PCI DSS.
Vymezte platební údaje a závislosti, vyjasněte provozní odpovědnost a dohodněte odpovídající doklad s příslušným subjektem.
- PCI DSS v4.0.1 · PCI SSC
- Autor: Jonathan Bezdek
- Stav k: 22. 10. 2026
- Doba čtení: 7 min
Stručná odpověď.
PCI DSS je odvětvový standard ochrany údajů platebních karet. Týká se obchodníků, poskytovatelů služeb a systémů, které tyto údaje zpracovávají nebo ovlivňují jejich bezpečnost. Aktuální verzí je PCI DSS v4.0.1. Platební prostředí a role určují rozsah; způsob prokazování se dohodne s acquirerem nebo karetní značkou, například prostřednictvím SAQ či ROC.
PCI DSS 4.0 a aktuální verze.
PCI DSS spojuje technické a provozní bezpečnostní požadavky na platební údaje. PCI Security Standards Council, zkráceně PCI SSC, vyvíjí standard a podpůrné nástroje. Jak se dodržování prokazuje v konkrétním platebním programu, však určují příslušné přijímající subjekty, typicky acquireři a karetní značky; FAQ PCI SSC 1473 toto rozdělení rolí vysvětlují.
PCI DSS v4.0.1 je verzí uvedenou v oficiální knihovně dokumentů. Podle publikace PCI SSC o revizi byla v4.0 stažena 31. prosince 2024. Termín 31. března 2025 již stanovený pro nové požadavky v4 zůstal beze změny. Ke stavu této stránky je termín v minulosti; nejde o nadcházející lhůtu zavedení.
Úspěšně dokončené prokazování nenahrazuje průběžnou ochranu. Pro praktickou organizaci by změny platebních cest, aplikací a poskytovatelů měly být podnětem k novému posouzení dohodnutého rozsahu. Nová integrace platební brány může vytvářet jiné závislosti než dříve hodnocené řešení, i když stejný podnik nadále přijímá platby.
Na koho se PCI DSS vztahuje.
PCI DSS není podle přehledu PCI SSC určen pouze organizacím, které ukládají, zpracovávají nebo přenášejí údaje karet. Do posouzení patří také možné ovlivnění bezpečnosti prostředí údajů držitelů karet, Cardholder Data Environment neboli CDE. Obchodníci a poskytovatelé služeb by proto měli nejprve popsat konkrétní roli a skutečně poskytované služby.
Externí zpracování plateb nepředstavuje automatickou výjimku. FAQ PCI SSC 1092 rozlišují možný menší rozsah přímých požadavků od přetrvávající odpovědnosti za vhodné poskytovatele, dohodnuté odpovědnosti a požadovaný doklad. I u hostovaného platebního rozhraní vyjasněte s příslušným subjektem, jaké podmínky musí splňovat zvolené technické zapojení.
Hranice se dokládá účinnými opatřeními, nikoli pouze názvem v diagramu architektury. FAQ PCI SSC 1115 vysvětlují, že je třeba prověřit propojené systémy a skutečnou účinnost segmentace. Předčasné vyloučení administračních přístupů, podpůrných služeb nebo rozhraní může vést k neúplnému rozsahu posouzení.
Uspořádání požadavků PCI DSS v provozu.
Zavedení spojuje ochranu platebního prostředí s průkaznými provozními postupy. Následujících šest pracovních oblastí poskytuje redakční orientaci pro plánování, nereprodukuje dvanáct oficiálních požadavků ani jednotlivé kontrolní body; jejich konkrétní použitelnost se posuzuje vůči potvrzenému rozsahu.
Zpřehlednit platební toky a rozsah.
Prakticky sledujte, kde platební informace vznikají, které komponenty se zapojují a které osoby nebo poskytovatelé je mohou ovlivnit. Zaznamenejte potvrzenou hranici spolu s jejími předpoklady. Srozumitelný popis pomáhá vývoji, provozu a přijímajícímu subjektu hovořit o stejné platební cestě.
Bezpečně provozovat systémy a změny.
Přiřaďte zapojeným aplikacím a infrastrukturním komponentám jasné odpovědné osoby. Propojte změny s otázkou, zda nová propojení, funkce nebo závislosti mění potvrzený rozsah. Pro každodenní práci je dohledatelný průběh změn užitečnější než momentální snímek sestavený pouze k termínu kontroly.
Omezit použití a přenos dat.
Jako praktickou výchozí otázku ověřte, které platební údaje jsou pro zvolený postup skutečně potřebné a kde mohou vznikat kopie. Zohledněte exporty, protokoly a podpůrné procesy. Podrobný bezpečnostní plán musí odpovídat druhům dat a účelu použití; obecné označení důvěrnosti tato rozhodnutí nevysvětluje.
Organizovat přístupy průkazně.
Propojte odborné odpovědnosti se skutečně udělenými technickými možnostmi. Vedle zaměstnanců posuzujte také služební účty, administrační přístupy a dodavatele. Pro organizaci práce je vhodná jasná odpověď na to, kdo přístup schvaluje, kdo zpracovává změny a jak se pozná včasné odebrání přístupu.
Ověřovat provoz a zpracovávat poznatky.
Plánujte vhodné záznamy a ověřování společně s odpovědnými osobami platebního prostředí. Jediný sken nebo penetrační test popisuje pouze svůj předmět. U zjištění zaznamenejte navazující změnu a způsob ověření jejího účinku, místo ztotožnění výsledku testu s úplným dokladem PCI DSS.
Zapojit poskytovatele a incidenty.
Stanovte provozní kontaktní osoby a postup při neobvyklých událostech. U externě zajišťovaných služeb by vlastní úkoly měly zůstat srozumitelné vedle závazků poskytovatele. FAQ PCI SSC 1576 vysvětlují, že doklad poskytovatele musí pokrývat používané služby; libovolný podnikový dokument k tomu automaticky nestačí.
Zavádění PCI DSS jako průběžného úkolu.
Dohodnout roli a způsob prokazování.
Jako praktický první krok vyjasněte s acquirerem nebo karetní značkou svou roli, očekávaný doklad a odpovědnou kontaktní osobu, než vyberete formulář.
Zachytit jednu platební cestu.
Popište zapojené údaje, aplikace, systémy a poskytovatele od začátku platby až po zbývající provozní záznamy.
Potvrdit rozsah.
Prověřte relevantní propojení a komponenty ovlivňující bezpečnost a nechte odborně posoudit vymezení včetně případné segmentace.
Ukotvit úkoly v provozu.
Přiřaďte ochranná opatření a společné odpovědnosti konkrétním osobám a propojte jejich provádění s vhodnými záznamy.
Konzistentně připravit důkazy.
Ověřte, zda požadované podklady popisují stejnou službu, roli a rozsah a zda byla otevřená rozhodnutí průkazně zpracována.
Sledovat změny a následná ověřování.
Dohodněte požadované intervaly prokazování a při změnách ověřte, zda rozsah, doklady poskytovatelů a provozní odpovědnosti nadále odpovídají.
Certifikace PCI a skutečná forma dokladů.
Uznávané prokazování PCI DSS používá určené oficiální podklady. SAQ dokumentuje přípustné sebehodnocení, ROC výsledky příslušného způsobu ověřování a AOC související potvrzení. Podle FAQ PCI SSC 1220 libovolné dokumenty označené jako certifikát shody nenahrazují oficiální šablony.
Přijímající subjekt určuje požadovaný postup; při odpovídajícím ověřování může být zapojen Qualified Security Assessor, zkráceně QSA. Podle FAQ PCI SSC 1473 musí být rozsah a použitelnost posouzeny správně. Výběr názvu SAQ proto ještě nepotvrzuje splnění jeho kritérií způsobilosti ani zavedení všech relevantních požadavků.
I vhodnou šablonu je nutné použít v aktuální verzi. PCI SSC změnil pravidla SAQ A k 31. březnu 2025 a výslovně upřesnil, že vypuštěné jednotlivé kontrolní body dotazníku neruší základní požadavky PCI DSS. Dohodněte pro svůj případ termíny prokazování a následné povinnosti, místo předpokladu paušální platnosti certifikátu.
Zařazení dalších rámců.
ISO 27001 se zabývá řízením bezpečnosti informací ve vymezeném rozsahu; prokazování PCI DSS je samostatným rozhodnutím pro platební prostředí. CIS Controls podporují obecné stanovení priorit bezpečnostní práce, neurčují však postup validace PCI. GDPR se týká zpracování osobních údajů a musí být posuzováno nezávisle na dokladech platebních dat.
V Secani.
Secani nabízí vlastní redakční podnikový katalog PCI DSS v4.0.1. Profil zachycuje mimo jiné rozsah CDE, roli obchodníka nebo poskytovatele služeb a dohodnutý postup SAQ/ROC. Tyto pracovní údaje podporují strukturované zpracování; nenahrazují oficiální ověřovací podklady, potvrzení způsobilosti ani úsudek příslušného subjektu.
Začněte konkrétní platební cestou.
Vyberte skutečně používanou platební cestu a určete její odbornou a technickou odpovědnost. Zaznamenejte služby, které poskytujete sami, a služby převzaté poskytovatelem. Poté dohodněte očekávaný doklad s příslušným subjektem, než naplánujete náročnost podle zdánlivě vhodného dotazníku.
Zdroje.
- PCI SSC – přehled PCI DSS a cílová skupina
- PCI SSC – oficiální knihovna dokumentů
- PCI SSC – zveřejnění PCI DSS v4.0.1
- PCI SSC FAQ 1473 – příslušné subjekty a způsob prokazování
- PCI SSC FAQ 1092 – externí zpracování plateb
- PCI SSC FAQ 1576 – doklady poskytovatelů služeb
- PCI SSC FAQ 1220 – oficiální podklady místo certifikátů shody
- PCI SSC FAQ 1115 – propojené systémy a segmentace
- PCI SSC – změny SAQ A k 31. březnu 2025
- PCI SSC – bulletin SAQ z 15. října 2024
Časté dotazy.
Ne automaticky. Externí zajištění může změnit přímý rozsah; odpovědnost za vhodné poskytovatele, jasné odpovědnosti a požadovaný doklad je třeba nadále posuzovat samostatně.
Ne pouze podle požadované náročnosti. Musí být splněna kritéria způsobilosti a požadovaný způsob prokazování je třeba dohodnout s přijímajícím subjektem.
Libovolné certifikáty shody nejsou uznávanou náhradou oficiálních podkladů. Rozhodující je dohodnutý postup ověřování a příslušné oficiální zprávy nebo potvrzení.
Ne. Certifikát ISMS se týká uvedeného rozsahu systému řízení; požadavky a způsob prokazování platebního prostředí je třeba vyjasnit samostatně.
Vymezte platební cestu.
Proberte, jak můžete v Secani pracovat s rozsahem, úkoly a důkazy.
Tato stránka vysvětluje PCI DSS vlastními slovy a nenahrazuje oficiální dokumenty PCI SSC ani odborné posouzení. Požadavky příslušného platebního programu a rozhodnutí odpovědného subjektu je třeba dodržovat samostatně.