01
Bảo mật mạng (Yêu cầu 1-2)
Kiểm soát bảo mật mạng, không dùng mật khẩu mặc định, CDE được phân đoạn và mọi kết nối được tài liệu hóa.
Tự Động Hóa Tuân Thủ PCI DSS, Cho Fintech Việt Nam
pTrackly tự động hóa phần việc lặp lại của PCI DSS v4.0.1 cho fintech và doanh nghiệp thanh toán Việt Nam: evidence có nhắc hạn, access review, cloud check hằng ngày và workspace chung với QSA. Việc đánh giá, ROC hoặc SAQ và AOC vẫn do bạn và đơn vị đánh giá thực hiện.
Payment Security v4.0
Req 1-2Network Security
Req 3-4Data Protection
Req 5-6Vulnerability Mgmt
Req 7-12Access & Monitoring
Tại Sao PCI DSS Quan Trọng
-
Acquirer yêu cầu xác nhận tuân thủ
Thương hiệu thẻ và ngân hàng thanh toán (acquirer) yêu cầu merchant và nhà cung cấp dịch vụ xác nhận tuân thủ PCI DSS. Hậu quả khi không tuân thủ do thương hiệu thẻ và acquirer quy định, không phải PCI SSC.
-
v4.0.1 là phiên bản duy nhất còn hiệu lực
PCI DSS v4.0 hết hiệu lực ngày 31/12/2024, và mọi yêu cầu future-dated của v4.x đã bắt buộc từ ngày 31/3/2025.
-
Phạm vi CDE dễ bị đánh giá thấp
Sai sót về phạm vi phát hiện trong lúc QSA đánh giá có thể khiến cả quá trình phải làm lại từ đầu.
12 yêu cầu PCI DSS v4.0.1
Tự Động Hóa PCI DSS Trong pTrackly Diễn Ra Thế Nào
Bước 01
Kết nối và xác định phạm vi
Kết nối cloud và hệ thống định danh, onboarding đội ngũ, ghi nhận những gì nằm trong CDE.
Bước 02
Khắc phục gap
Policy mẫu và evidence task ánh xạ với control PCI DSS v4.0.1, có người phụ trách và hạn.
Bước 03
Đánh giá
Chia sẻ evidence với QSA trong Auditor portal hoặc chuẩn bị SAQ, xử lý các phát hiện.
Bước 04
ROC hoặc SAQ và AOC
QSA hoặc đội của bạn hoàn tất đánh giá, AOC được gửi cho acquirer. Các task định kỳ tiếp tục chạy.
Phạm Vi Yêu Cầu PCI DSS v4.0.1
02
Bảo vệ dữ liệu chủ thẻ (Yêu cầu 3-4)
Truncation, tokenization hoặc mã hóa khi lưu trữ và mật mã mạnh khi truyền tải.
03
Kiểm soát truy cập (Yêu cầu 7-8)
Quyền tối thiểu, ID duy nhất. v4.x bắt buộc MFA cho mọi truy cập vào CDE không qua console và mọi truy cập từ xa.
04
Giám sát & Kiểm tra (Yêu cầu 10-11)
Log lưu 12 tháng, 3 tháng gần nhất truy cập được ngay. Quét ASV hằng quý, pentest ít nhất mỗi 12 tháng.
05
Chính sách bảo mật (Yêu cầu 12)
Chính sách rà soát ít nhất mỗi 12 tháng, targeted risk analysis, đào tạo nhận thức bảo mật và kế hoạch ứng phó sự cố được kiểm thử hằng năm.
pTrackly Tự Động Hóa Gì Cho PCI DSS
Evidence định kỳ theo lịch
Mỗi evidence task có tần suất và ngày review. Người phụ trách nhận nhắc nhở 7, 3 và 1 ngày trước hạn; task quá hạn 7 hoặc 21 ngày được escalate.
Cloud check hằng ngày làm evidence
Kiểm tra trên AWS, Google Cloud, Azure và Cloudflare có thể chạy hằng ngày trong một evidence task. Khi đến hạn review mà check vẫn lỗi, task chuyển sang Failed.
Access review hoàn thành đúng hạn
Review định kỳ tài khoản nhân sự, ứng dụng Google Workspace và tài khoản ứng dụng đã ghi nhận, do quản lý trực tiếp review, có escalate khi trễ hạn.
Workspace cho QSA với bộ evidence được khóa
QSA làm việc với danh sách yêu cầu trong Auditor portal. Khi khóa audit, evidence được đóng băng và mỗi file có fingerprint SHA-256.
Tự động hóa tuân thủ PCI DSS làm được gì?
Tự động hóa tuân thủ PCI DSS xử lý phần việc lặp lại và cần bằng chứng: lên lịch evidence, nhắc người phụ trách, chạy cloud check, theo dõi access review và giữ hồ sơ sẵn sàng cho đơn vị đánh giá. Nó không xác nhận tuân thủ. QSA lập Report on Compliance (ROC), hoặc đội của bạn tự hoàn thành SAQ, và việc quét bên ngoài hằng quý phải do ASV có tên trong danh sách của PCI SSC thực hiện.
pTrackly tự động hóa
- Evidence task có tần suất (từ hằng ngày đến hằng năm), nhắc 7, 3 và 1 ngày trước hạn, escalate khi quá hạn 7 và 21 ngày
- Cloud check hằng ngày trên AWS, Google Cloud, Azure và Cloudflare gắn với evidence task
- Access review định kỳ cho tài khoản nhân sự, ứng dụng Google Workspace và tài khoản ứng dụng đã ghi nhận
- Chu kỳ rà soát policy có phê duyệt và xác nhận của nhân viên
- Hồ sơ nhà cung cấp dịch vụ kèm AOC PCI DSS, cảnh báo 60 và 30 ngày trước khi hết hạn
- Phát hiện pentest, trạng thái khắc phục và báo cáo
- Auditor portal cho QSA và bộ evidence được khóa, có fingerprint
Phần việc vẫn thuộc về bạn, đơn vị đánh giá và công cụ của bạn
- Quyết định phạm vi và kiểm thử phân đoạn mạng
- Bản thân việc đánh giá: ROC do QSA lập hoặc SAQ do đội của bạn hoàn thành, và việc ký AOC
- Quét lỗ hổng bên ngoài hằng quý do ASV thực hiện (Yêu cầu 11.3.2)
- Giám sát log (SIEM), giám sát toàn vẹn file, dò tìm PAN và giám sát script trên trang thanh toán
- Khắc phục control trong chính hệ thống của bạn
Các yêu cầu PCI DSS v4.0.1 lặp lại định kỳ và pTrackly hỗ trợ gì
Những yêu cầu này lặp lại theo chu kỳ cố định, và đây là nơi tốn nhiều công sức nhất về lâu dài. Số hiệu yêu cầu theo PCI DSS v4.0.1.
| Yêu cầu | Nội dung | pTrackly hỗ trợ |
|---|---|---|
| 1.2.7 | Rà soát cấu hình kiểm soát bảo mật mạng ít nhất mỗi 6 tháng | Evidence task có người phụ trách, ngày review và nhắc hạn |
| 7.2.4 | Rà soát tài khoản và quyền truy cập ít nhất mỗi 6 tháng | Access review lặp lại mỗi 6 tháng, có escalate |
| 8.4.2 | MFA cho mọi truy cập vào CDE không qua console | Kiểm tra AWS IAM (MFA, root, access key); evidence task cho hệ thống khác |
| 10.4.1 | Review audit log ít nhất hằng ngày | Thực hiện trong SIEM; pTrackly lưu evidence cho thấy việc review diễn ra |
| 11.3.2 | Quét lỗ hổng bên ngoài do ASV thực hiện ít nhất mỗi ba tháng | Evidence task hằng quý cho báo cáo quét ASV |
| 11.4.1–11.4.3 | Pentest ít nhất mỗi 12 tháng và sau thay đổi lớn | Module Pentest cho phát hiện, khắc phục và báo cáo cuối |
| 12.1.2 | Rà soát chính sách bảo mật thông tin ít nhất mỗi 12 tháng | Tần suất rà soát policy, phê duyệt và xác nhận của nhân viên |
| 12.8.4 | Theo dõi tình trạng tuân thủ PCI DSS của nhà cung cấp dịch vụ ít nhất mỗi 12 tháng | Hồ sơ nhà cung cấp kèm AOC PCI DSS và cảnh báo hết hạn |
| 12.10.2 | Rà soát và kiểm thử kế hoạch ứng phó sự cố ít nhất mỗi 12 tháng | Evidence task hằng năm có nhắc hạn |
Nguồn: PCI SSC Document Library · PCI SSC: công bố PCI DSS v4.0.1 · PCI SSC: các yêu cầu future-dated của PCI DSS v4.x
Câu hỏi thường gặp
Có thể tự động hóa hoàn toàn việc tuân thủ PCI DSS không?
Không. Nền tảng có thể lên lịch và thu thập evidence, chạy một số kiểm tra kỹ thuật và nhắc người phụ trách, nhưng việc xác định phạm vi, đánh giá, quét ASV và nhiều control kỹ thuật vẫn cần con người và công cụ chuyên dụng. QSA, hoặc chính đội của bạn với SAQ, là bên xác nhận tuân thủ.
pTrackly có thay thế QSA hoặc ASV không?
Không. pTrackly không phải QSA hay ASV. pTrackly chuẩn bị evidence và cung cấp workspace cho QSA; ROC hoặc SAQ và AOC do đơn vị đánh giá hoặc đội của bạn hoàn thành, còn việc quét bên ngoài do ASV có tên trong danh sách của PCI SSC thực hiện.
pTrackly dùng phiên bản PCI DSS nào?
PCI DSS v4.0.1, phiên bản duy nhất còn hiệu lực. PCI SSC cho v4.0 hết hiệu lực ngày 31/12/2024, và mọi yêu cầu future-dated của v4.x đã bắt buộc từ ngày 31/3/2025.
Tuân thủ PCI DSS mất bao lâu?
Tùy phạm vi, cấp độ merchant hoặc nhà cung cấp dịch vụ và những gì bạn đã có sẵn. Cấp độ merchant do thương hiệu thẻ quy định, nên hãy xác nhận với acquirer trước khi lên kế hoạch đánh giá.