PCI DSS Wyjaśnione: Praktyczny przewodnik po standardzie Payment Card Industry

Patrzenie na oficjalną dokumentację PCI DSS może przypominać próbę rozszyfrowania starożytnego tekstu. To gęsty labirynt żargonu technicznego, który budzi obawy o ogromne kary finansowe i niepewność, od czego w ogóle zacząć. Dla każdej firmy, która przetwarza płatności kartami, zrozumienie payment card industry pci standard to nie tylko dobry pomysł – to ścisły wymóg. Ale poruszanie się po tym złożonym krajobrazie nie musi być przytłaczającym ani kosztownym przedsięwzięciem, które spędza sen z powiek.

W tym miejscu pojawia się nasz praktyczny przewodnik. Przecinamy zawiłości, aby dać Ci dokładnie to, czego potrzebujesz. W tym artykule rozwiejemy wątpliwości dotyczące standardu, podzielimy 12 podstawowych wymagań na listę kontrolną z możliwością podjęcia działań i przedstawimy jasną ścieżkę walidacji zgodności. Zdobędziesz solidną wiedzę na temat PCI DSS i pewność, że chronisz dane swoich klientów, zabezpieczasz swój biznes i raz na zawsze uspokoisz obawy związane z brakiem zgodności.

Czym jest PCI Data Security Standard (PCI DSS) i dlaczego ma znaczenie?

Payment Card Industry Data Security Standard (PCI DSS) to globalna struktura bezpieczeństwa informacji przeznaczona dla każdej organizacji, która przechowuje, przetwarza lub przesyła dane posiadaczy kart. Jego głównym celem jest ograniczenie oszustw związanych z kartami kredytowymi poprzez zwiększenie kontroli nad wrażliwymi informacjami o płatnościach. Ważne jest, aby zrozumieć, że PCI DSS nie jest prawem; jest to raczej zobowiązanie umowne wymagane przez główne marki kart płatniczych. Przestrzeganie tego standardu ma kluczowe znaczenie dla ochrony klientów, budowania zaufania i unikania znacznych szkód dla marki.

Aby lepiej zrozumieć tę koncepcję, obejrzyj ten pomocny film:

Standard ten w szczególności chroni dwa rodzaje danych:

• Dane posiadacza karty (CHD): Obejmują one numer podstawowy konta (PAN), imię i nazwisko posiadacza karty, datę ważności i kod usługi.
• Wrażliwe dane uwierzytelniające (SAD): Obejmują pełne dane paska magnetycznego, CAV2/CVC2/CVV2/CID oraz kody PIN/bloki PIN. Dane te nigdy nie mogą być przechowywane po autoryzacji.

Kto musi być zgodny z PCI?

Jeśli Twoja aplikacja lub firma akceptuje, przetwarza, przechowuje lub przesyła informacje o kartach kredytowych, musisz być zgodny z PCI. Dotyczy to wszystkich sprzedawców, procesorów, agentów rozliczeniowych, wydawców i dostawców usług zaangażowanych w proces płatności. Niezależnie od tego, czy jesteś sklepem e-commerce, czy sklepem stacjonarnym z systemem punktu sprzedaży (POS), standard ma zastosowanie. Częstym błędnym przekonaniem jest to, że korzystanie z zewnętrznego procesora, takiego jak Stripe lub PayPal, zdejmuje z Ciebie obowiązek zachowania zgodności. Chociaż przejmują oni większość ryzyka, nadal jesteś odpowiedzialny za zapewnienie bezpieczeństwa swoich systemów i procesów.

Założycielskie marki płatnicze i PCI SSC

PCI DSS został stworzony przez pięć założycielskich marek płatniczych: Visa, MasterCard, American Express, Discover i JCB. Aby zarządzać standardem, utworzyły one PCI Security Standards Council (SSC), niezależny organ, który opracowuje, zarządza i promuje payment card industry pci standard. Jest to kluczowe rozróżnienie: PCI SSC zarządza standardem, ale poszczególne marki płatnicze są odpowiedzialne za egzekwowanie zgodności.

Prawdziwe koszty braku zgodności

Ignorowanie PCI DSS może mieć poważne konsekwencje finansowe i wizerunkowe. Koszty znacznie wykraczają poza potencjalne naruszenie danych. Kary za brak zgodności mogą obejmować:

• Wysokie kary finansowe: Marki płatnicze mogą nakładać kary w wysokości od 5000 do 100 000 USD miesięcznie do czasu uzyskania zgodności.
• Podwyższone opłaty: Twój bank rozliczeniowy może zwiększyć opłaty transakcyjne lub nałożyć dodatkowe kary.
• Utrata możliwości przetwarzania: W poważnych przypadkach możesz stracić konto handlowe, tracąc całkowicie możliwość akceptowania płatności kartami.
• Koszty po naruszeniu: Jeśli dojdzie do naruszenia, poniesiesz wydatki na audyty kryminalistyczne, honoraria prawnicze, powiadomienia klientów i usługi monitorowania kredytów.

Kiedy dojdzie do naruszenia, wynikający z tego chaos często wymaga specjalistycznej pomocy w poruszaniu się. Aby lepiej zrozumieć kroki związane z obsługą takich incydentów, możesz zapoznać się z badaniami korporacyjnymi.

12 podstawowych wymagań PCI DSS: uproszczony podział

Na pierwszy rzut oka Payment Card Industry Data Security Standard (PCI DSS) może wydawać się skomplikowany. Jednak jego 12 podstawowych wymagań jest zorganizowanych w 6 logicznych celów, często nazywanych „celami kontroli”. Ta struktura znacznie ułatwia podejście do payment card industry pci standard. Cele zapewniają „dlaczego” stojące za wymaganiami, koncentrując się na kluczowych zasadach bezpieczeństwa.

Zrozumienie tej struktury jest pierwszym krokiem w kierunku budowy zgodnej aplikacji. Oficjalna dokumentacja od PCI Security Standards Council (PCI SSC) przedstawia te cele, które mają na celu stworzenie całościowej postawy bezpieczeństwa. Poniżej znajduje się krótki przegląd, a następnie podział kluczowych wymagań.

Zbuduj i utrzymuj bezpieczną sieć i systemy

Ten podstawowy cel koncentruje się na stworzeniu bezpiecznego obwodu w celu ochrony środowiska danych posiadacza karty (CDE). Wymaganie 1 nakazuje stosowanie zapór ogniowych i innych mechanizmów kontroli bezpieczeństwa sieci w celu zarządzania przepływem ruchu. Wymaganie 2 zapewnia, że nie używasz domyślnych ustawień dostarczonych przez dostawcę dla haseł systemowych i innych parametrów bezpieczeństwa, zamiast tego stosujesz wzmocnione, bezpieczne konfiguracje do wszystkich komponentów systemu.

Chroń dane konta

Jeśli dojdzie do naruszenia, ten cel ma na celu sprawienie, aby wszelkie skradzione dane były bezużyteczne dla atakujących. Wymaganie 3 koncentruje się na ochronie przechowywanych danych za pomocą metod takich jak silne szyfrowanie, obcinanie lub maskowanie, zapewniając, że wrażliwe dane uwierzytelniające nigdy nie są przechowywane po autoryzacji. Wymaganie 4 nakazuje stosowanie silnej kryptografii i protokołów bezpieczeństwa (takich jak TLS) w celu ochrony danych posiadacza karty podczas transmisji przez otwarte, publiczne sieci.

Utrzymuj program zarządzania lukami w zabezpieczeniach

Bezpieczeństwo to proces ciągły, a nie jednorazowa konfiguracja. Ten cel odnosi się do potrzeby ciągłej czujności. Wymaganie 5 wzywa do ochrony wszystkich systemów przed złośliwym oprogramowaniem poprzez wdrażanie i regularne aktualizowanie oprogramowania antywirusowego. Wymaganie 6 dotyczy wbudowywania bezpieczeństwa w cykl życia rozwoju, zapewniając bezpieczne tworzenie aplikacji i terminowe otrzymywanie przez systemy poprawek bezpieczeństwa w celu ochrony przed pojawiającymi się zagrożeniami.

Wdróż silne środki kontroli dostępu

Ten cel ma na celu zapewnienie, że tylko upoważnione osoby mogą uzyskać dostęp do poufnych danych. Wymaganie 7 wymusza zasadę „need-to-know”, ograniczając dostęp do danych posiadacza karty tylko tym osobom, których praca tego wymaga. Wymaganie 8 zapewnia, że każda osoba mająca dostęp ma unikalny identyfikator dla rozliczalności. Wreszcie, Wymaganie 9 odnosi się do bezpieczeństwa fizycznego, ograniczając dostęp do serwerów, komputerów lub twardych kopii zawierających dane posiadacza karty.

Zrozumienie poziomów zgodności z PCI i metod walidacji

Poruszanie się po payment card industry pci standard wiąże się ze zrozumieniem, że nie wszystkie firmy podlegają takiemu samemu poziomowi kontroli. Twoje konkretne wymagania dotyczące zgodności są określane przez roczną wielkość transakcji. Główne marki kart (Visa, Mastercard itp.) dzielą sprzedawców na cztery odrębne poziomy, każdy z własną metodą walidacji zgodności.

Wyjaśnienie czterech poziomów sprzedawców

Twój poziom sprzedawcy określa walidację, którą musisz ukończyć, aby udowodnić, że jesteś zgodny. Poziomy te są generalnie spójne w głównych markach kart:

• Poziom 1: Dla sprzedawców przetwarzających ponad 6 milionów transakcji kartami rocznie. Jest to najbardziej rygorystyczny poziom, wymagający najwyższego stopnia walidacji.
• Poziom 2: Dla sprzedawców przetwarzających od 1 do 6 milionów transakcji rocznie.
• Poziom 3: Dla sprzedawców przetwarzających od 20 000 do 1 miliona transakcji e-commerce rocznie.
• Poziom 4: Dla sprzedawców przetwarzających mniej niż 20 000 transakcji e-commerce lub do 1 miliona wszystkich transakcji rocznie. Jest to najczęstszy poziom dla małych i średnich przedsiębiorstw (MŚP).

Walidacja: Kwestionariusze samooceny (SAQ)

Dla sprzedawców na poziomach 2, 3 i 4 podstawowym narzędziem walidacji jest kwestionariusz samooceny (SAQ). Jest to raport, w którym poświadczasz swój status zgodności. Konkretny SAQ, który musisz wypełnić, zależy od tego, jak Twoja aplikacja i firma obsługują dane posiadacza karty – od SAQ A (dla tych, którzy całkowicie zlecają przetwarzanie płatności na zewnątrz) do SAQ D (dla bardziej złożonych środowisk). Wszystkie oficjalne formularze i wskazówki można znaleźć w Bibliotece dokumentów PCI Security Standards Council. Po wypełnieniu SAQ jest przesyłany z poświadczeniem zgodności (AoC) do Twojego banku rozliczeniowego.

Walidacja: Raport zgodności (RoC) i skany ASV

Sprzedawcy na poziomie 1 muszą przejść bardziej rygorystyczny proces. Zamiast SAQ muszą przesłać Raport Zgodności (RoC). Jest to formalny, zewnętrzny audyt przeprowadzany na miejscu przez Kwalifikowanego Asesora Bezpieczeństwa (QSA), który weryfikuje każdy aspekt payment card industry pci standard w Twoim środowisku. Dodatkowo, każdy sprzedawca z zewnętrznymi adresami IP (co obejmuje większość aplikacji i stron e-commerce) musi wykonywać kwartalne skanowanie podatności sieci przeprowadzone przez Zatwierdzonego Dostawcę Skanowania (ASV) w celu identyfikacji i naprawy luk w zabezpieczeniach.

Krytyczna rola testowania bezpieczeństwa w zgodności z PCI (Wymagania 6 i 11)

Osiągnięcie zgodności z PCI DSS nie jest jednorazową konfiguracją; to ciągłe zobowiązanie do bezpieczeństwa. Sednem tego zobowiązania jest proaktywne znajdowanie i naprawianie luk w zabezpieczeniach, zanim atakujący będą mogli je wykorzystać. Wymagania 6 i 11 payment card industry pci standard przenoszą bezpieczeństwo z ćwiczenia teoretycznego do praktycznego, ciągłego procesu, nakazując regularne testowanie obrony i łatanie wszelkich wykrytych słabości.

Wymaganie 6: Bezpieczne tworzenie i łatanie luk w zabezpieczeniach

Bezpieczne systemy zaczynają się od bezpiecznego kodu. Wymaganie to nakazuje szkolenie programistów w zakresie unikania powszechnych i krytycznych luk w kodzie (np. błędy wstrzyknięć, wadliwa kontrola dostępu). Wymaga również identyfikacji i stosowania krytycznych poprawek bezpieczeństwa w odpowiednim czasie. Używanie zautomatyzowanych skanerów na wczesnym etapie cyklu życia rozwoju pomaga programistom wychwytywać i naprawiać błędy, zanim trafią one do produkcji, co znacznie wzmacnia fundament aplikacji. Dla firm, które potrzebują pomocy w tworzeniu bezpiecznych aplikacji od podstaw, możesz dowiedzieć się więcej o tym, jak tworzenie niestandardowego oprogramowania może sprostać tym wyzwaniom.

Wymaganie 11: Skanowanie luk w zabezpieczeniach i testy penetracyjne

Regularne testowanie jest warunkiem koniecznym do identyfikacji nowych zagrożeń. Wymaganie 11 formalizuje to dzięki ścisłemu harmonogramowi ocen bezpieczeństwa:

• Kwartalne skanowanie wewnętrzne i zewnętrzne: Musisz skanować w poszukiwaniu luk w zabezpieczeniach w swojej sieci i na zewnętrznych systemach internetowych co trzy miesiące. Skanowanie zewnętrzne musi być wykonywane przez Zatwierdzonego Dostawcę Skanowania (ASV), aby było ważne.
• Testy penetracyjne: Co najmniej raz w roku i po każdej istotnej zmianie w systemie musisz przeprowadzać testy penetracyjne. Polega to na symulowaniu rzeczywistego ataku w celu przetestowania odporności segmentacji i warstw aplikacji.

Poza kwartalnymi skanowaniami: argument za ciągłym monitorowaniem

Chociaż kwartalne skanowanie spełnia minimalny standard, zapewnia jedynie migawkę w czasie. Złośliwi aktorzy nie czekają na następne zaplanowane skanowanie; setki nowych luk w zabezpieczeniach mogą pojawić się w ciągu 90 dni między testami, pozostawiając Cię narażonym. Nowoczesne najlepsze praktyki w zakresie bezpieczeństwa opowiadają się za ciągłym, zautomatyzowanym skanowaniem, aby zniwelować tę lukę. Takie podejście zapewnia widoczność w czasie rzeczywistym postawy bezpieczeństwa, co pozwala na reagowanie na zagrożenia, gdy się pojawiają. Zautomatyzuj testowanie bezpieczeństwa, aby uprościć zgodność z PCI.

Jak osiągnąć i utrzymać zgodność z PCI: 5-etapowy plan działania

Osiągnięcie zgodności z payment card industry pci standard może wydawać się zniechęcające, ale staje się łatwe do opanowania, gdy podzieli się je na jasny plan działania. Nie jest to jednorazowy projekt, ale ciągły cykl oceny, naprawy i walidacji. Postępuj zgodnie z tymi pięcioma krokami, aby zbudować silną i zrównoważoną postawę zgodności dla swojej aplikacji.

Krok 1 i 2: Określ zakres swojego środowiska i przeprowadź analizę luk

Najpierw zidentyfikuj każdy system, sieć i komponent aplikacji, który przechowuje, przetwarza lub przesyła dane posiadacza karty. Jest to Twoje środowisko danych posiadacza karty (CDE). Krytycznym pierwszym krokiem jest zminimalizowanie tego zakresu za pomocą technik takich jak segmentacja sieci lub tokenizacja płatności. Mniejsze CDE oznacza mniejszą złożoność i niższe koszty audytu. Po określeniu zakresu przeprowadź analizę luk, mierząc obecne mechanizmy kontroli w odniesieniu do 12 wymagań PCI DSS, używając odpowiedniego kwestionariusza samooceny (SAQ) jako przewodnika.

Krok 3: Napraw i usuń luki w zabezpieczeniach

Twoja analiza luk ujawni obszary, w których Twoje mechanizmy kontroli bezpieczeństwa są niewystarczające. Stwórz plan naprawczy z priorytetami, aby rozwiązać te ustalenia, zajmując się najpierw krytycznymi i wysokiego ryzyka lukami w zabezpieczeniach. Może to obejmować łatanie systemów, ponowną konfigurację zapór ogniowych, wdrażanie silniejszych mechanizmów kontroli dostępu lub aktualizację protokołów szyfrowania. Ważne jest, aby udokumentować każde podjęte działanie, ponieważ ta dokumentacja posłuży jako dowód podczas formalnej walidacji.

Krok 4 i 5: Ukończ walidację i utrzymuj zgodność

Po naprawieniu luk w zabezpieczeniach nadszedł czas na formalną walidację. Dla większości firm wiąże się to z wypełnieniem odpowiedniego SAQ i poświadczenia zgodności (AOC). Więksi sprzedawcy mogą wymagać formalnego audytu przez Kwalifikowanego Asesora Bezpieczeństwa (QSA), co skutkuje Raportem Zgodności (RoC). Po zakończeniu prześlij tę dokumentację do swojego banku rozliczeniowego.

Pamiętaj, że zgodność to ciągły wysiłek. Jej utrzymanie wymaga ciągłego programu bezpieczeństwa, który obejmuje:

Wiele organizacji uważa, że integracja wymagań PCI DSS z szerszymi ramami zarządzania jakością, takimi jak ISO 9001, pomaga usprawnić te bieżące wysiłki. Osoby zainteresowane tym holistycznym podejściem mogą dowiedzieć się więcej o Align Quality.

To zaangażowanie w ochronę i zaufanie użytkowników często wykracza poza bezpieczeństwo danych. Wiele firm priorytetowo traktuje również dostępność cyfrową, aby zapewnić, że ich usługi są użyteczne dla wszystkich, w tym osób niepełnosprawnych. To szersze podejście do zgodności może być wspierane przez wyspecjalizowane usługi, takie jak Helplee, które pomagają organizacjom spełniać standardy dostępności.

• Regularne skanowanie luk w zabezpieczeniach sieci przez Zatwierdzonego Dostawcę Skanowania (ASV).
• Ciągłe monitorowanie mechanizmów kontroli bezpieczeństwa i dzienników.
• Coroczne oceny ryzyka w celu identyfikacji nowych zagrożeń.
• Ciągłe szkolenia w zakresie świadomości bezpieczeństwa dla całego personelu.

Ustanowienie tego cyklu zapewnia, że Twoja obrona ewoluuje wraz z krajobrazem zagrożeń, utrzymując Cię w zgodzie z payment card industry pci standard. Aby uzyskać fachową pomoc w identyfikacji i zarządzaniu lukami w zabezpieczeniach, rozważ współpracę ze specjalistą ds. bezpieczeństwa w zakresie usług, takich jak ciągłe testy penetracyjne.

Uprość swoją ścieżkę do trwałej zgodności z PCI

Poruszanie się po świecie PCI DSS nie musi być zniechęcającym corocznym ćwiczeniem. Jak zbadaliśmy, sednem zgodności jest zrozumienie, że jest to ciągłe zobowiązanie do bezpieczeństwa, a nie tylko jednorazowy audyt. Kluczowe wnioski są jasne: opanowanie 12 wymagań i przyjęcie ciągłego testowania bezpieczeństwa ma fundamentalne znaczenie dla ochrony danych posiadaczy kart. Przestrzeganie payment card industry pci standard to krytyczna praktyka dla budowania zaufania klientów i ochrony Twojej firmy przed kosztownymi naruszeniami danych.

Spełnienie rygorystycznych wymagań 6 i 11 to miejsce, w którym wiele organizacji ma trudności. To tutaj nowoczesne narzędzia mogą zmienić Twoje podejście. Penetrify oferuje ciągłe, oparte na sztucznej inteligencji skanowanie luk w zabezpieczeniach, które automatycznie wykrywa OWASP Top 10 i inne krytyczne błędy w Twoich systemach. Ta proaktywna metoda jest znacznie szybsza i bardziej opłacalna niż tradycyjne testy penetracyjne, przekształcając zgodność z okresowej walki w usprawniony, zautomatyzowany proces.

Gotowy, aby przejść od stresu związanego ze zgodnością do pewności bezpieczeństwa? Zobacz, jak ciągłe skanowanie Penetrify upraszcza zgodność z PCI. Zrób pierwszy krok w kierunku bezpieczniejszego i bardziej odpornego środowiska płatności już dziś.

Często zadawane pytania

Jaka jest różnica między PCI DSS a PA-DSS?

Pomyśl o PCI DSS (Payment Card Industry Data Security Standard) jako o zbiorze zasad dla każdej organizacji, która przechowuje, przetwarza lub przesyła dane posiadacza karty. Ma zastosowanie do sprzedawców i dostawców usług. PA-DSS (Payment Application Data Security Standard), z drugiej strony, był zbiorem wymagań dla dostawców oprogramowania tworzących aplikacje płatnicze. Zapewniał, że ich oprogramowanie nie przechowuje poufnych danych i wspierał wysiłki sprzedawców w zakresie zgodności z PCI DSS. PA-DSS został teraz zastąpiony przez PCI Software Security Framework (SSF).

Jeśli korzystam ze Stripe lub PayPal, czy automatycznie jestem zgodny z PCI?

Nie, korzystanie z zewnętrznego procesora płatności, takiego jak Stripe lub PayPal, nie czyni Cię automatycznie zgodnym z PCI. Chociaż usługi te znacznie zmniejszają Twój zakres PCI, bezpośrednio obsługując dane posiadacza karty, nadal jesteś odpowiedzialny za swoją stronę transakcji. Obejmuje to bezpieczną konfigurację witryny, ochronę portali administracyjnych silnymi hasłami i wypełnienie odpowiedniego kwestionariusza samooceny (SAQ). Twój ciężar zgodności jest mniejszy, ale nadal istnieje.

Czym jest Zatwierdzony Dostawca Skanowania (ASV) i czy go potrzebuję?

Zatwierdzony Dostawca Skanowania (ASV) to firma certyfikowana przez PCI Security Standards Council do wykonywania zewnętrznych skanów luk w zabezpieczeniach w Twoich systemach. Potrzebujesz ASV, jeśli walidacja PCI DSS wymaga kwartalnego zewnętrznego skanowania sieci, co jest powszechne w przypadku sprzedawców z zewnętrznymi adresami IP w środowisku danych posiadacza karty. Jest to obowiązkowe wymaganie dla niektórych kwestionariuszy samooceny (np. SAQ A-EP, SAQ D) i wszystkich Raportów Zgodności (ROC).

Jak często muszę wykonywać skanowanie luk w zabezpieczeniach PCI?

Zewnętrzne skanowanie luk w zabezpieczeniach przeprowadzane przez ASV musi być wykonywane co najmniej raz na 90 dni (kwartalnie). Dodatkowo musisz uruchomić nowe skanowanie po każdej istotnej zmianie w Twojej sieci, takiej jak dodanie nowego serwera, zmiana reguł zapory ogniowej lub aktualizacja komponentów systemu. Wewnętrzne skanowanie luk w zabezpieczeniach, które możesz wykonać samodzielnie za pomocą wykwalifikowanego narzędzia lub pracownika, powinno być również przeprowadzane kwartalnie i po każdej istotnej zmianie w sieci wewnętrznej.

Czy PCI DSS ma zastosowanie do środowisk chmurowych, takich jak AWS, Azure lub GCP?

Tak, PCI DSS absolutnie ma zastosowanie do środowisk chmurowych. Dostawcy usług chmurowych, tacy jak AWS, Azure i GCP, działają w oparciu o model współdzielonej odpowiedzialności. Dostawca jest odpowiedzialny za zabezpieczenie podstawowej infrastruktury („chmura”), ale Ty, klient, jesteś odpowiedzialny za zabezpieczenie wszystkiego, co budujesz i umieszczasz „w chmurze”. Obejmuje to Twoje aplikacje, systemy operacyjne, konfiguracje sieci i zarządzanie dostępem. Musisz upewnić się, że Twoje wdrożenie w chmurze jest skonfigurowane i zarządzane w sposób zgodny z przepisami.

Czym jest Środowisko Danych Posiadacza Karty (CDE)?

Środowisko Danych Posiadacza Karty (CDE) obejmuje wszystkich ludzi, procesy i technologie, które przechowują, przetwarzają lub przesyłają dane posiadacza karty lub wrażliwe dane uwierzytelniające. Kluczowym celem payment card industry pci standard jest prawidłowe oddzielenie CDE od reszty Twojej sieci. Izolując te krytyczne systemy, możesz zmniejszyć zakres swojej oceny PCI DSS, dzięki czemu ochrona poufnych informacji o płatnościach i osiągnięcie zgodności staje się łatwiejsze i bardziej opłacalne.

Jak PCI DSS v4.0 zmienił wymagania?

PCI DSS v4.0 wprowadza istotne aktualizacje w celu rozwiązania ewoluujących zagrożeń bezpieczeństwa. Kluczowe zmiany obejmują „niestandardowe podejście”, które pozwala organizacjom na osiąganie celów bezpieczeństwa za pomocą innowacyjnych metod, jeśli nie są w stanie spełnić wymagania w formie pisemnej. Nakazuje również silniejsze hasła i wymagania dotyczące uwierzytelniania wieloskładnikowego (MFA) dla całego dostępu do CDE i kładzie większy nacisk na ciągłe monitorowanie bezpieczeństwa. Jako nowy payment card industry pci standard, v4.0 został zaprojektowany z myślą o większej elastyczności i bezpieczeństwie.