Hvad der ændrede sig med 4.0.1
Payment Card Industry Data Security Standard vedligeholdes af PCI Security Standards Council. Version 4.0.1, udgivet i 2024, afløste 4.0 ved udgangen af samme år, og de krav, der var fremtidsdaterede, blev obligatoriske den 31. marts 2025. De omfatter stærkere multifaktorgodkendelse, målrettede risikoanalyser og beskyttelse mod scripts, der skimmer betalingssider. Standarden har stadig tolv krav, fra netværkssikkerhed og sikker konfiguration over kryptering, sårbarhedsstyring, adgangskontrol, logning og test til sikkerhedspolitikker.
Omfanget først
En forhandler eller betalingsvirksomhed skal føre en liste over sine tredjepartsserviceudbydere, vide, hvilke PCI DSS-krav hver af dem er ansvarlig for, og overvåge deres overholdelse hvert år. Det første spørgsmål er derfor, om du opbevarer, behandler eller overfører kortholderdata, eller om du kan påvirke sikkerheden i det miljø, hvor de findes. Svarene følger så af det:
- Du håndterer kortdata. Forvent at skulle levere en AOC fra en kvalificeret assessor eller en selvevaluering, en ansvarsmatrix, der viser, hvilke krav du dækker, og hvilke der ligger hos kunden, og svar på detaljerede spørgsmål pr. krav.
- Du kan påvirke kortmiljøet (for eksempel hoster du kundens betalingsside eller har netværksadgang til den). Du er omfattet af de krav, der vedrører den forbindelse, og kunden vil spørge til dem.
- Du er uden for det. Sig det med begrundelsen, og besvar de generelle sikkerhedsspørgsmål som i ethvert andet spørgeskema.
Sådan ser spørgsmålene ud
Ud over omfanget: om du har en gældende AOC og fra hvem, ansvarsmatricen, hvordan du segmenterer systemer, der håndterer kortdata, multifaktorgodkendelse for al adgang til kortmiljøet, sårbarhedsscanning udført af en godkendt scanningsleverandør, penetrationstest, opbevaring af logs, og hvordan du ville informere kunden om en hændelse, der berører kortdata.
At svare som leverandør
Skriv omfangsbeskrivelsen én gang med et simpelt dataflow, og få den godkendt af den, der underskriver jeres kontrakter. Er du omfattet, er ansvarsmatricen det dokument, dem, der gennemgår, helst vil se; offentliggør den sammen med AOC'en hvert år. Er du ikke, sparer et klart afsnit med begrundelsen et dusin opfølgende spørgsmål.
I Responsemate
Omfangsbeskrivelsen, AOC'en og ansvarsmatricen ligger i vidensbasen som dokumentation med deres udløbsdatoer, og hver PCI-række udarbejdes ud fra dem med kundens ordlyd. Hvilken dokumentation skal du vedhæfte.
Spørgsmål, folk stiller
Skal vi overholde PCI DSS, hvis vi aldrig rører kortdata?
Som regel ikke, men du skal kunne vise det. Beskriv, hvordan kortdata bevæger sig omkring din tjeneste, bekræft skriftligt, at du ikke opbevarer, behandler eller overfører dem, og angiv, om din tjeneste alligevel kan påvirke sikkerheden i kundens kortmiljø.
Hvad er en AOC?
Attestation of Compliance, det korte dokument, der angiver resultatet af en virksomheds PCI DSS-vurdering. En serviceudbyder, der er omfattet, forventes at give sine kunder en gældende AOC hvert år.