Hva som endret seg med 4.0.1
Payment Card Industry Data Security Standard forvaltes av PCI Security Standards Council. Versjon 4.0.1, publisert i 2024, erstattet 4.0 ved utgangen av det året, og kravene som var datert frem i tid, ble obligatoriske 31. mars 2025. De omfatter sterkere flerfaktorautentisering, målrettede risikoanalyser og beskyttelse mot skript som skimmer betalingssider. Standarden har fortsatt tolv krav, fra nettverkssikkerhet og sikker konfigurasjon via kryptering, sårbarhetshåndtering, tilgangsstyring, logging og testing til sikkerhetspolicyer.
Omfanget først
Et brukersted eller et betalingsselskap må føre en liste over sine tredjeparts tjenesteleverandører, vite hvilke PCI DSS-krav hver av dem har ansvaret for, og følge opp etterlevelsen deres hvert år. Det første spørsmålet er derfor om dere lagrer, behandler eller overfører kortinnehaverdata, eller kan påvirke sikkerheten i miljøet der de befinner seg. Svarene følger så av det:
- Dere håndterer kortdata. Regn med å levere en AOC fra en kvalifisert assessor eller en egenvurdering, en ansvarsmatrise som viser hvilke krav dere dekker og hvilke som ligger hos kunden, og svar på detaljerte spørsmål per krav.
- Dere kan påvirke kortmiljøet (for eksempel fordi dere hoster kundens betalingsside eller har nettverkstilgang til den). Da er dere innenfor omfanget for kravene som berører den forbindelsen, og kunden vil spørre om dem.
- Dere er utenfor. Si det, med begrunnelsen, og svar på de generelle sikkerhetsspørsmålene som i ethvert annet spørreskjema.
Slik ser spørsmålene ut
Utover omfanget: om dere har en gjeldende AOC og fra hvem, ansvarsmatrisen, hvordan dere segmenterer systemer som håndterer kortdata, flerfaktorautentisering for all tilgang til kortmiljøet, sårbarhetsskanning utført av en godkjent skanneleverandør (ASV), penetrasjonstesting, oppbevaring av logger, og hvordan dere ville varslet kunden om en hendelse som berører kortdata.
Å svare som leverandør
Skriv omfangserklæringen én gang, med en enkel dataflyt, og bli enige om den med den som signerer kontraktene deres. Er dere innenfor omfanget, er ansvarsmatrisen det dokumentet vurderere ønsker seg mest; publiser den sammen med AOC-en hvert år. Er dere utenfor, sparer et tydelig avsnitt som forklarer hvorfor, et dusin oppfølgingsspørsmål.
I Responsemate
Omfangserklæringen, AOC-en og ansvarsmatrisen ligger i kunnskapsbasen som dokumentasjon med utløpsdatoer, og hver PCI-rad får et utkast fra dem med kundens ordlyd. Hvilken dokumentasjon du bør legge ved.
Vanlige spørsmål
Må vi oppfylle PCI DSS hvis vi aldri berører kortdata?
Som regel ikke, men dere må vise det. Beskriv hvordan kortdata flyter rundt tjenesten deres, bekreft skriftlig at dere ikke lagrer, behandler eller overfører dem, og si om tjenesten likevel kan påvirke sikkerheten i kundens kortmiljø.
Hva er en AOC?
Attestation of Compliance, det korte dokumentet som oppgir resultatet av et selskaps PCI DSS-vurdering. En tjenesteleverandør som er innenfor omfanget, forventes å gi kundene sine en gjeldende AOC hvert år.