步骤，并确保所有员工都意识到数据保护的重要性。
• 将流量限制在支付系统上：为了确保支付系统的安全，重要的是将流量限制在必要的流量，并阻止任何不需要的流量。

不合规的暗示

US$PCI DSS提供了保护敏感信息的指南，但遵守这些指南不是法律要求。这些法规由行业通过供应商协议在内部管理和维护。遵守PCI DSS规定的12项要求将使组织免于一系列后果，包括5000美元至10万的罚款，以及法律诉讼、保险声明、取消帐户以及在发生安全事件时撤销信用处理服务的可能性。

泄露数据造成的损害可能广泛且持久，影响消费者、商家和金融机构，并可能对公司的声誉和未来的成功造成不可挽回的损害。

违规的后果也可能涉及以下结果：

• QSA的面对面评估。
• 详细的取证调查。
• 重新发行信用卡和借记卡。
• 为受影响的客户提供免费信用监控。
• 技术维修和升级。
• 通知公众违规行为。

有助于合规的ManageEngine解决方案