PCI DSS.
Norobežojiet maksājumu datus un atkarības, noskaidrojiet atbildību ikdienas darbībā un ar kompetento pusi vienojieties par piemērotu apliecinājumu.
- PCI DSS v4.0.1 · PCI SSC
- Autors: Jonathan Bezdek
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 7 min.
Īsā atbilde.
PCI DSS ir nozares standarts maksājumu karšu datu aizsardzībai. Tas skar tirgotājus, pakalpojumu sniedzējus un sistēmas, kas šādus datus apstrādā vai ietekmē to drošību. Pašreizējā redakcija ir PCI DSS v4.0.1. Maksājumu vide un loma nosaka aptvērumu; apliecināšanas ceļu saskaņo ar pieņēmējbanku vai maksājumu zīmolu, piemēram, izmantojot SAQ vai ROC.
PCI DSS 4.0 un pašreizējā redakcija.
PCI DSS sasaista tehniskās un darbības drošības prasības maksājumu datiem. PCI Security Standards Council jeb PCI SSC izstrādā standartu un tā atbalsta rīkus. Savukārt to, kā konkrētā maksājumu programmā apliecina atbilstību, nosaka atbildīgās pieņemošās puses, parasti pieņēmējbankas un maksājumu zīmoli; PCI SSC FAQ 1473 skaidro šo lomu nošķīrumu.
PCI DSS v4.0.1 ir oficiālajā dokumentu bibliotēkā norādītā redakcija. Saskaņā ar PCI SSC publikāciju par pārskatījumu v4.0 atsaukta 2024. gada 31. decembrī. Jau jaunajām v4 prasībām paredzētais 2025. gada 31. marts palika nemainīgs. Šīs lapas sagatavošanas brīdī datums ir pagātnē; tas nav vēl gaidāms ieviešanas termiņš.
Sekmīgi pabeigta apliecināšana neaizstāj pastāvīgu aizsardzību. Praktiskā organizēšanā maksājumu ceļu, lietotņu un pakalpojumu sniedzēju izmaiņām jābūt iemeslam atkārtoti izvērtēt saskaņoto aptvērumu. Jauna norēķinu integrācija var radīt citas atkarības nekā iepriekš novērtētais risinājums, lai gan tas pats uzņēmums joprojām pieņem maksājumus.
Kam piemēro PCI DSS.
Saskaņā ar PCI SSC pārskatu PCI DSS paredzēts ne tikai organizācijām, kas glabā, apstrādā vai pārsūta karšu datus. Izvērtēšanā ietilpst arī iespējamā ietekme uz kartes turētāja datu vides jeb Cardholder Data Environment (CDE) drošību. Tādēļ tirgotājiem un pakalpojumu sniedzējiem vispirms jāapraksta konkrētā loma un faktiski sniegtie pakalpojumi.
Maksājumu apstrādes nodošana ārpakalpojumā nav automātisks atbrīvojums. PCI SSC FAQ 1092 nošķir iespējami mazāku tiešo prasību aptvērumu no saglabātās atbildības par piemērotiem pakalpojumu sniedzējiem, saskaņotu atbildību un prasīto apliecinājumu. Arī mitinātas norēķinu lapas gadījumā ar atbildīgo pusi noskaidrojiet, kādi priekšnoteikumi jāizpilda izvēlētajai tehniskajai integrācijai.
Robežu pierāda ar efektīviem pasākumiem, ne tikai nosaukumu arhitektūras diagrammā. PCI SSC FAQ 1115 skaidro, ka jāpārbauda savienotās sistēmas un segmentēšanas faktiskā efektivitāte. Pārsteidzīgi izslēdzot administratoru piekļuvi, atbalsta pakalpojumus vai saskarnes, var aprakstīt nepilnīgu pārbaudes aptvērumu.
Sakārtot PCI DSS prasības darbībā.
Ieviešana sasaista maksājumu vides aizsardzību ar izsekojamiem darbības procesiem. Tālāk minētās sešas darba jomas ir autoru veidota orientācija plānošanai, nevis divpadsmit oficiālo prasību vai atsevišķu pārbaudes punktu atveidojums; to konkrēto piemērojamību pārbauda apstiprinātajā aptvērumā.
Padarīt saprotamas maksājumu plūsmas un aptvērumu.
Praktiski izsekojiet, kur rodas maksājumu informācija, kādi komponenti piedalās un kādas personas vai sniedzēji var to ietekmēt. Fiksējiet apstiprināto robežu kopā ar tās pieņēmumiem. Saprotams apraksts palīdz izstrādei, darbības komandai un pieņemošajai pusei sarunāties par vienu un to pašu maksājumu ceļu.
Droši darbināt sistēmas un pārvaldīt izmaiņas.
Piešķiriet iesaistītajām lietotnēm un infrastruktūras komponentiem skaidrus atbildīgos. Sasaistiet izmaiņas ar jautājumu, vai jauni savienojumi, funkcijas vai atkarības maina apstiprināto aptvērumu. Ikdienā izsekojama izmaiņu vēsture ir noderīgāka nekā tikai pārbaudes datumam sagatavots momentuzņēmums.
Ierobežot datu izmantošanu un pārsūtīšanu.
Kā praktisku sākuma jautājumu pārbaudiet, kādi maksājumu dati izvēlētajam procesam faktiski vajadzīgi un kur var rasties kopijas. Ņemiet vērā eksportus, žurnālus un atbalsta procesus. Padziļinātajai drošības plānošanai jāatbilst datu veidiem un izmantošanas mērķim; vispārīgs konfidencialitātes marķējums šos lēmumus vēl neizskaidro.
Izsekojami organizēt piekļuvi.
Sasaistiet profesionālo atbildību ar faktiski piešķirtajām tehniskajām iespējām. Līdzās darbiniekiem izvērtējiet arī pakalpojumu kontus, administratoru piekļuves un piegādātājus. Darba organizēšanai ieteicama skaidra atbilde, kurš apstiprina piekļuvi, kurš apstrādā izmaiņas un kā var noteikt savlaicīgu piekļuves atņemšanu.
Pārbaudīt darbību un apstrādāt atziņas.
Plānojiet piemērotus ierakstus un pārbaudes kopā ar maksājumu vides atbildīgajiem. Atsevišķs skenējums vai ielaušanās tests apraksta tikai savu attiecīgo objektu. Konstatējumiem fiksējiet, kāda izmaiņa no tiem izriet un kā tās iedarbība tiks pārbaudīta, nevis pielīdziniet testa rezultātu visam PCI DSS apliecinājumam.
Iekļaut pakalpojumu sniedzējus un incidentus.
Nosakiet darbības kontaktpersonas un rīcību noviržu gadījumā. Ārpakalpojumiem pašu uzdevumiem jāpaliek saprotamiem līdzās sniedzēja saistībām. PCI SSC FAQ 1576 skaidro, ka pakalpojumu sniedzēja apliecinājumam jāaptver izmantotie pakalpojumi; jebkurš uzņēmuma dokuments tam automātiski nav pietiekams.
Ieviest PCI DSS kā nepārtrauktu uzdevumu.
Saskaņot lomu un apliecināšanas ceļu.
Praktiski sākot darbu, pirms veidlapas izvēles ar pieņēmējbanku vai maksājumu zīmolu noskaidrojiet savu lomu, sagaidāmo apliecinājumu un atbildīgo kontaktpersonu.
Apzināt vienu maksājumu ceļu.
Aprakstiet iesaistītos datus, lietotnes, sistēmas un pakalpojumu sniedzējus no maksājuma sākuma līdz atlikušajiem darbības ierakstiem.
Apstiprināt aptvērumu.
Pārbaudiet būtiskos savienojumus un drošību ietekmējošos komponentus un nodrošiniet profesionālu norobežojuma, tostarp iespējamās segmentēšanas, novērtējumu.
Nostiprināt uzdevumus ikdienas darbībā.
Piešķiriet aizsardzības pasākumus un kopīgo atbildību konkrētām personām un sasaistiet ieviešanu ar piemērotiem ierakstiem.
Konsekventi sagatavot pierādījumus.
Pārbaudiet, vai prasītie dokumenti apraksta to pašu pakalpojumu, lomu un aptvērumu un vai neatrisinātie lēmumi ir izsekojami apstrādāti.
Sekot izmaiņām un turpmākajām pārbaudēm.
Vienojieties par nepieciešamajiem apliecināšanas intervāliem un izmaiņu gadījumā pārbaudiet, vai aptvērums, pakalpojumu sniedzēju apliecinājumi un darbības atbildība joprojām atbilst.
PCI sertifikācija un faktiskais apliecinājuma veids.
Atzītam PCI DSS apliecinājumam izmanto tam paredzētos oficiālos dokumentus. SAQ dokumentē pieļaujamu pašnovērtējumu, ROC — attiecīgā pārbaudes ceļa rezultātus, bet AOC — saistīto apliecinājumu. Saskaņā ar PCI SSC FAQ 1220 jebkuri dokumenti, kas nosaukti par atbilstības sertifikātu, neaizstāj oficiālās veidnes.
Pieņemošā puse nosaka prasīto ceļu; attiecīgā pārbaudē var būt iesaistīts Qualified Security Assessor jeb QSA. Saskaņā ar PCI SSC FAQ 1473 aptvērums un piemērojamība jānovērtē pareizi. Tādēļ SAQ nosaukuma izvēle vēl neapliecina, ka izpildīti tā piemērotības kritēriji vai ieviestas visas būtiskās prasības.
Arī piemērotā veidne jāizmanto aktuālajā redakcijā. PCI SSC mainīja SAQ A noteikumus no 2025. gada 31. marta un skaidri norādīja, ka atsevišķu anketas pārbaudes punktu atcelšana neatceļ pamatā esošās PCI DSS prasības. Vienojieties par sava gadījuma apliecināšanas laikiem un turpmākajiem pienākumiem, nevis paļaujieties uz vispārēju sertifikāta derīguma termiņu.
Citu ietvaru konteksts.
ISO 27001 aplūko informācijas drošības pārvaldību noteiktajā darbības jomā; PCI DSS apliecinājums ir atsevišķs lēmums maksājumu videi. CIS Controls palīdz vispārēji noteikt drošības darba prioritātes, bet nenosaka PCI validācijas ceļu. VDAR attiecas uz personas datu apstrādi un jāpārbauda neatkarīgi no maksājumu datu apliecinājuma.
Secani vidē.
Secani ietver pašu izstrādātu uzņēmumu katalogu PCI DSS v4.0.1. Profils cita starpā fiksē CDE aptvērumu, tirgotāja vai pakalpojumu sniedzēja lomu un saskaņoto SAQ/ROC ceļu. Šī darba informācija palīdz strukturēti strādāt; tā neaizstāj ne oficiālos pārbaudes dokumentus, ne tiesību apstiprinājumu vai kompetentās puses spriedumu.
Sāciet ar konkrētu maksājumu ceļu.
Izvēlieties faktiski izmantotu maksājumu ceļu un nosakiet tā profesionālo un tehnisko atbildību. Fiksējiet, kādus pakalpojumus sniedzat paši un kādus pārņem pakalpojumu sniedzējs. Pēc tam saskaņojiet sagaidāmo apliecinājumu ar kompetento pusi, pirms plānojat darbu, balstoties uz šķietami piemērotu anketu.
Avoti.
- PCI SSC — PCI DSS pārskats un mērķauditorija
- PCI SSC — oficiālā dokumentu bibliotēka
- PCI SSC — PCI DSS v4.0.1 publicēšana
- PCI SSC FAQ 1473 — atbildīgās puses un apliecināšanas ceļš
- PCI SSC FAQ 1092 — ārpakalpojumā nodota maksājumu apstrāde
- PCI SSC FAQ 1576 — pakalpojumu sniedzēju apliecinājumi
- PCI SSC FAQ 1220 — oficiāli dokumenti atbilstības sertifikātu vietā
- PCI SSC FAQ 1115 — savienotās sistēmas un segmentēšana
- PCI SSC — SAQ A izmaiņas no 2025. gada 31. marta
- PCI SSC — 2024. gada 15. oktobra SAQ biļetens
Biežākie jautājumi.
Nē, ne automātiski. Ārpakalpojums var mainīt tiešo aptvērumu; atbildība par piemērotiem sniedzējiem, skaidru uzdevumu sadalījumu un prasīto apliecinājumu joprojām jāizvērtē atsevišķi.
Ne tikai pēc vēlamā darba apjoma. Jāizpilda piemērotības kritēriji, un prasītais apliecināšanas ceļš jāsaskaņo ar pieņemošo pusi.
Jebkuri atbilstības sertifikāti nav atzīts oficiālo dokumentu aizstājējs. Noteicošs ir saskaņotais pārbaudes ceļš un saistītie oficiālie ziņojumi vai apliecinājumi.
Nē. ISMS sertifikāts attiecas uz norādīto pārvaldības sistēmas aptvērumu; maksājumu vides prasības un apliecināšanas ceļš jānoskaidro atsevišķi.
Norobežojiet maksājumu ceļu.
Pārrunājiet, kā pārvaldīt aptvērumu, uzdevumus un pierādījumus Secani vidē.
Šī lapa saviem vārdiem skaidro PCI DSS un neaizstāj oficiālos PCI SSC dokumentus vai profesionālu pārbaudi. Atsevišķi jāievēro attiecīgās maksājumu programmas prasības un kompetentās puses lēmumi.