這是什麼證書？
PCI DSS（支付卡產業資料安全標準）是為處理、傳輸或儲存持卡人資料的組織所開發的安全標準。它不是法律，而是卡片組織（Visa、萬事達卡等）強加的合約制度。合規等級取決於交易量設定的等級（1-4 級）：交易量大的組織接受合格 QSA 的現場評估和合規報告 (RoC)，而交易量較小的組織則使用自我評估問卷 (SAQ)。目前有效的版本是 PCI DSS v4.0.1。
誰需要它？
- 接受線上支付的電子商務網站和企業
- 使用 POS 和支付終端的零售商
- 支付服務提供者和支付機構
- 託管卡片資料的資料中心和雲端供應商
- 企業透過呼叫中心進行卡片支付
是否為強制？
法律上不強制要求；由於與信用卡計劃和銀行簽訂的合同，它實際上是強制性的。違規可能會導致罰款、更高的交易費用或撤銷接受卡片的權利。一旦發生資料洩露，合規狀況直接影響責任評估。
標準適用範圍
- 目標 1 — 建置和維護安全的網路和系統：網路安全控制、安全配置
- 目標 2 — 保護持卡人資料：保護儲存的數據，在開放網路傳輸過程中進行加密
- 目標 3 — 維護漏洞管理計畫：防範惡意軟體、防護系統和軟體開發
- 目標 4 — 實施強大的存取控制：根據業務需求、身分驗證、實體存取控制來限制存取
- 目標 5 — 定期監控和測試網路：日誌記錄和監控、定期測試系統和網路安全
- 目標 6 — 維護資訊安全政策和計劃
- 範圍界定：持卡人資料環境 (CDE) 與細分
- 按等級劃分的驗證途徑：RoC（透過 QSA）或 SAQ（自我評估）
- ASV 掃描和滲透測試義務
- 核發合規證明 (AoC)
驗證流程
- 1確定範圍和計劃確定要審核的地點和流程以及方案所需的審核持續時間。
- 2預評估可選擇進行差距分析；在主要審計之前，差距就會顯現出來。
- 3現場稽核記錄審查、現場觀察和工人訪談均根據該計劃的清單進行。
- 4發現事項報告根據計劃的分類報告調查結果。這些方案的輸出是審核報告，而不是憑證。
- 5矯正措施與追蹤針對調查結果提交糾正行動計劃；該計劃以後續審計結束。
有效期限
審計報告的有效期限由方案規定，大多為一年至兩年。該報告用於購買品牌接受的期間。
所需文件
- 組織和站點詳細信息
- 員工人數和輪班模式
- 法律許可和執照
- 相關政策和程序
- 工資、時間和人事記錄
- 持卡人資料流程圖和網路拓撲
- 範圍（CDE）定義和分段證據
- 系統庫存及配置標準
- ASV 掃描報告和滲透測試報告
- 存取授權矩陣和認證記錄
- 資訊安全政策和事件回應計劃
- 第三方服務提供者名單及其合規狀況
驗證費用
無固定牌價；費用依下列變數計算，並於報價中以書面形式提供。
- 審核地點數量及人數
- 方案規定的審核期限
- 是否需要預評估（差距分析）
- 是否需要後續審核
認證
這些計劃中的大多數都會產生審計報告，而不是文件，並受計劃所有者（例如 Sedex、amfori、RBA）自己的審批系統的約束；並非每個計劃都具有經典意義上的認證。審核員的能力和報告的有效性由計劃所有者的規則決定。
此方案可提供的範圍因您的產品與業務而異；將於報價階段以書面形式確認。
範圍和授權相關認證
常見問題
我需要 SAQ 或 RoC 嗎？
這取決於您的卡年交易量和卡片計劃設定的等級。 1 級組織需要由合格的 QSA 和 RoC 進行評估；較低級別可以使用相關 SAQ 類型的自我評估。適用哪種 SAQ 類型取決於您的付款接受方式。
我不記憶卡資料——我還在範圍內嗎？
最有可能的是，是的。該標準涵蓋數據處理和傳輸以及存儲。不儲存它會顯著縮小範圍，但並不能完全消除它；如果超出範圍，支付流程必須完全外包給外部提供者。
為什麼細分很重要？
將持卡人資料環境與網路的其餘部分分開可以顯著縮小評估範圍，從而降低成本。分段的有效性需要透過滲透測試來驗證。