PCI DSS

w skrócie

czym jest

Payment Card Industry Data Security Standard, publikowany przez PCI Security Standards Council (dalej: rada). Biblioteka dokumentów rady wyróżnia wersję 4.0.1.

kogo dotyczy

Podmiotów, które przechowują, przetwarzają lub przesyłają dane posiadacza karty albo wrażliwe dane uwierzytelniające, lub mogą wpłynąć na bezpieczeństwo środowiska, które to robi. Rada wymienia akceptantów, procesorów, acquirerów, wydawców kart i dostawców usług.

kto sprawdza

Walidację ustalają organizacje płatnicze i Twój acquirer. Przedstawiasz kwestionariusz samooceny albo raport oceniającego, z oświadczeniem o zgodności (attestation of compliance).

kary

Brak z mocy prawa i brak ustalonych przez radę. Skutki wynikają z umowy z acquirerem, której ta strona nie czytała.

waga prawna

Standard umowny. Jego spełnienie nie dowodzi zgodności z RODO ani z innym przepisem.

status

Rada wycofała wersję 4.0 w dniu 31 grudnia 2024. Nowe wymagania, które miały odroczoną datę, zaczęły obowiązywać 31 marca 2025.

podstawa PCI SSC, strona standardu PCI DSS; PCI SSC, FAQ o programach zgodności; PCI SSC, blog o v4.0.1; PCI SSC, blog o wymaganiach z odroczoną datą; RODO art. 32(1)

czy Cię dotyczy?

cała praca, po kolei

Fazy, z właścicielem każdego kroku i dowodem, który zostaje. Otwórz fazę, żeby zobaczyć jej kroki.

• ustal, co masz udowodnić i dla jakich danych kart

  Dowiedz się, czego wymaga acquirer, znajdź każde miejsce, do którego trafiają dane kart, i wyprowadź z zakresu to, co się da.

  kroków: 3
• wybierz drogę i zdobądź aktualne dokumenty

  Ustal, jaki formularz lub raport wypełnisz, i daj aktualny standard osobom, które wykonują pracę.

  kroków: 3
• zbuduj zabezpieczenia, wymaganie po wymaganiu

  Zamknij luki w dwunastu wymaganiach dla wszystkiego, co zostało w zakresie.

  kroków: 7
• wypełnij formularz i złóż oświadczenie

  Wypełnij formularz na podstawie dowodów, daj go do podpisu członkowi kierownictwa i wyślij temu, kto prosił.

  kroków: 5
• utrzymuj to w prawdzie każdego roku

  Prowadź zabezpieczenia przez rok i powtarzaj walidację, gdy przypada termin albo zmienia się przepływ płatności.

  kroków: 4

co certyfikat pokazuje, a czego nie

Przeczytaj to, zanim klient o niego zapyta.

czego wymaga i czym to spełnić

Przepis opisuje, co ma być prawdą w firmie. Nie wskazuje narzędzi ani metod: wybierasz je Ty, a za wybór odpowiadają wdrażający i zarząd. Pod każdym wymaganiem stoją zabezpieczenia, którymi najczęściej się je spełnia. To nasze odczytanie przepisu, nie lista z aktu.

1. dodatkowo w planie wdrożenia
   • inwentaryzacja zasobów
   • zarządzanie dostawcami
   • logowanie zdarzeń i monitorowanie
   • zarządzanie urządzeniami końcowymi
   • szyfrowanie i zarządzanie kluczami
   • zarządzanie podatnościami
   • bezpieczne wytwarzanie oprogramowania
   • dostęp uprzywilejowany
   • przeglądy dostępów

jak pasuje do pozostałych

• RODO

  Dane karty dotyczące osoby to dane osobowe, więc obowiązki bezpieczeństwa z RODO obowiązują obok PCI DSS. Spełnienie jednego nie dowodzi drugiego.

• ISO 27001

  ISO 27001 certyfikuje system zarządzania w zakresie, który wybierasz. PCI DSS wymaga konkretnych zabezpieczeń wokół danych kart.

• SOC 2

  SOC 2 to raport audytora o zabezpieczeniach. Oświadczenie PCI DSS wynika z zasad organizacji płatniczych i acquirerów.