Wat er met 4.0.1 is veranderd
De Payment Card Industry Data Security Standard wordt beheerd door de PCI Security Standards Council. Versie 4.0.1, gepubliceerd in 2024, verving 4.0 aan het einde van dat jaar, en de eisen met een latere ingangsdatum werden op 31 maart 2025 verplicht. Daaronder vallen sterkere multifactorauthenticatie, gerichte risicoanalyses en bescherming tegen scripts die betaalpagina's skimmen. De standaard heeft nog altijd twaalf eisen, van netwerkbeveiliging en veilige configuratie via versleuteling, kwetsbaarheidsbeheer, toegangsbeheer, logging en testen tot beveiligingsbeleid.
Eerst de scope
Een merchant of betaalbedrijf moet een lijst bijhouden van zijn externe dienstverleners, weten voor welke PCI DSS-eisen elk van hen verantwoordelijk is, en elk jaar controleren of ze eraan voldoen. De eerste vraag is dus of u kaarthoudergegevens opslaat, verwerkt of verzendt, of de beveiliging kunt beïnvloeden van de omgeving waarin ze zich bevinden. De antwoorden volgen daaruit:
- U verwerkt kaartgegevens. Reken erop dat u een AOC moet aanleveren, van een gekwalificeerde assessor of als zelfbeoordeling, een verantwoordelijkhedenmatrix die laat zien welke eisen u afdekt en welke bij de klant blijven, en antwoorden op gedetailleerde vragen per eis.
- U kunt de kaartomgeving beïnvloeden (u host bijvoorbeeld de afrekenpagina van de klant of hebt er netwerktoegang toe). Dan valt u onder de eisen die die verbinding raken, en de klant zal ernaar vragen.
- U valt erbuiten. Zeg dat, met de onderbouwing erbij, en beantwoord de algemene beveiligingsvragen zoals bij elke andere vragenlijst.
Hoe de vragen eruitzien
Naast de scope: of u een actuele AOC hebt en van wie, de verantwoordelijkhedenmatrix, hoe u systemen die kaartgegevens verwerken segmenteert, multifactorauthenticatie voor alle toegang tot de kaartomgeving, kwetsbaarheidsscans door een approved scanning vendor, penetratietests, de bewaartermijn van logs, en hoe u de klant zou informeren over een incident met kaartgegevens.
Antwoorden als leverancier
Schrijf de scopeverklaring één keer, met een eenvoudige gegevensstroom, en stem die af met wie uw contracten ondertekent. Valt u binnen de scope, dan is de verantwoordelijkhedenmatrix het document dat beoordelaars het liefst zien; publiceer die elk jaar samen met de AOC. Valt u erbuiten, dan bespaart een heldere alinea met de reden u een tiental vervolgvragen.
In Responsemate
De scopeverklaring, de AOC en de verantwoordelijkhedenmatrix staan in de kennisbank als bewijs met hun vervaldatums, en elke PCI-rij wordt daaruit opgesteld in de bewoordingen van de klant. Welk bewijs u bijvoegt.
Veelgestelde vragen
Moeten we aan PCI DSS voldoen als we nooit met kaartgegevens werken?
Meestal niet, maar u moet het aantonen. Beschrijf hoe kaartgegevens rond uw dienst stromen, bevestig schriftelijk dat u ze niet opslaat, verwerkt of verzendt, en geef aan of uw dienst de beveiliging van de kaartomgeving van de klant toch kan beïnvloeden.
Wat is een AOC?
De Attestation of Compliance, het korte document waarin de uitkomst van de PCI DSS-beoordeling van een bedrijf staat. Van een dienstverlener die binnen de scope valt, wordt verwacht dat hij zijn klanten elk jaar een actuele AOC geeft.