什麼是PCI DSS合規？合規等級和要求

什麼是PCI DSS合規

PCI DSS即支付卡行業數據安全標準，是由Visa、MasterCard、American Express、Discover和JCB等主要信用卡公司組成的PCI安全標準委員會（PCI SSC）製定的一套安全標準。其核心目標是確保所有處理、存儲或傳輸信用卡或持卡人數據的公司都能維護一個安全的環境，從而保護持卡人數據免受數據洩露和欺詐風險，進而增強消費者信任，降低因數據安全問題導緻的財務罰款和聲譽損害風險。

PCI DSS合規認証是什麼

PCI DSS合規認証是對組織遵守PCI DSS標準的一種經審計的保証。該認証通過一個嚴格的過程獲得，包括由授權的獨立審計機構進行的內部和外部安全篩查。認証過程涉及一繫列全麵的標準和規則，所有流程和程序每年都要接受詳細的現場審計。

PCI DSS等級合規是什麼

PCI DSS等級合規是指組織根據每年處理的信用卡或藉記卡交易數量，必須遵守的不同合規等級。支付卡行業數據安全標準（PCI DSS）設有四個合規等級，每個等級都有其特定的要求。這些等級旨在確保所有處理持卡人數據的公司都能維護一個安全的環境，以防止數據洩露和欺詐。

PCI DSS合規等級

一級

適用對象：每年處理超過600萬筆信用卡交易的商戶，包括大型零售商和金融機構。

要求：

由PCI SSC批準的合格安全評估師（QSA）進行年度現場審計。
每季度由批準的掃描供應商（ASV）進行網絡掃描。
完成合規証明（AOC）表格。

示例：大型跨國零售商和金融機構。

二級

適用對象：每年處理100萬至600萬筆信用卡交易的商戶。

要求：

完成年度自我評估問捲（SAQ）。
每季度由ASV進行網絡掃描。
對於高安全風險商戶（例如，完成SAQ A、A - EP或D的商戶），需由QSA或內部安全評估師（ISA）進行年度審計。

示例：交易量較大的中型企業。

三級

適用對象：每年處理2萬至100萬筆電子商務交易的商戶。

要求：

完成年度自我評估問捲（SAQ）。
每季度由ASV進行網絡掃描。
完成合規証明（AOC）表格。

示例：交易量適中的小型電子商務運營。

四級

適用對象：每年處理少於2萬筆電子商務交易或不超過100萬筆總信用卡交易的商戶。

要求：

完成年度自我評估問捲（SAQ）。
每季度由ASV進行網絡掃描。

示例：小型企業、地方零售商以及交易量較小的服務提供商。

什麼是PCI DSS合規的要求

要實現並維持PCI DSS合規，組織必須遵守以下12項主要要求，這些要求旨在保護持卡人數據並確保交易安全：

安裝並維護防火牆配置

製定並維護防火牆和路由器配置的標準，以確保持卡人數據免受內外部訪問的威脅。定期審查並更新這些配置規則。

不要使用供應商提供的默認設置

避免使用網絡設備的供應商提供的默認設置和配置。更改它們或停用不必要的默認賬戶，使用強加密技術，並製定最大安全性的配置標準。

保護存儲的持卡人數據

隻有在業務運營必要時才保留持卡人數據。限製存儲，使敏感認証數據不可恢複，並在顯示時遮蔽主賬戶號碼（PAN），以防止欺詐或數據洩露。

加密跨開放網絡傳輸的持卡人數據

使用強加密標準和安全協議來保護敏感持卡人數據在開放/公共網絡上的傳輸。遵循最佳行業實踐和標準，以維護認証並保護傳輸過程。

防範噁意軟件並保持防病毒軟件更新

在個人電腦和服務器上安裝防病毒軟件。定期評估不斷演變的噁意軟件威脅，進行深入掃描，並確保所有防病毒工具都保持最新。監控防病毒機製，以確保其正常運行。

維護安全的繫統和應用程序

優先考慮安全，及時安裝相關的安全更新。通過每年評估應用程序漏洞並使用自動化工具，維護和保護繫統及應用程序免受威脅。

限製對持卡人數據的訪問

限製對繫統組件和持卡人數據的訪問，僅限於特定員工。實施訪問控製繫統，並在整個組織內一緻地記錄安全政策和程序，以確保意識和合規性。

認証繫統訪問

確保每個訪問繫統或相關組件的個體都能通過分配獨特的用戶ID來唯一識別。製定政策和程序，有效管理普通用戶和管理員在所有繫統組件中的用戶識別。

限製對持卡人數據的物理訪問

實施有效的設施入口控製，以規範和監督對繫統的物理訪問。建立程序，以便輕鬆區分員工和訪客，例如髮放身份徽章。

跟踪和監控對網絡資源和持卡人數據的所有訪問

使用日誌記錄軟件和機製來跟踪和監控對網絡資源和持卡人數據的訪問。實施自動化的審計跟踪，利用時間同步技術，並仔細審查安全事件，以識別異常情況。

定期測試安全繫統和流程

定期測試安全繫統和流程，以識別漏洞。這包括每季度由批準的掃描供應商（ASV）進行網絡掃描，以及對一級商戶進行年度滲透測試。

維護涵蓋信息安全的政策

製定並維護一份全麵的信息安全政策，涵蓋所有人員和安全需求。確保所有員工都了解並遵守這些政策。

PhotonPay光子易的PCI DSS合規

PhotonPay持有國際卡支付行業中最高級別的安全認証，即PCI DSS一級認証。這一認証被公認爲全球最高標準和最嚴格的金融數據安全標準。PhotonPay多年來一直符合並獲得PCI DSS一級認証，確保所有支付交易和數據存儲都以安全且合規的方式進行。此外，PhotonPay還獲得了其信息安全管理體繫的ISO / IEC 27001認証，進一步增強了其安全態勢。

關於PhotonPay光子易

PhotonPay光子易是一家領先的全球支付平颱及數字金融基礎設施提供商，服務覆蓋全球賬戶、全球髮卡、全球收單、全球分髮、匯兌管理和嵌入式金融等領域。依托強大的合規安全實力和科技創新能力，PhotonPay光子易緻力於爲全球企業提供安全、高效的數字化支付解決方案。公司全球總部位於香港，並在深圳、上海、杭州、美國、英國、加拿大、新加坡和波蘭設有分支機構，與多家國際頂級銀行達成戰略合作的同時，獲得萬事達卡香港髮卡資質、Discover® Global Network大中華區髮卡資質以及2024福佈斯中國金融科技影響力企業TOP50，服務超過200,000家出海企業。