PCI DSS.
Piiritlege makseandmed ja sõltuvused, selgitage vastutus igapäevategevuses ning leppige pädeva osapoolega kokku sobiv tõend.
- PCI DSS v4.0.1 · PCI SSC
- Autor: Jonathan Bezdek
- Seisuga: 22.10.2026
- Lugemisaeg: 6 min
Lühivastus.
PCI DSS on maksekaardiandmete kaitse valdkondlik standard. See puudutab kaupmehi, teenuseosutajaid ja süsteeme, mis selliseid andmeid töötlevad või nende turvalisust mõjutavad. Praegune versioon on PCI DSS v4.0.1. Maksekeskkond ja roll määravad ulatuse; tõendamisviis lepitakse kokku maksete vastuvõtja või maksekaardibrändiga, näiteks SAQ või ROC kaudu.
PCI DSS 4.0 ja praegune versioon.
PCI DSS ühendab makseandmete tehnilised ja tegevuslikud turvanõuded. PCI Security Standards Council ehk PCI SSC arendab standardit ja selle abitööriistu. Seda, kuidas konkreetses makseprogrammis vastavust tõendatakse, määravad aga pädevad aktsepteerivad osapooled, tavaliselt maksete vastuvõtjad ja maksekaardibrändid; PCI SSC KKK 1473 selgitab seda rollide eristust.
PCI DSS v4.0.1 on ametlikus dokumenditeegis loetletud versioon. PCI SSC läbivaatamise väljaande järgi tühistati v4.0 31. detsembril 2024. Uutele v4 nõuetele juba ette nähtud 31. märts 2025 jäi muutmata. Selle lehe seisuga on tähtaeg minevikus; see ei ole veel ees ootav juurutamistähtaeg.
Edukalt lõpetatud tõendamine ei asenda pidevat kaitset. Praktilises korralduses peaksid makseviiside, rakenduste ja teenuseosutajate muudatused andma ajendi kokkulepitud ulatuse uuesti vaatlemiseks. Uus makselahenduse integratsioon võib luua teistsuguseid sõltuvusi kui varem hinnatud lahendus, kuigi sama ettevõte võtab endiselt makseid vastu.
Kellele PCI DSS kohaldub.
PCI SSC ülevaate järgi ei ole PCI DSS suunatud ainult organisatsioonidele, kes kaardiandmeid salvestavad, töötlevad või edastavad. Käsitlusse kuulub ka võimalik mõju kaardiomanikuandmete keskkonna ehk Cardholder Data Environmenti (CDE) turvalisusele. Seetõttu peaksid kaupmehed ja teenuseosutajad esmalt kirjeldama oma konkreetset rolli ning tegelikult osutatavaid teenuseid.
Makseprotsessi välja tellimine ei ole automaatne vabastus. PCI SSC KKK 1092 eristab võimalikku väiksemat otseste nõuete ulatust säilivast vastutusest sobivate teenuseosutajate, kokkulepitud vastutusalade ja nõutud tõendi eest. Ka majutatud makselehe puhul selgitage oma pädeva osapoolega, millised eeldused peab valitud tehniline integratsioon täitma.
Piiri tõendatakse tõhusate meetmetega, mitte üksnes arhitektuuriskeemi nimega. PCI SSC KKK 1115 selgitab vajadust kontrollida ühendatud süsteeme ja segmenteerimise tegelikku tõhusust. Haldusjuurdepääsude, toetavate teenuste või liideste ennatlik väljajätmine võib anda puuduliku hindamisulatuse.
PCI DSSi nõuete korrastamine igapäevategevuses.
Rakendamine ühendab maksekeskkonna kaitse jälgitavate käitamisprotsessidega. Järgmised kuus töövaldkonda on kavandamise toimetuslik orientiir, mitte kaheteistkümne ametliku nõude või üksikute kontrollpunktide esitus; nende konkreetset kohaldatavust kontrollitakse kinnitatud ulatuse alusel.
Muutke maksevood ja ulatus arusaadavaks.
Jälgige praktiliselt, kus makseteave tekib, millised komponendid osalevad ning millised isikud või teenuseosutajad saavad seda mõjutada. Talletage kinnitatud piir koos selle eeldustega. Arusaadav kirjeldus aitab arendusel, käitusel ja aktsepteerival osapoolel rääkida samast makseteekonnast.
Käitage süsteeme ja muudatusi turvaliselt.
Määrake kaasatud rakendustele ja taristukomponentidele selged vastutajad. Ühendage muudatused küsimusega, kas uued ühendused, funktsioonid või sõltuvused muudavad kinnitatud ulatust. Igapäevatöös on jälgitav muudatuste ajalugu kasulikum kui ainult hindamisajaks kokku pandud hetktõmmis.
Piirake andmete kasutamist ja edastamist.
Praktilise lähteküsimusena kontrollige, milliseid makseandmeid valitud protsess tegelikult vajab ja kus võivad tekkida koopiad. Arvestage eksporti, logisid ja toetavaid protsesse. Põhjalik turbekavand peab sobima andmeliikide ning kasutuseesmärgiga; üldine konfidentsiaalsusmärgistus ei selgita neid otsuseid veel.
Korraldage juurdepääsud jälgitavalt.
Ühendage sisulised vastutusalad tegelikult antud tehniliste võimalustega. Vaadelge töötajate kõrval ka teenusekontosid, haldusjuurdepääse ja tarnijaid. Töökorralduses on soovitatav selge vastus sellele, kes juurdepääsu kinnitab, kes käsitleb muudatusi ning mille järgi on õigeaegne juurdepääsu eemaldamine nähtav.
Kontrollige tegevust ja käsitlege tähelepanekuid.
Kavandage sobivad kirjed ja kontrollid koos maksekeskkonna vastutajatega. Üksik skaneering või läbistustest kirjeldab ainult oma konkreetset objekti. Leidude korral talletage neist tulenev muudatus ning selle mõju kontrollimise viis, selle asemel et samastada testitulemus kogu PCI DSSi tõendiga.
Kaasake teenuseosutajad ja intsidendid.
Määrake tegevuskontaktid ja kõrvalekallete käsitlemise kord. Välja tellitud teenuste puhul peaksid enda ülesanded teenuseosutaja lubaduste kõrval arusaadavaks jääma. PCI SSC KKK 1576 selgitab, et teenuseosutaja tõend peab hõlmama kasutatavaid teenuseid; suvalisest ettevõttedokumendist selleks automaatselt ei piisa.
Rakendage PCI DSSi pideva ülesandena.
Kooskõlastage roll ja tõendamisviis.
Praktilise alustussammuna selgitage maksete vastuvõtja või maksekaardibrändiga oma roll, oodatav tõend ja pädev kontaktisik, enne kui valite vormi.
Kaardistage üks makseteekond.
Kirjeldage kaasatud andmeid, rakendusi, süsteeme ja teenuseosutajaid makse algusest kuni allesjäävate tegevuskirjeteni.
Kinnitage ulatus.
Kontrollige asjakohaseid ühendusi ja turvalisust mõjutavaid komponente ning laske piiritlust koos võimaliku segmenteerimisega sisuliselt hinnata.
Kinnistage ülesanded igapäevategevuses.
Määrake kaitsemeetmed ja jagatud vastutusalad konkreetsetele isikutele ning ühendage rakendamine sobivate kirjetega.
Valmistage tõendid kooskõlaliselt ette.
Kontrollige, kas nõutud dokumendid kirjeldavad sama teenust, rolli ja ulatust ning kas lahtisi otsuseid on käsitletud jälgitavalt.
Jälgige muudatusi ja järelhindamisi.
Leppige kokku nõutud tõendamisintervallid ning kontrollige muudatuste korral, kas ulatus, teenuseosutajate tõendid ja tegevuslikud vastutusalad endiselt sobivad.
PCI sertifitseerimine ja tegelik tõendamisvorm.
Tunnustatud PCI DSSi tõendamisel kasutatakse selleks ette nähtud ametlikke dokumente. SAQ dokumenteerib lubatud enesehindamise, ROC vastava hindamistee tulemused ja AOC nendega seotud kinnituse. PCI SSC KKK 1220 järgi ei asenda suvalised vastavussertifikaadiks nimetatud dokumendid ametlikke malle.
Aktsepteeriv osapool määrab nõutud tee; vastava hindamise puhul võib osaleda Qualified Security Assessor ehk QSA. PCI SSC KKK 1473 järgi tuleb ulatust ja kohaldatavust õigesti hinnata. Seetõttu ei kinnita SAQ nime valimine veel selle sobivuskriteeriumide täitmist või kõigi asjakohaste nõuete rakendamist.
Ka sobivat malli tuleb kasutada praeguses versioonis. PCI SSC muutis SAQ A reegleid alates 31. märtsist 2025 ning selgitas sõnaselgelt, et küsimustikust eemaldatud üksikud kontrollpunktid ei tühista aluseks olevaid PCI DSSi nõudeid. Leppige oma juhtumi jaoks kokku tõendamisajad ja järelkohustused, selle asemel et lähtuda üldisest sertifikaadi kehtivusajast.
Teiste raamistike seosed.
ISO 27001 käsitleb infoturbe juhtimist määratletud käsitlusalas; PCI DSSi tõend on maksekeskkonna jaoks eraldi otsus. CIS Controls toetab turbetöö üldist prioriseerimist, kuid ei määra PCI valideerimisteed. IKÜM puudutab isikuandmete töötlemist ning seda tuleb kontrollida makseandmete tõendamisest sõltumatult.
Secanis.
Secani pakub enda koostatud ettevõttekataloogi PCI DSS v4.0.1 kohta. Profiil hõlmab muu hulgas CDE ulatust, kaupmehe- või teenuseosutajarolli ja kokkulepitud SAQ/ROC teed. Need tööandmed toetavad struktureeritud käsitlemist; need ei asenda ametlikke hindamisdokumente, sobivuse kinnitust ega pädeva osapoole hinnangut.
Alustage konkreetsest makseteekonnast.
Valige tegelikult kasutatav makseteekond ja nimetage selle sisuline ning tehniline vastutaja. Talletage, milliseid teenuseid osutate ise ja millised võtab üle teenuseosutaja. Seejärel kooskõlastage pädeva osapoolega oodatav tõend, enne kui kavandate töömahtu näiliselt sobiva küsimustiku alusel.
Allikad.
- PCI SSC – PCI DSSi ülevaade ja sihtrühm
- PCI SSC – ametlik dokumenditeek
- PCI SSC – PCI DSS v4.0.1 avaldamine
- PCI SSC KKK 1473 – pädevad osapooled ja tõendamisviis
- PCI SSC KKK 1092 – välja tellitud maksetöötlus
- PCI SSC KKK 1576 – teenuseosutajate tõendid
- PCI SSC KKK 1220 – ametlikud dokumendid vastavussertifikaatide asemel
- PCI SSC KKK 1115 – ühendatud süsteemid ja segmenteerimine
- PCI SSC – SAQ A muudatused alates 31. märtsist 2025
- PCI SSC – SAQ bülletään 15. oktoobrist 2024
Korduma kippuvad küsimused.
Ei, mitte automaatselt. Välja tellimine võib muuta otsest ulatust; vastutust sobivate teenuseosutajate, selgete vastutusalade ja nõutud tõendi eest tuleb endiselt eraldi vaadelda.
Mitte üksnes soovitud töömahu järgi. Sobivuskriteeriumid peavad olema täidetud ning nõutud tõendamisviis tuleb kooskõlastada aktsepteeriva osapoolega.
Suvalised vastavussertifikaadid ei ole ametlike dokumentide tunnustatud asendus. Määravad on kokkulepitud hindamistee ja vastavad ametlikud aruanded või kinnitused.
Ei. ISMSi sertifikaat puudutab märgitud juhtimissüsteemi ulatust; maksekeskkonna nõuded ja tõendamisviis tuleb selgitada eraldi.
Piiritlege makseteekond.
Arutage, kuidas käsitleda ulatust, ülesandeid ja tõendeid Secanis.
See leht selgitab PCI DSSi oma sõnadega ega asenda ametlikke PCI SSC dokumente või erialast hindamist. Vastava makseprogrammi nõudeid ja pädeva osapoole otsuseid tuleb endiselt eraldi järgida.