Vad som ändrades med 4.0.1
Payment Card Industry Data Security Standard förvaltas av PCI Security Standards Council. Version 4.0.1, publicerad 2024, ersatte 4.0 i slutet av det året, och de krav som hade ett framtida datum blev obligatoriska den 31 mars 2025. De omfattar starkare flerfaktorsautentisering, riktade riskanalyser och skydd mot skript som stjäl kortuppgifter från betalsidor. Standarden har fortfarande tolv krav, från nätverkssäkerhet och säker konfiguration via kryptering, sårbarhetshantering, åtkomstkontroll, loggning och testning till säkerhetspolicyer.
Omfattningen först
En handlare eller ett betalföretag måste föra en lista över sina tredjepartsleverantörer av tjänster, veta vilka krav i PCI DSS var och en ansvarar för och följa upp deras efterlevnad varje år. Den första frågan är därför om du lagrar, behandlar eller överför kortinnehavardata, eller kan påverka säkerheten i den miljö där de finns. Svaren följer sedan av det:
- Du hanterar kortdata. Räkna med att lämna en AOC från en kvalificerad bedömare eller en självbedömning, en ansvarsmatris som visar vilka krav du täcker och vilka som ligger kvar hos kunden, och svar på detaljerade frågor per krav.
- Du kan påverka kortmiljön (till exempel om du driftar kundens kassasida eller har nätverksåtkomst till den). Då omfattas du av de krav som berör den kopplingen, och kunden kommer att fråga om dem.
- Du står utanför den. Säg det och motivera varför, och besvara de allmänna säkerhetsfrågorna som i vilket annat frågeformulär som helst.
Hur frågorna ser ut
Utöver omfattningen: om du har en aktuell AOC och från vem, ansvarsmatrisen, hur du segmenterar system som hanterar kortdata, flerfaktorsautentisering för all åtkomst till kortmiljön, sårbarhetsskanning av en godkänd skanningsleverantör (ASV), penetrationstester, lagring av loggar och hur du skulle informera kunden om en incident som rör kortdata.
Att svara som leverantör
Skriv omfattningsbeskrivningen en gång, med ett enkelt dataflöde, och stäm av den med den som skriver under era avtal. Om du omfattas är ansvarsmatrisen det dokument granskarna helst vill ha; publicera den tillsammans med AOC varje år. Om du inte omfattas sparar ett tydligt stycke som förklarar varför ett dussin följdfrågor.
I Responsemate
Omfattningsbeskrivningen, AOC och ansvarsmatrisen ligger i kunskapsbasen som underlag med sina utgångsdatum, och varje PCI-rad skrivs som utkast utifrån dem med kundens formuleringar. Vilka underlag du ska bifoga.
Vanliga frågor
Måste vi uppfylla PCI DSS om vi aldrig hanterar kortdata?
Oftast inte, men du måste visa det. Beskriv hur kortdata flödar kring din tjänst, bekräfta skriftligen att du inte lagrar, behandlar eller överför dem, och ange om din tjänst ändå kan påverka säkerheten i kundens kortmiljö.
Vad är en AOC?
Attestation of Compliance, det korta dokument som anger resultatet av ett företags PCI DSS-bedömning. En tjänsteleverantör som omfattas förväntas ge sina kunder en aktuell AOC varje år.