Aplikuje se skrze vztahy platebního systému na entity, které ukládají, zpracovávají či přenášejí údaje držitele karty či citlivá autentizační data, a na systémy či poskytovatele, kteří mohou ovlivnit bezpečnost prostředí údajů držitele karty.
PCI DSS v4.0.1 je současná publikovaná revize. Entita určuje rozsah, implementuje platné požadavky a validuje svůj stav metodou vyžadovanou relevantní platební značkou či vztahem s akvizérem, jako Self-Assessment Questionnaire či hodnocení Qualified Security Assessor.
Klíčové body
RozsahIdentifikujte toky účtových dat, připojené a bezpečnostně vlivné systémy, lidi, procesy, poskytovatele služeb a kontroly segmentace před výběrem požadavků či validačních dokumentů.
Implementace a údržbaChraňte uložená a přenášená účtová data, řiďte přístup, konfigurujte systémy bezpečně, řiďte zranitelnosti, logujte a testujte aktivitu a udržujte zdokumentované politiky a procesy založené na riziku.
ValidacePoužijte platný Report on Compliance či Self-Assessment Questionnaire a jeho odpovídající Attestation of Compliance; potvrďte způsobilost a očekávání předložení s přijímající entitou.
Důležité omezeníPCI DSS není obecná bezpečnostní certifikace ani záruka proti kompromitaci. Validace pokrývá definované prostředí a čas, zatímco nesprávný rozsah, pozdější změny, selhání kontrol a systémy mimo prostředí údajů držitele karty mohou zanechat podstatné riziko.