Trả lời ngắn
PCI DSS 12 requirements chia thành 6 mục tiêu, từ network security controls và bảo vệ dữ liệu thẻ đến giám sát, kiểm thử và chính sách an toàn thông tin.
PCI DSS 12 requirements là 12 yêu cầu cốt lõi của tiêu chuẩn bảo mật dữ liệu thẻ do PCI Security Standards Council (PCI SSC) ban hành, chia thành 6 mục tiêu: mạng an toàn, bảo vệ dữ liệu tài khoản, quản lý lỗ hổng, kiểm soát truy cập, giám sát và kiểm thử, chính sách an toàn thông tin. Phiên bản hiện hành là PCI DSS v4.0.1.
PCI DSS 12 requirements gồm những gì?
PCI DSS (Payment Card Industry Data Security Standard) áp dụng cho mọi tổ chức lưu trữ, xử lý hoặc truyền dữ liệu tài khoản thẻ, và cho các hệ thống có thể ảnh hưởng đến bảo mật của dữ liệu đó. Tiêu chuẩn đặt 12 requirements dưới 6 mục tiêu; mỗi requirement lại có nhiều yêu cầu con đánh số như 8.4.2 hay 11.3.2. Bảng dưới tóm tắt từng requirement theo PCI DSS v4.0.1 (PCI SSC Document Library).
| Mục tiêu | Requirement | Nội dung chính |
|---|---|---|
| Xây dựng và duy trì mạng, hệ thống an toàn | 1 | Cài đặt và duy trì network security controls (firewall, security group, segmentation) quanh CDE; cấu hình được review ít nhất 6 tháng một lần (1.2.7) |
| Xây dựng và duy trì mạng, hệ thống an toàn | 2 | Áp dụng cấu hình an toàn cho mọi system component: bỏ mật khẩu và cài đặt mặc định, tắt dịch vụ không cần thiết |
| Bảo vệ dữ liệu tài khoản | 3 | Bảo vệ dữ liệu tài khoản được lưu: chỉ lưu khi cần, PAN phải không đọc được (mã hóa, truncation, tokenization, hash), không lưu Sensitive Authentication Data sau authorization |
| Bảo vệ dữ liệu tài khoản | 4 | Mã hóa mạnh khi truyền PAN qua mạng công cộng mở |
| Duy trì chương trình quản lý lỗ hổng | 5 | Bảo vệ hệ thống và mạng khỏi malware |
| Duy trì chương trình quản lý lỗ hổng | 6 | Phát triển và duy trì phần mềm an toàn: vá lỗi theo mức nghiêm trọng, secure SDLC, bảo vệ ứng dụng web public, quản lý script trên trang thanh toán (6.4.3) |
| Triển khai kiểm soát truy cập mạnh | 7 | Giới hạn truy cập theo nhu cầu nghiệp vụ (least privilege); review tài khoản người dùng ít nhất 6 tháng một lần (7.2.4) |
| Triển khai kiểm soát truy cập mạnh | 8 | Định danh và xác thực người dùng; MFA cho mọi truy cập không qua console vào CDE (8.4.2) |
| Triển khai kiểm soát truy cập mạnh | 9 | Kiểm soát truy cập vật lý tới dữ liệu thẻ và bảo vệ thiết bị POI khỏi bị can thiệp |
| Giám sát và kiểm thử mạng thường xuyên | 10 | Ghi log và giám sát mọi truy cập; giữ log ít nhất 12 tháng, 3 tháng gần nhất truy xuất được ngay (10.5.1) |
| Giám sát và kiểm thử mạng thường xuyên | 11 | Kiểm thử bảo mật định kỳ: quét lỗ hổng nội bộ và ASV bên ngoài mỗi quý (11.3), penetration test hằng năm (11.4), phát hiện thay đổi trên trang thanh toán (11.6.1) |
| Duy trì chính sách an toàn thông tin | 12 | Chính sách, targeted risk analysis (12.3.1), đào tạo, ứng phó sự cố, quản lý nhà cung cấp dịch vụ bên thứ ba (12.8, 12.9), xác nhận phạm vi định kỳ (12.5.2) |
Số hiệu yêu cầu con trong bảng tham chiếu theo cấu trúc PCI DSS v4.0.1; khi triển khai, đối chiếu trực tiếp với bản tiêu chuẩn tải từ thư viện tài liệu của PCI SSC.
Requirement nào thay đổi nhiều nhất trong PCI DSS v4.x?
Thay đổi lớn nhất nằm ở requirement 8, 6, 11 và 12. MFA mở rộng từ truy cập từ xa sang mọi truy cập không qua console vào CDE (8.4.2). Trang thanh toán phải có inventory và cơ chế cho phép script (6.4.3) cùng cơ chế phát hiện thay đổi trái phép (11.6.1). Đánh giá rủi ro tổng thể hằng năm của v3.2.1 được thay bằng targeted risk analysis cho từng yêu cầu có tần suất linh hoạt (12.3.1). Ngoài ra tổ chức có thể chọn customized approach thay cho defined approach ở từng yêu cầu.
Tất cả yêu cầu future-dated của v4.0 đã bắt buộc từ ngày 31/3/2025 (PCI SSC). Mốc thời gian và danh sách yêu cầu mới có trong PCI DSS v4.0: những thay đổi quan trọng.
12 requirements áp dụng cho hệ thống nào?
12 requirements áp dụng cho mọi system component trong phạm vi: hệ thống trong Cardholder Data Environment (CDE), hệ thống kết nối tới CDE, và hệ thống có thể ảnh hưởng đến bảo mật của CDE như máy chủ xác thực, hệ thống log hay jump server. Phạm vi càng hẹp thì càng ít hệ thống phải đáp ứng đầy đủ 12 requirements, nên xác định phạm vi là việc làm trước tiên.
Cách vẽ data flow, phân loại hệ thống và kiểm tra segmentation được hướng dẫn từng bước ở bài xác định phạm vi PCI DSS. Dữ liệu nào được phép lưu và dữ liệu nào tuyệt đối không được lưu có trong Cardholder Data và SAD.
Có phải đáp ứng cả 12 requirements không?
Về nguyên tắc có, nhưng mức độ phụ thuộc vào kiến trúc thanh toán và cách bạn xác nhận tuân thủ. Merchant dùng trang thanh toán hosted hoàn toàn của nhà cung cấp đủ điều kiện SAQ A chỉ phải trả lời một tập nhỏ yêu cầu; merchant lưu dữ liệu thẻ hoặc service provider thường làm SAQ D hoặc ROC với gần như toàn bộ yêu cầu. Cách chọn đúng loại có trong SAQ PCI DSS là gì và SAQ vs ROC.
pTrackly giúp gì khi triển khai 12 requirements?
pTrackly có sẵn framework PCI DSS 4.0.1 với requirement, control, policy template và evidence task, nên gap assessment bắt đầu từ danh sách yêu cầu đúng phiên bản thay vì bảng tính tự dựng. Control dùng chung với ISO 27001 hoặc SOC 2 nếu doanh nghiệp đã có, và mỗi evidence task có tần suất và người phụ trách. pTrackly không phải QSA hay ASV và không lập ROC; xác định phạm vi và kết luận tuân thủ vẫn thuộc về đội của bạn và assessor. Xem PCI DSS trên pTrackly.
Câu hỏi thường gặp
PCI DSS có áp dụng cho doanh nghiệp Việt Nam không xử lý trực tiếp thẻ quốc tế không?
Có thể. Nếu hệ thống của bạn lưu, xử lý, truyền dữ liệu thẻ của các thương hiệu thẻ quốc tế, hoặc có thể ảnh hưởng đến bảo mật của hệ thống làm việc đó, bạn nằm trong phạm vi PCI DSS theo hợp đồng với acquirer hoặc với khách hàng.
Doanh nghiệp nhỏ có phải thuê QSA không?
Không nhất thiết. Merchant level do từng thương hiệu thẻ quy định, và merchant level thấp thường được acquirer cho phép tự đánh giá bằng SAQ; hãy xác nhận cách validate với acquirer của bạn.
Customized approach có phù hợp với doanh nghiệp mới bắt đầu không?
Thường không. Customized approach yêu cầu targeted risk analysis và tài liệu chứng minh control đạt mục tiêu của yêu cầu, nên phù hợp với tổ chức có chương trình bảo mật trưởng thành; doanh nghiệp mới nên bắt đầu với defined approach.
PCI DSS v4.0 còn dùng được không?
Không. PCI DSS v4.0 ngừng hiệu lực ngày 31/12/2024; PCI DSS v4.0.1 là phiên bản duy nhất đang áp dụng (PCI SSC).
Nếu bạn đang lập kế hoạch triển khai hoặc duy trì PCI DSS, đặt lịch trao đổi với pTrackly để xem cách theo dõi 12 requirements và evidence ở một nơi.
pTrackly giúp bạn triển khai PCI-DSS nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí