Czym jest PCI DSS?
PCI DSS to zbiór wymagań technicznych i organizacyjnych chroniących dane posiadaczy kart, przede wszystkim numer karty (PAN) oraz wrażliwe dane uwierzytelniające (zawartość paska magnetycznego lub chipa, kody CVV/CVC, PIN). Standard nie jest przepisem prawa, lecz wymogiem kontraktowym: obowiązek zgodności wynika z umów z organizacjami płatniczymi i agentami rozliczeniowymi (acquirerami), a jego naruszenie grozi karami umownymi, podwyższonymi opłatami, a w skrajnych przypadkach odebraniem możliwości akceptowania kart.
Aktualna wersja główna to PCI DSS v4.0, opublikowana w marcu 2022 roku, doprecyzowana w czerwcu 2024 roku jako v4.0.1. Wersja 3.2.1 została wycofana 31 marca 2024 roku, a nowe wymagania v4.0 oznaczone jako „future-dated" stały się obowiązkowe 31 marca 2025 roku, w tym uwierzytelnianie wieloskładnikowe dla każdego dostępu do środowiska danych kart, uwierzytelnione skany wewnętrzne oraz ochrona skryptów na stronach płatności przed atakami typu web skimming.
Kogo dotyczy?
PCI DSS obowiązuje wszystkich uczestników łańcucha płatności kartowych: akceptantów (merchantów), od sklepu internetowego po sieć handlową, oraz usługodawców (service providers), którzy przetwarzają dane kart w imieniu innych podmiotów, takich jak procesorzy płatności, bramki płatnicze, dostawcy hostingu czy centra danych. Kluczowe jest pojęcie środowiska danych posiadaczy kart (CDE, cardholder data environment): to systemy, które przechowują, przetwarzają lub transmitują dane kart, oraz wszystkie systemy mogące wpływać na ich bezpieczeństwo. Dobrze zaprojektowana segmentacja sieci potrafi radykalnie zmniejszyć zakres oceny, a więc i jej koszt.
Organizacje płatnicze dzielą akceptantów na poziomy (Level 1-4) według rocznego wolumenu transakcji, a usługodawców na poziomy 1-2. Poziom decyduje o sposobie walidacji zgodności: najwięksi przechodzą coroczną ocenę zewnętrzną, mniejsi wypełniają kwestionariusz samooceny.
12 wymagań standardu
PCI DSS v4.0 grupuje ponad 250 szczegółowych wymagań w 12 wymagań głównych, ułożonych w sześć celów kontrolnych.
- 1. Zainstaluj i utrzymuj kontrole bezpieczeństwa sieci (firewalle, NSC).
- 2. Stosuj bezpieczne konfiguracje wszystkich komponentów systemowych (koniec z ustawieniami domyślnymi).
- 3. Chroń przechowywane dane kont (retencja, maskowanie PAN, szyfrowanie, zakaz przechowywania danych SAD po autoryzacji).
- 4. Chroń dane kart silną kryptografią podczas transmisji przez sieci otwarte i publiczne.
- 5. Chroń wszystkie systemy i sieci przed złośliwym oprogramowaniem.
- 6. Twórz i utrzymuj bezpieczne systemy i oprogramowanie (poprawki, bezpieczny SDLC, ochrona stron płatności).
- 7. Ograniczaj dostęp do danych według zasady wiedzy koniecznej (need-to-know).
- 8. Identyfikuj użytkowników i uwierzytelniaj dostęp (unikalne identyfikatory, MFA).
- 9. Ograniczaj fizyczny dostęp do danych kart (serwerownie, nośniki, terminale POI).
- 10. Loguj i monitoruj każdy dostęp do komponentów systemowych i danych kart.
- 11. Regularnie testuj bezpieczeństwo systemów i sieci (skany podatności, skany ASV, testy penetracyjne).
- 12. Wspieraj bezpieczeństwo informacji politykami i programami organizacyjnymi (ryzyko, świadomość, dostawcy, reagowanie na incydenty).
SAQ czy ocena QSA z raportem ROC?
Zgodność z PCI DSS waliduje się na jeden z dwóch sposobów. Mniejsze podmioty wypełniają kwestionariusz samooceny (SAQ, Self-Assessment Questionnaire). Jego typ zależy od kanału akceptacji: SAQ A dotyczy e-commerce z pełnym przekierowaniem płatności do zewnętrznego dostawcy, SAQ B terminali bez elektronicznego przechowywania danych, a SAQ D (najobszerniejszy) podmiotów, które same przechowują lub przetwarzają dane kart, oraz usługodawców. Wybór właściwego typu SAQ jest krytyczny: zły typ oznacza nieważną walidację.
Najwięksi akceptanci (Level 1, powyżej 6 milionów transakcji rocznie u głównych organizacji płatniczych) oraz usługodawcy Level 1 przechodzą coroczną ocenę na miejscu prowadzoną przez kwalifikowanego asesora bezpieczeństwa (QSA, Qualified Security Assessor) lub audytora wewnętrznego ISA, zakończoną raportem zgodności (ROC, Report on Compliance). Niezależnie od ścieżki wynik walidacji potwierdza zaświadczenie zgodności (AOC, Attestation of Compliance) składane agentowi rozliczeniowemu. Dodatkowo większość podmiotów musi co kwartał zaliczać zewnętrzne skany podatności wykonywane przez zatwierdzonego dostawcę skanów (ASV, Approved Scanning Vendor) z listy PCI SSC.
Co grozi za brak zgodności?
PCI DSS egzekwują organizacje płatnicze poprzez agentów rozliczeniowych. Konsekwencje braku zgodności to comiesięczne kary umowne nakładane na akceptanta (rosnące wraz z czasem trwania niezgodności), podwyższone stawki interchange, a po naruszeniu danych również koszty postępowania forensycznego (PFI), zwroty za ponowne wydanie kart i oszustwa oraz możliwość rozwiązania umowy akceptacyjnej. W Unii Europejskiej naruszenie danych kart jest zwykle jednocześnie naruszeniem ochrony danych osobowych w rozumieniu RODO, co dokłada ryzyko kar administracyjnych i obowiązek zawiadomienia organu nadzorczego.
Warto pamiętać, że zgodność walidowana raz w roku nie wystarcza operacyjnie: standard v4.0 kładzie nacisk na „bezpieczeństwo jako proces ciągły". Kontrole mają działać przez cały rok, a wiele wymagań ma określoną częstotliwość (codzienny przegląd logów, kwartalne skany, półroczne przeglądy uprawnień, coroczne testy penetracyjne i szkolenia).
Jak pomaga Guardiso?
Guardiso zamienia kilkaset szczegółowych wymagań PCI DSS w uporządkowany, mierzalny program i pilnuje częstotliwości, które decydują o utrzymaniu zgodności między ocenami.
- Wymagania PCI DSS v4.0 tworzone jako kontrole po włączeniu standardu, ze statusami wdrożenia, właścicielami i dowodami.
- Zadania cykliczne odwzorowujące rytm standardu: kwartalne skany, półroczne przeglądy uprawnień, coroczne testy, szkolenia i przeglądy polityk, z przypomnieniami, zanim minie termin.
- Rejestr dostawców (TPSP) z pilnowaniem ważności zaświadczeń AOC i macierzą podziału odpowiedzialności.
- Polityki i procedury generowane z szablonów: polityka bezpieczeństwa, zarządzanie kluczami, plan reagowania na incydenty.
- Rejestr ryzyk wspierający ukierunkowane analizy ryzyka (targeted risk analysis) wymagane przez v4.0.
- Repozytorium dowodów gotowe na ocenę: raporty skanów, wyniki pentestów, zapisy szkoleń i przeglądów, wszystko w jednym miejscu dla QSA.
- Mapowanie krzyżowe na ISO 27001, SOC 2 i NIS 2: kontrole wdrożone dla PCI DSS zaliczają pokrywające się wymagania innych ram.