PCI DSS.
Odredite podatke o plaćanjima i ovisnosti, razjasnite odgovornost u radu i dogovorite odgovarajući dokaz s nadležnim tijelom.
- PCI DSS v4.0.1 · PCI SSC
- Autor: Jonathan Bezdek
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 7 min.
Kratak odgovor.
PCI DSS sektorski je standard za zaštitu podataka platnih kartica. Odnosi se na trgovce, pružatelje usluga i sustave koji takve podatke obrađuju ili utječu na njihovu sigurnost. Aktualna verzija jest PCI DSS v4.0.1. Platno okruženje i uloga određuju opseg; način dokazivanja usklađuje se s prihvatiteljem ili kartičnom markom, primjerice putem SAQ-a ili ROC-a.
PCI DSS 4.0 i aktualna verzija.
PCI DSS povezuje tehničke i operativne sigurnosne zahtjeve za podatke o plaćanjima. PCI Security Standards Council, odnosno PCI SSC, razvija standard i potporne alate. Način dokazivanja usklađenosti u konkretnom platnom programu određuju nadležne strane koje prihvaćaju dokaze, obično prihvatitelji i kartične marke; PCI SSC FAQ 1473 objašnjava tu podjelu uloga.
PCI DSS v4.0.1 verzija je navedena u službenoj Document Library. Prema objavi PCI SSC-a o reviziji, v4.0 povučen je 31. prosinca 2024. Već predviđeni datum 31. ožujka 2025. za nove zahtjeve v4 ostao je nepromijenjen. Na datum ove stranice taj je rok prošao; nije budući rok za uvođenje.
Uspješno dovršeno dokazivanje ne zamjenjuje trajnu zaštitu. U praktičnoj organizaciji promjene platnih putova, aplikacija i pružatelja usluga trebaju biti povod za ponovno razmatranje dogovorenog opsega. Nova integracija naplate može stvoriti drukčije ovisnosti od prethodno ocijenjenog rješenja iako isto poduzeće i dalje prima plaćanja.
Na koga se primjenjuje PCI DSS.
Prema pregledu PCI SSC-a, PCI DSS nije namijenjen samo organizacijama koje pohranjuju, obrađuju ili prenose kartične podatke. Razmatranje uključuje i mogući utjecaj na sigurnost okruženja podataka o vlasnicima kartica, odnosno Cardholder Data Environment ili CDE. Trgovci i pružatelji usluga zato najprije trebaju opisati konkretnu ulogu i stvarno pružene usluge.
Izdvojena obrada plaćanja nije automatsko oslobođenje. PCI SSC FAQ 1092 razlikuje mogući manji opseg izravnih zahtjeva od trajne odgovornosti za prikladne pružatelje, dogovorene nadležnosti i traženi dokaz. I pri naplati koju hosta pružatelj razjasnite s nadležnom stranom koje uvjete odabrana tehnička integracija mora ispuniti.
Granica se dokazuje učinkovitim mjerama, a ne samo nazivom u arhitekturnom dijagramu. PCI SSC FAQ 1115 objašnjava da treba provjeriti povezane sustave i stvarnu učinkovitost segmentacije. Preuranjeno isključivanje administrativnih pristupa, potpornih usluga ili sučelja može dovesti do nepotpunog opsega provjere.
Organizirajte zahtjeve PCI DSS-a u poslovanju.
Provedba povezuje zaštitu platnog okruženja sa sljedivim operativnim postupcima. Sljedećih šest radnih područja urednička su orijentacija za planiranje, a ne reprodukcija dvanaest službenih zahtjeva ili pojedinačnih točaka provjere; njihova konkretna primjenjivost provjerava se na potvrđenom opsegu.
Učinite platne tokove i opseg razumljivima.
Praktično pratite gdje nastaju informacije o plaćanjima, koje komponente sudjeluju i koje osobe ili pružatelji mogu utjecati na njih. Zabilježite potvrđenu granicu s njezinim pretpostavkama. Razumljiv opis pomaže razvoju, operativi i strani koja prihvaća dokaze razgovarati o istom platnom putu.
Sigurno upravljajte sustavima i promjenama.
Dodijelite uključene aplikacije i infrastrukturne komponente jasno određenim odgovornim osobama. Povežite promjene s pitanjem mijenjaju li nove veze, funkcije ili ovisnosti potvrđeni opseg. Za svakodnevni rad sljediva povijest promjena korisnija je od snimke stanja sastavljene isključivo za datum provjere.
Ograničite uporabu i prijenos podataka.
Kao praktično početno pitanje provjerite koji su podaci o plaćanju stvarno potrebni za odabrani postupak i gdje mogu nastati kopije. Uključite izvoze, zapisnike i potporne procese. Detaljno sigurnosno planiranje mora odgovarati vrstama podataka i svrsi uporabe; opća oznaka povjerljivosti još ne objašnjava te odluke.
Sljedivo organizirajte pristupe.
Povežite poslovne odgovornosti sa stvarno dodijeljenim tehničkim mogućnostima. Uz zaposlenike razmotrite servisne račune, administrativne pristupe i dobavljače. Za organizaciju rada preporučuje se jasan odgovor na to tko odobrava pristup, tko obrađuje promjene i po čemu je vidljivo pravodobno ukidanje pristupa.
Provjeravajte rad i obrađujte saznanja.
Planirajte prikladne zapise i provjere zajedno s odgovornim osobama platnog okruženja. Pojedinačno skeniranje ili penetracijski test opisuje samo svoj predmet. Pri nalazima zabilježite koja promjena slijedi i kako se provjerava njezin učinak, umjesto izjednačavanja rezultata testa s cjelokupnim dokazom PCI DSS-a.
Uključite pružatelje usluga i incidente.
Odredite operativne kontakte i postupanje pri nepravilnostima. Za izdvojene usluge vlastiti zadaci trebaju ostati razumljivi uz obećanja pružatelja. PCI SSC FAQ 1576 objašnjava da dokaz pružatelja mora obuhvatiti korištene usluge; proizvoljan dokument poduzeća nije automatski dovoljan.
Provodite PCI DSS kao trajnu zadaću.
Uskladite ulogu i način dokazivanja.
Kao praktičan početak s prihvatiteljem ili kartičnom markom razjasnite ulogu, očekivani dokaz i nadležnu kontaktnu osobu prije odabira obrasca.
Evidentirajte jedan platni put.
Opišite uključene podatke, aplikacije, sustave i pružatelje usluga od početka plaćanja do preostalih operativnih zapisa.
Potvrdite opseg.
Provjerite relevantne veze i komponente koje utječu na sigurnost te zatražite stručnu ocjenu granica, uključujući moguću segmentaciju.
Ugradite zadatke u rad.
Dodijelite zaštitne mjere i zajedničke odgovornosti konkretnim osobama te povežite provedbu s prikladnim zapisima.
Dosljedno pripremite dokaze.
Provjerite opisuju li traženi dokumenti istu uslugu, ulogu i opseg te jesu li otvorene odluke sljedivo obrađene.
Pratite promjene i naknadne provjere.
Dogovorite potrebne intervale dokazivanja i pri promjenama provjerite odgovaraju li opseg, dokazi pružatelja i operativne odgovornosti i dalje.
PCI certifikacija i stvarni oblik dokaza.
Priznati dokaz PCI DSS-a koristi za to predviđene službene dokumente. SAQ dokumentira dopuštenu samoprocjenu, ROC rezultate odgovarajućeg puta provjere, a AOC pripadajuću potvrdu. Prema PCI SSC FAQ 1220 proizvoljni dokumenti nazvani certifikatom usklađenosti nisu zamjena za službene predloške.
Strana koja prihvaća dokaze određuje traženi put; u odgovarajućoj provjeri može sudjelovati Qualified Security Assessor, odnosno QSA. Prema PCI SSC FAQ 1473 opseg i primjenjivost moraju biti točno procijenjeni. Odabir naziva SAQ-a zato još ne potvrđuje ispunjavanje kriterija prihvatljivosti ni provedbu svih relevantnih zahtjeva.
I odgovarajući predložak treba koristiti u aktualnoj verziji. PCI SSC izmijenio je pravila SAQ A od 31. ožujka 2025. i izričito pojasnio da uklonjene pojedinačne točke provjere u upitniku ne ukidaju temeljne zahtjeve PCI DSS-a. Dogovorite rokove dokazivanja i naknadne obveze za svoj slučaj, umjesto pretpostavljanja općeg trajanja certifikata.
Razumijevanje drugih okvira.
ISO 27001 obrađuje upravljanje informacijskom sigurnošću u utvrđenom području primjene; dokaz PCI DSS-a zasebna je odluka za platno okruženje. CIS Controls podupire opće određivanje sigurnosnih prioriteta, ali ne određuje način validacije PCI-ja. GDPR se odnosi na obradu osobnih podataka i treba ga provjeriti neovisno o dokazu za platne podatke.
U Secaniju.
Secani pruža vlastiti urednički katalog za poduzeća o PCI DSS v4.0.1. Profil evidentira, među ostalim, opseg CDE-a, ulogu trgovca ili pružatelja usluga i dogovoreni put SAQ/ROC. Ti radni podaci podupiru strukturiranu obradu; ne zamjenjuju službenu dokumentaciju provjere, potvrdu prihvatljivosti ni mišljenje nadležne strane.
Počnite s konkretnim platnim putem.
Odaberite stvarno korišten platni put i imenujte poslovnu i tehničku odgovornost. Zabilježite koje usluge pružate sami, a koje preuzima pružatelj. Zatim s nadležnom stranom uskladite očekivani dokaz prije planiranja rada na temelju naizgled prikladnog upitnika.
Izvori.
- PCI SSC – pregled PCI DSS-a i ciljna skupina
- PCI SSC – službena Document Library
- PCI SSC – objava PCI DSS v4.0.1
- PCI SSC FAQ 1473 – nadležne strane i način dokazivanja
- PCI SSC FAQ 1092 – izdvojena obrada plaćanja
- PCI SSC FAQ 1576 – dokazi pružatelja usluga
- PCI SSC FAQ 1220 – službeni dokumenti umjesto certifikata usklađenosti
- PCI SSC FAQ 1115 – povezani sustavi i segmentacija
- PCI SSC – promjene SAQ A od 31. ožujka 2025.
- PCI SSC – bilten SAQ od 15. listopada 2024.
Česta pitanja.
Ne automatski. Izdvajanje može promijeniti izravni opseg; odgovornost za prikladne pružatelje, jasne nadležnosti i traženi dokaz i dalje treba razmotriti zasebno.
Ne samo prema željenoj količini rada. Kriteriji prihvatljivosti moraju biti ispunjeni, a traženi način dokazivanja usklađen sa stranom koja prihvaća dokaze.
Proizvoljni certifikati usklađenosti nisu priznata zamjena za službene dokumente. Mjerodavni su dogovoreni put provjere i pripadajuća službena izvješća ili potvrde.
Ne. Certifikat ISMS-a odnosi se na navedeni opseg sustava upravljanja; zahtjeve i način dokazivanja za platno okruženje treba razjasniti zasebno.
Odredite platni put.
Razgovarajte o tome kako u Secaniju obrađivati opseg, zadatke i dokaze.
Ova stranica vlastitim riječima objašnjava PCI DSS i ne zamjenjuje službene dokumente PCI SSC-a ni stručnu provjeru. Zahtjeve pojedinog platnog programa i odluke nadležne strane i dalje treba zasebno poštovati.