PCI DSS.
Rajatkaa maksutiedot ja riippuvuudet, selvittäkää toiminnan vastuut ja sopikaa asianmukaisesta näytöstä toimivaltaisen tahon kanssa.
- PCI DSS v4.0.1 · PCI SSC
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 6 min.
Lyhyt vastaus.
PCI DSS on maksukorttitietojen suojaamisen toimialastandardi. Se koskee kauppiaita, palveluntarjoajia ja järjestelmiä, jotka käsittelevät näitä tietoja tai vaikuttavat niiden turvallisuuteen. Nykyinen versio on PCI DSS v4.0.1. Maksuympäristö ja rooli määrittävät laajuuden. Todentamistavasta, esimerkiksi SAQ:sta tai ROC:sta, sovitaan maksutapahtumien vastaanottajan tai korttibrändin kanssa.
PCI DSS 4.0 ja nykyinen versio.
PCI DSS yhdistää maksutietojen tekniset ja toiminnalliset turvallisuusvaatimukset. PCI Security Standards Council eli PCI SSC kehittää standardin ja sitä tukevat työkalut. Toimivaltaiset hyväksyvät tahot, tyypillisesti maksutapahtumien vastaanottajat eli acquirerit ja korttibrändit, puolestaan määrittävät, miten noudattaminen osoitetaan konkreettisessa maksuohjelmassa. PCI SSC:n FAQ 1473 selittää tämän roolijaon.
PCI DSS v4.0.1 on virallisessa Document Libraryssa esitetty versio. PCI SSC:n uudistusjulkaisun mukaan v4.0 poistettiin käytöstä 31.12.2024. Uusille v4-vaatimuksille jo määrätty 31.3.2025 pysyi ennallaan. Tämän sivun ajankohtana päivämäärä on menneisyydessä. Se ei ole vielä edessä oleva käyttöönottomääräaika.
Hyväksytysti suoritettu todentaminen ei korvaa jatkuvaa suojausta. Käytännön järjestämisessä maksureittien, sovellusten ja palveluntarjoajien muutosten on hyvä käynnistää sovitun laajuuden uudelleentarkastelu. Uusi kassaintegraatio voi luoda eri riippuvuuksia kuin aiemmin arvioitu ratkaisu, vaikka sama yritys ottaa edelleen maksuja vastaan.
Keitä PCI DSS koskee.
PCI SSC:n yleiskatsauksen mukaan PCI DSS ei koske vain organisaatioita, jotka tallentavat, käsittelevät tai välittävät korttitietoja. Myös mahdollinen vaikutus kortinhaltijatietojen ympäristön eli Cardholder Data Environmentin (CDE) turvallisuuteen kuuluu tarkasteluun. Kauppiaiden ja palveluntarjoajien on siksi hyvä kuvata ensin konkreettinen roolinsa ja tosiasiallisesti tuottamansa palvelut.
Ulkoistettu maksunkäsittely ei ole automaattinen vapautus. PCI SSC:n FAQ 1092 erottaa mahdollisesti pienemmän suoran vaatimuslaajuuden jatkuvasta vastuusta sopivista palveluntarjoajista, sovituista vastuista ja vaaditusta näytöstä. Selvittäkää toimivaltaisen tahon kanssa myös ulkoistetussa kassapalvelussa, mitkä edellytykset valitun teknisen integraation on täytettävä.
Rajaus osoitetaan vaikuttavilla toimenpiteillä, ei pelkällä nimellä arkkitehtuurikaaviossa. PCI SSC:n FAQ 1115 selittää, että liitetyt järjestelmät ja segmentoinnin todellinen vaikuttavuus on arvioitava. Ylläpitoyhteyksien, tukipalvelujen tai rajapintojen liian nopea poissulkeminen voi johtaa puutteelliseen tarkastuslaajuuteen.
PCI DSS -vaatimusten jäsentäminen toiminnassa.
Toteutus yhdistää maksuympäristön suojaamisen jäljitettäviin toimintamenettelyihin. Seuraavat kuusi työaluetta ovat toimituksellinen yleiskuva suunnitteluun. Ne eivät toista kahtatoista virallista vaatimusta tai yksittäisiä tarkastuskohtia. Niiden konkreettinen soveltuvuus arvioidaan vahvistetulla laajuudella.
Tehkää maksuvirrat ja laajuus ymmärrettäviksi.
Seuratkaa käytännössä, missä maksutiedot syntyvät, mitkä komponentit osallistuvat ja ketkä henkilöt tai tarjoajat voivat vaikuttaa niihin. Kirjatkaa vahvistettu rajaus oletuksineen. Ymmärrettävä kuvaus auttaa kehitystä, toimintaa ja hyväksyvää tahoa keskustelemaan samasta maksureitistä.
Ylläpitäkää järjestelmiä ja muutoksia turvallisesti.
Osoittakaa osallistuville sovelluksille ja infrastruktuurikomponenteille selkeät vastuuhenkilöt. Liittäkää muutoksiin kysymys siitä, muuttavatko uudet yhteydet, toiminnot tai riippuvuudet vahvistettua laajuutta. Jäljitettävä muutoshistoria auttaa arjessa enemmän kuin pelkästään tarkastushetkeen koottu tilannekuva.
Rajoittakaa tietojen käyttöä ja siirtoa.
Arvioikaa käytännön lähtökysymyksenä, mitä maksutietoja valittu menettely todella tarvitsee ja missä kopioita voi syntyä. Huomioikaa viennit, lokit ja tukiprosessit. Syventävän turvallisuussuunnittelun on vastattava tietotyyppejä ja käyttötarkoitusta. Yleinen luottamuksellisuusmerkintä ei vielä selitä näitä päätöksiä.
Järjestäkää käyttöoikeudet jäljitettävästi.
Yhdistäkää toiminnalliset vastuut todella myönnettyihin teknisiin mahdollisuuksiin. Tarkastelkaa työntekijöiden lisäksi palvelutilejä, ylläpitoyhteyksiä ja toimittajia. Työn järjestämisessä suositellaan selkeää vastausta siihen, kuka hyväksyy pääsyn, kuka käsittelee muutokset ja mistä ajoissa poistettu pääsy voidaan tunnistaa.
Arvioikaa toimintaa ja käsitelkää havainnot.
Suunnitelkaa sopivat tallenteet ja tarkastukset yhdessä maksuympäristön vastuuhenkilöiden kanssa. Yksittäinen skannaus tai tunkeutumistestaus kuvaa vain omaa kohdettaan. Kirjatkaa havainnosta seuraava muutos ja sen vaikutuksen arviointitapa sen sijaan, että testitulos rinnastettaisiin koko PCI DSS -näyttöön.
Ottakaa palveluntarjoajat ja poikkeamat mukaan.
Määrittäkää toiminnalliset yhteyshenkilöt ja menettely poikkeavissa tilanteissa. Ulkoistetuissa palveluissa omien tehtävien on hyvä säilyä ymmärrettävinä tarjoajan sitoumusten rinnalla. PCI SSC:n FAQ 1576 selittää, että palveluntarjoajan näytön on katettava käytetyt palvelut. Mikä tahansa yritysasiakirja ei automaattisesti riitä.
PCI DSS:n toteutus jatkuvana tehtävänä.
Sopikaa roolista ja todentamispolusta.
Selvittäkää käytännön aluksi maksutapahtumien vastaanottajan tai korttibrändin kanssa roolinne, odotettu näyttö ja vastuullinen yhteyshenkilö ennen lomakkeen valintaa.
Kartoittakaa yksi maksureitti.
Kuvatkaa osallistuvat tiedot, sovellukset, järjestelmät ja palveluntarjoajat maksun alkamisesta jäljelle jääviin toiminnan tallenteisiin.
Vahvistakaa laajuus.
Arvioikaa olennaiset yhteydet ja turvallisuuteen vaikuttavat komponentit sekä teettäkää rajauksen ja mahdollisen segmentoinnin asiantuntija-arvio.
Vakiinnuttakaa tehtävät toimintaan.
Osoittakaa suojatoimet ja yhteiset vastuut konkreettisille henkilöille ja yhdistäkää toteutus sopiviin tallenteisiin.
Valmistelkaa näyttö johdonmukaisesti.
Arvioikaa, kuvaavatko vaaditut asiakirjat samaa palvelua, roolia ja laajuutta ja onko avoimet päätökset käsitelty jäljitettävästi.
Seuratkaa muutoksia ja jatkotarkastuksia.
Sopikaa tarvittavista todentamisväleistä ja arvioikaa muutoksissa, sopivatko laajuus, palveluntarjoajien näyttö ja toiminnalliset vastuut edelleen yhteen.
PCI-sertifiointi ja todellinen näyttömuoto.
Hyväksytty PCI DSS -näyttö käyttää tarkoitukseen määrättyjä virallisia asiakirjoja. SAQ dokumentoi sallitun itsearvioinnin, ROC asianomaisen tarkastuspolun tulokset ja AOC siihen liittyvän vahvistuksen. PCI SSC:n FAQ 1220:n mukaan mielivaltaiset vaatimustenmukaisuussertifikaateiksi nimetyt asiakirjat eivät korvaa virallisia malleja.
Hyväksyvä taho määrittää vaaditun polun. Asianomaiseen tarkastukseen voi osallistua Qualified Security Assessor eli QSA. PCI SSC:n FAQ 1473:n mukaan laajuus ja soveltuvuus on arvioitava oikein. SAQ-nimen valinta ei siksi vielä vahvista sen soveltuvuuskriteerien täyttymistä tai kaikkien olennaisten vaatimusten toteuttamista.
Myös sopivaa mallia on käytettävä ajantasaisessa versiossaan. PCI SSC muutti SAQ A -sääntöjä 31.3.2025 ja selvensi nimenomaisesti, etteivät kyselystä poistetut yksittäiset tarkastuskohdat poista niiden taustalla olevia PCI DSS -vaatimuksia. Sopikaa tapauksenne todentamisajankohdista ja jatkovelvoitteista yleisen sertifikaatin voimassaoloajan olettamisen sijaan.
Suhde muihin viitekehyksiin.
ISO 27001 käsittelee tietoturvan hallintaa määritellyllä soveltamisalalla. PCI DSS -näyttö on maksuympäristön erillinen päätös. CIS Controls tukee turvallisuustyön yleistä priorisointia, mutta ei määritä PCI-validointipolkua. GDPR koskee henkilötietojen käsittelyä ja on arvioitava maksutietonäytöstä riippumatta.
Secanissa.
Secani tarjoaa oman toimituksellisen yritysluettelon PCI DSS v4.0.1:stä. Profiili kattaa muun muassa CDE-laajuuden, kauppiaan tai palveluntarjoajan roolin ja sovitun SAQ-/ROC-polun. Työtiedot tukevat jäsenneltyä käsittelyä. Ne eivät korvaa virallisia tarkastusasiakirjoja, kelpoisuuden vahvistamista tai toimivaltaisen tahon arviota.
Aloittakaa konkreettisesta maksureitistä.
Valitkaa todella käytetty maksureitti ja nimetkää sen toiminnallinen ja tekninen vastuu. Kirjatkaa omat palvelunne ja palveluntarjoajan hoitamat osuudet. Sopikaa sitten odotetusta näytöstä toimivaltaisen tahon kanssa ennen työmäärän suunnittelua näennäisesti sopivan kyselyn perusteella.
Lähteet.
- PCI SSC – PCI DSS:n yleiskatsaus ja kohderyhmä
- PCI SSC – virallinen Document Library
- PCI SSC – PCI DSS v4.0.1:n julkaisu
- PCI SSC FAQ 1473 – toimivaltaiset tahot ja todentamispolku
- PCI SSC FAQ 1092 – ulkoistettu maksunkäsittely
- PCI SSC FAQ 1576 – palveluntarjoajien näyttö
- PCI SSC FAQ 1220 – viralliset asiakirjat vaatimustenmukaisuussertifikaattien sijaan
- PCI SSC FAQ 1115 – liitetyt järjestelmät ja segmentointi
- PCI SSC – SAQ A:n muutokset 31.3.2025
- PCI SSC – SAQ-tiedote 15.10.2024
Usein kysytyt kysymykset.
Ei automaattisesti. Ulkoistus voi muuttaa suoraa laajuutta. Vastuu sopivista palveluntarjoajista, selkeistä vastuista ja vaaditusta näytöstä on silti tarkasteltava erikseen.
Ette pelkän halutun työmäärän perusteella. Soveltuvuuskriteerien on täytyttävä ja vaadittu todentamispolku on sovittava hyväksyvän tahon kanssa.
Mielivaltaiset vaatimustenmukaisuussertifikaatit eivät ole virallisten asiakirjojen hyväksytty korvike. Ratkaisevia ovat sovittu tarkastuspolku ja siihen liittyvät viralliset raportit tai vahvistukset.
Ei. Tietoturvan hallintajärjestelmän sertifikaatti koskee ilmoitettua hallintajärjestelmän soveltamisalaansa. Maksuympäristön vaatimukset ja todentamispolku on selvitettävä erikseen.
Rajatkaa maksureitti.
Keskustelkaa siitä, miten käsittelette laajuutta, tehtäviä ja näyttöä Secanissa.
Tämä sivu kuvaa PCI DSS:ää omin sanoin eikä korvaa virallisia PCI SSC -asiakirjoja tai asiantuntija-arviota. Asianomaisen maksuohjelman vaatimukset ja toimivaltaisen tahon päätökset on huomioitava erikseen.