PCI DSS.
Határolja le a fizetési adatokat és függőségeket, tisztázza a működési felelősséget, és egyeztessen megfelelő igazolást az illetékes szervezettel.
- PCI DSS v4.0.1 · PCI SSC
- Szerző: Jonathan Bezdek
- Állapot: 2026. 10. 22.
- Olvasási idő: 7 perc
Rövid válasz.
A PCI DSS a fizetésikártya-adatok védelmének ágazati szabványa. Az ilyen adatokat kezelő vagy biztonságukat befolyásoló kereskedőket, szolgáltatókat és rendszereket érinti. Az aktuális változat a PCI DSS v4.0.1. A fizetési környezet és a szerep határozza meg a terjedelmet; az igazolási utat az elfogadóval vagy a kártyatársasággal egyeztetik, például SAQ vagy ROC formájában.
PCI DSS 4.0 és az aktuális változat.
A PCI DSS technikai és működési biztonsági követelményeket kapcsol össze a fizetési adatokhoz. A PCI Security Standards Council, röviden PCI SSC, fejleszti a szabványt és támogató eszközeit. Azt viszont, hogy egy konkrét fizetési programban hogyan igazolják a teljesítést, az illetékes elfogadó szervezetek, jellemzően az elfogadók és kártyatársaságok határozzák meg; ezt a szerepmegosztást a PCI SSC FAQ 1473 ismerteti.
A PCI DSS v4.0.1 a hivatalos Document Library által felsorolt változat. A felülvizsgálatról szóló PCI SSC-kiadvány szerint a v4.0-t 2024. december 31-én visszavonták. Az új v4-követelményekre korábban kijelölt 2025. március 31-i időpont változatlan maradt. Az oldal állapota szerint ez már elmúlt; nem még előttünk álló bevezetési határidő.
A sikeresen lezárt igazolás nem helyettesíti a folyamatos védelmet. Gyakorlati szervezésben a fizetési útvonalak, alkalmazások és szolgáltatók változásainak az egyeztetett terjedelem újravizsgálatát kell kiváltaniuk. Egy új checkout-integráció más függőségeket teremthet, mint a korábban értékelt megoldás, miközben ugyanaz a vállalat továbbra is fizetéseket fogad el.
Kire vonatkozik a PCI DSS?
A PCI SSC áttekintése szerint a PCI DSS nem csupán a kártyaadatokat tároló, feldolgozó vagy továbbító szervezeteknek szól. A kártyabirtokosi adatok környezete, a Cardholder Data Environment vagy CDE biztonságának lehetséges befolyásolása is a vizsgálat része. A kereskedőknek és szolgáltatóknak ezért először konkrét szerepüket és tényleges szolgáltatásaikat kell leírniuk.
A kiszervezett fizetésfeldolgozás nem automatikus mentesség. A PCI SSC FAQ 1092 megkülönbözteti az esetleg kisebb közvetlen követelményi terjedelmet a megfelelő szolgáltatókért, egyeztetett felelősségi körökért és kért igazolásért fennmaradó felelősségtől. Hosted Checkout esetén is tisztázza az illetékes szervezettel, milyen előfeltételeket kell teljesítenie a választott technikai integrációnak.
A határt hatékony intézkedések bizonyítják, nem pusztán egy név az architektúradiagramon. A PCI SSC FAQ 1115 kifejti, hogy a kapcsolódó rendszereket és a szegmentálás tényleges hatékonyságát vizsgálni kell. Aki idő előtt kizárja az adminisztrátori hozzáféréseket, támogató szolgáltatásokat vagy interfészeket, hiányos vizsgálati terjedelmet írhat le.
A PCI DSS követelményeinek rendezése a működésben.
A megvalósítás a fizetési környezet védelmét követhető működési folyamatokkal kapcsolja össze. A következő hat munkaterület szerkesztett tervezési támpont, nem a tizenkét hivatalos követelmény vagy egyedi vizsgálati pont visszaadása; ezek konkrét alkalmazhatóságát a megerősített terjedelemben ellenőrzik.
A fizetési folyamatok és terjedelem érthetővé tétele.
A gyakorlatban kövesse végig, hol keletkeznek a fizetési információk, milyen összetevők vesznek részt, és mely személyek vagy szolgáltatók hathatnak rájuk. A megerősített határt a feltételezéseivel együtt rögzítse. Az érthető leírás segíti a fejlesztést, üzemeltetést és elfogadó szervezetet, hogy ugyanarról a fizetési útvonalról beszéljenek.
Rendszerek és változások biztonságos működtetése.
Rendeljen egyértelmű felelősöket a részt vevő alkalmazásokhoz és infrastruktúra-összetevőkhöz. A változásokat kapcsolja ahhoz a kérdéshez, módosítják-e az új kapcsolatok, funkciók vagy függőségek a megerősített terjedelmet. A mindennapokban hasznosabb egy követhető változástörténet, mint a kizárólag a vizsgálat időpontjára összeállított pillanatkép.
Az adatfelhasználás és továbbítás korlátozása.
Gyakorlati kiindulókérdésként vizsgálja meg, mely fizetési adatok szükségesek ténylegesen a választott folyamathoz, és hol keletkezhetnek másolatok. Vegye figyelembe az exportokat, naplókat és támogató folyamatokat is. A részletes biztonsági tervezésnek illeszkednie kell az adattípusokhoz és felhasználási célhoz; egy általános bizalmassági jelölés még nem magyarázza meg ezeket a döntéseket.
Hozzáférések követhető megszervezése.
Kapcsolja össze a szakmai felelősségi köröket a ténylegesen biztosított technikai lehetőségekkel. A munkatársak mellett vizsgálja a szolgáltatásfiókokat, adminisztratív hozzáféréseket és beszállítókat is. A munkaszervezéshez célszerű egyértelműen megválaszolni, ki hagy jóvá hozzáférést, ki kezeli a változásokat, és miről felismerhető az időben visszavont hozzáférés.
A működés vizsgálata és a tanulságok feldolgozása.
A fizetési környezet felelőseivel együtt tervezzen megfelelő feljegyzéseket és vizsgálatokat. Egyetlen szkennelés vagy penetrációs teszt csak saját tárgyát írja le. A megállapításoknál rögzítse, milyen változás következik belőlük és hogyan ellenőrzik hatásukat, ahelyett hogy egy teszteredményt a teljes PCI DSS-igazolással azonosítana.
A szolgáltatók és incidensek bevonása.
Határozzon meg működési kapcsolattartókat és eljárást a rendellenességekre. Kiszervezett szolgáltatásoknál a saját feladatoknak a szolgáltató vállalásai mellett is érthetőnek kell maradniuk. A PCI SSC FAQ 1576 szerint a szolgáltatói igazolásnak le kell fednie az igénybe vett szolgáltatásokat; egy tetszőleges vállalati dokumentum ehhez nem automatikusan elegendő.
A PCI DSS megvalósítása folyamatos feladatként.
A szerep és az igazolási út egyeztetése.
Gyakorlati kezdésként tisztázza az elfogadóval vagy kártyatársasággal a szerepét, az elvárt igazolást és az illetékes kapcsolattartót, mielőtt űrlapot választ.
Egy fizetési útvonal felmérése.
Írja le a részt vevő adatokat, alkalmazásokat, rendszereket és szolgáltatókat a fizetés kezdetétől a fennmaradó működési feljegyzésekig.
A terjedelem megerősítése.
Vizsgálja meg a releváns kapcsolatokat és a biztonságot befolyásoló összetevőket, és szakmailag értékeltesse a lehatárolást a lehetséges szegmentálással együtt.
A feladatok beépítése a működésbe.
Rendelje konkrét személyekhez a védelmi intézkedéseket és megosztott felelősségeket, és megvalósításukat kapcsolja megfelelő feljegyzésekhez.
A bizonyítékok következetes előkészítése.
Ellenőrizze, hogy a kért iratok ugyanazt a szolgáltatást, szerepet és terjedelmet írják-e le, és a nyitott döntéseket követhetően kezelték-e.
A változások és utóvizsgálatok követése.
Egyeztesse a szükséges igazolási időközöket, és változásokkor vizsgálja meg, továbbra is megfelelő-e a terjedelem, a szolgáltatói igazolások és a működési felelősségi körök.
PCI-tanúsítás és a tényleges igazolási forma.
Az elismert PCI DSS-igazolás az erre szolgáló hivatalos iratokat használja. A SAQ megengedett önértékelést dokumentál, a ROC az adott vizsgálati út eredményeit, az AOC pedig a kapcsolódó megerősítést. A PCI SSC FAQ 1220 szerint a tetszőleges, megfelelőségi tanúsítványnak nevezett dokumentumok nem helyettesítik a hivatalos sablonokat.
A kért utat az elfogadó szervezet határozza meg; megfelelő vizsgálatnál Qualified Security Assessor, röviden QSA, is részt vehet. A PCI SSC FAQ 1473 szerint a terjedelmet és alkalmazhatóságot helyesen kell megítélni. A SAQ nevének kiválasztása ezért még nem igazolja, hogy alkalmassági feltételei teljesülnek vagy minden releváns követelményt megvalósítottak.
A megfelelő sablont is az aktuális változatában kell használni. A PCI SSC 2025. március 31-ével módosította a SAQ A szabályait, és kifejezetten tisztázta, hogy a kérdőívből eltávolított egyedi vizsgálati pontok nem helyezik hatályon kívül az alapul szolgáló PCI DSS-követelményeket. Az esetére egyeztesse az igazolási időpontokat és további kötelezettségeket, ahelyett hogy általános tanúsítvány-érvényességből indulna ki.
További olvasnivalók a blogon.
Más keretrendszerek elhelyezése.
Az ISO 27001 az információbiztonság irányításával foglalkozik meghatározott alkalmazási területen; a PCI DSS-igazolás a fizetési környezet külön döntése. A CIS Controls támogatja a biztonsági munka általános rangsorolását, de nem határoz meg PCI-validációs utat. A GDPR személyesadat-kezelésre vonatkozik, és a fizetési adatok igazolásától függetlenül vizsgálandó.
A Secaniban.
A Secani saját szerkesztésű vállalati katalógust biztosít a PCI DSS v4.0.1-hez. A profil többek között a CDE terjedelmét, a kereskedői vagy szolgáltatói szerepet és az egyeztetett SAQ-/ROC-utat rögzíti. Ezek a munkaadatok támogatják a strukturált feldolgozást; sem a hivatalos vizsgálati iratokat, sem a jogosultság megerősítését vagy az illetékes szervezet véleményét nem helyettesítik.
Induljon egy konkrét fizetési útvonallal.
Válasszon ténylegesen használt fizetési útvonalat, és nevezze meg szakmai és technikai felelőseit. Rögzítse, mely szolgáltatásokat nyújtják saját maguk, és melyeket veszi át szolgáltató. Ezután egyeztesse az elvárt igazolást az illetékes szervezettel, mielőtt a ráfordítást egy vélhetően megfelelő kérdőív alapján megtervezi.
Források.
- PCI SSC – PCI DSS áttekintés és célcsoport
- PCI SSC – hivatalos Document Library
- PCI SSC – a PCI DSS v4.0.1 közzététele
- PCI SSC FAQ 1473 – illetékes szervezetek és igazolási út
- PCI SSC FAQ 1092 – kiszervezett fizetésfeldolgozás
- PCI SSC FAQ 1576 – szolgáltatói igazolások
- PCI SSC FAQ 1220 – hivatalos iratok megfelelőségi tanúsítványok helyett
- PCI SSC FAQ 1115 – kapcsolódó rendszerek és szegmentálás
- PCI SSC – a SAQ A változásai 2025. március 31-én
- PCI SSC – SAQ-közlemény, 2024. október 15.
Gyakori kérdések.
Nem automatikusan. A kiszervezés módosíthatja a közvetlen terjedelmet; a megfelelő szolgáltatókért, egyértelmű felelősségi körökért és kért igazolásért viselt felelősséget továbbra is külön kell vizsgálni.
Nem pusztán a kívánt ráfordítás alapján. Az alkalmassági feltételeknek teljesülniük kell, és a kért igazolási utat az elfogadó szervezettel kell egyeztetni.
A tetszőleges megfelelőségi tanúsítványok nem elismert helyettesítői a hivatalos iratoknak. Az egyeztetett vizsgálati út és a hozzá tartozó hivatalos jelentések vagy megerősítések az irányadók.
Nem. Az ISMS-tanúsítvány a megjelölt irányításirendszer-terjedelemre vonatkozik; a fizetési környezet követelményeit és igazolási útját külön kell tisztázni.
Határolja le a fizetési útvonalat.
Beszéljük meg, hogyan kezelheti a terjedelmet, feladatokat és bizonyítékokat a Secaniban.
Ez az oldal saját szavakkal mutatja be a PCI DSS-t, és nem helyettesíti a hivatalos PCI SSC-dokumentumokat vagy a szakmai vizsgálatot. Az adott fizetési program követelményeit és az illetékes szervezet döntéseit külön is figyelembe kell venni.