Jego zakres może obejmować kasy, czytniki kart, terminale mobilne, oprogramowanie POS, sieci sklepowe, systemy zaplecza, narzędzia zdalnego zarządzania, procesorów płatności, dostawców wsparcia i fizyczne otoczenie każdego urządzenia.
Kontrole powinny chronić dane kont płatniczych i inne informacje detaliczne przy zachowaniu dostępności transakcji. Wymagania zależą od metod płatności, przepływów danych, modeli oprogramowania i terminali, relacji rozliczeniowych, stron trzecich i ocenianego środowiska danych posiadaczy kart.
Najważniejsze punkty
Ścieżka transakcjiZidentyfikuj, gdzie dane płatności i klientów wchodzą, przepływają, są przechowywane lub mogą być dotknięte, w tym systemy zarządzania, integracje, dostęp wsparcia, łącza bezprzewodowe i połączone systemy.
Ochrona urządzeń i danychUżywaj wspieranych terminali i oprogramowania, sprawdzaj manipulacje lub podstawienie, unikaj niepotrzebnego przechowywania, chroń klucze i przestrzegaj instrukcji każdego wymienionego rozwiązania szyfrowania punkt-punkt.
Kontrole operacyjneZmieniaj niebezpieczne ustawienia domyślne, silnie uwierzytelniaj dostęp zdalny, oddzielaj obowiązki, segmentuj tam, gdzie skuteczne, stosuj testowane aktualizacje, monitoruj aktywność, szkol personel i koordynuj procedury incydentowe z partnerami płatniczymi.
Istotne ograniczenieZatwierdzony terminal, zaszyfrowana transakcja ani walidacja PCI DSS nie dowodzi, że całe środowisko POS jest bezpieczne. Wymienione w PCI rozwiązanie szyfrowania punkt-punkt (P2PE) może redukować obowiązujące wymagania PCI DSS, gdy jest wdrożone zgodnie z walidacją, ale nie eliminuje obowiązków sprzedawcy ani nie adresuje złośliwego oprogramowania, skradzionych poświadczeń, niebezpiecznych integracji, podstawienia urządzeń i późniejszych zmian.