Trả lời ngắn
PCI DSS compliance checklist theo v4.0.1: phạm vi CDE, segmentation, mã hóa, MFA, quét ASV hằng quý, pentest hằng năm, log và tài liệu cho assessor.
PCI DSS compliance checklist dưới đây liệt kê những việc cần xong trước khi làm SAQ hoặc gặp QSA, theo PCI DSS v4.0.1: xác định phạm vi CDE, kiểm soát mạng, bảo vệ dữ liệu thẻ, quản lý truy cập, quét lỗ hổng và pentest, log, rồi tài liệu chính sách. Mỗi mục ghi yêu cầu liên quan để đội kỹ thuật đối chiếu với tiêu chuẩn.
Phải làm gì trước tiên trong PCI DSS compliance checklist?
Việc đầu tiên là xác định phạm vi, vì mọi mục khác chỉ áp dụng cho hệ thống trong phạm vi. Liệt kê luồng dữ liệu thẻ từ lúc khách nhập đến lúc lưu hoặc chuyển đi, đánh dấu hệ thống trong Cardholder Data Environment (CDE), hệ thống kết nối tới CDE và hệ thống có thể ảnh hưởng đến bảo mật của CDE. PCI DSS v4.0.1 yêu cầu ghi lại và xác nhận phạm vi ít nhất 12 tháng một lần và khi có thay đổi lớn (12.5.2); service provider phải làm 6 tháng một lần (12.5.2.1).
- Vẽ sơ đồ mạng và sơ đồ luồng dữ liệu thẻ, lưu kèm ngày cập nhật.
- Lập inventory system component trong phạm vi, kể cả hệ thống log, xác thực và quản trị.
- Xác định merchant hay service provider và loại SAQ hoặc ROC áp dụng, rồi xác nhận với acquirer.
- Nếu dùng segmentation để loại hệ thống khỏi phạm vi, lên lịch pentest kiểm tra segmentation.
Hướng dẫn chi tiết từng bước có ở bài xác định phạm vi PCI DSS.
Checklist kỹ thuật cần đáp ứng những gì?
Bảng dưới gom các mục kỹ thuật assessor thường kiểm tra, kèm yêu cầu PCI DSS v4.0.1 và tần suất tối thiểu. Số hiệu tham chiếu theo bản tiêu chuẩn trong thư viện tài liệu PCI SSC.
| Hạng mục | Việc cần có | Yêu cầu | Tần suất tối thiểu |
|---|---|---|---|
| Network security controls | Rule firewall/security group tối thiểu cần thiết quanh CDE, không có đường trực tiếp từ internet vào hệ thống lưu PAN | 1.2–1.4; review cấu hình 1.2.7 | Review ít nhất 6 tháng một lần |
| Cấu hình an toàn | Bỏ mật khẩu mặc định, tắt dịch vụ không dùng, có configuration standard | 2.2 | Khi triển khai và khi thay đổi |
| Dữ liệu lưu trữ | Không lưu SAD sau authorization; PAN không đọc được khi lưu; quản lý khóa có custodian | 3.3.1, 3.5.1, 3.6–3.7 | Liên tục |
| Dữ liệu truyền | Mã hóa mạnh khi truyền PAN qua mạng công cộng | 4.2.1 | Liên tục |
| Truy cập | Tài khoản riêng từng người, least privilege, MFA cho mọi truy cập không qua console vào CDE | 7.2, 8.2, 8.4.2 | Review tài khoản 6 tháng một lần (7.2.4) |
| Quét lỗ hổng | Quét nội bộ và quét bên ngoài bởi ASV, xử lý lỗ hổng high/critical, quét lại sau khi sửa | 11.3.1, 11.3.2 | Mỗi quý và sau thay đổi lớn |
| Penetration test | Pentest network và application layer cho toàn bộ CDE; kiểm tra segmentation nếu có | 11.4.1–11.4.3, 11.4.5 | Hằng năm và sau thay đổi lớn |
| Log | Log truy cập và thay đổi, review tự động, giữ 12 tháng (3 tháng truy xuất ngay) | 10.2, 10.4.1.1, 10.5.1 | Review log hằng ngày |
| Trang thanh toán | Inventory và cho phép script trên trang thanh toán; phát hiện thay đổi trái phép | 6.4.3, 11.6.1 | Theo tần suất trong 11.6.1 |
Pentest không bắt buộc do QSA làm; người kiểm thử nội bộ có năng lực hoặc bên thứ ba đều được, miễn là độc lập về tổ chức với hệ thống được test. Nếu cần dịch vụ bên ngoài, xem dịch vụ pentest của pTrackly.
Checklist tài liệu và vận hành gồm những gì?
Assessor kiểm tra cả việc control có vận hành đều đặn hay không, nên tài liệu và bằng chứng định kỳ quan trọng ngang cấu hình kỹ thuật. Cần có chính sách an toàn thông tin được review hằng năm (12.1.2), targeted risk analysis cho các yêu cầu có tần suất linh hoạt (12.3.1), chương trình đào tạo nhận thức bảo mật (12.6), kế hoạch ứng phó sự cố được test (12.10), danh sách nhà cung cấp dịch vụ bên thứ ba cùng trạng thái PCI DSS của họ (12.8) và bằng chứng của từng kỳ quét, review, pentest.
pTrackly hỗ trợ checklist này thế nào?
pTrackly có sẵn framework PCI DSS 4.0.1 với control, policy template và evidence task. Mỗi task có tần suất và ngày review; pTrackly nhắc người phụ trách 7, 3 và 1 ngày trước hạn và escalation task trễ hạn. Access review gom tài khoản và chuyển cho người review, không ai tự duyệt quyền của mình. Module Pentest theo dõi lỗ hổng đến khi khắc phục. pTrackly không phải ASV hay QSA và không thay SIEM; phần nào tự động hóa được và phần nào vẫn cần người có trong bài tự động hóa tuân thủ PCI DSS.
Câu hỏi thường gặp
Doanh nghiệp nhỏ có cần PCI DSS không?
Có, nếu lưu, xử lý hoặc truyền dữ liệu thẻ hay có thể ảnh hưởng đến bảo mật của hệ thống làm việc đó. Quy mô chỉ quyết định cách xác nhận tuân thủ (SAQ hay ROC), không quyết định có phải tuân thủ hay không.
Dùng payment gateway bên thứ ba có giảm phạm vi PCI DSS không?
Có, nếu dữ liệu thẻ không đi qua và không được lưu trên hệ thống của bạn, ví dụ khi chuyển khách sang trang thanh toán hosted của nhà cung cấp. Bạn vẫn phải ghi lại kiến trúc này, giữ AOC của nhà cung cấp và hoàn thành SAQ phù hợp.
PCI DSS compliance mất bao lâu?
Phụ thuộc phạm vi CDE, số control còn thiếu và cách xác nhận (SAQ hay ROC), nên không có con số chung. Các giai đoạn và yếu tố kéo dài thời gian được phân tích trong PCI DSS mất bao lâu.
Quét ASV có phải làm khi chỉ dùng trang thanh toán hosted không?
Tùy loại SAQ và tài sản public trong phạm vi. Hãy xác nhận với acquirer; khi bắt buộc, quét bên ngoài phải do Approved Scanning Vendor được PCI SSC công nhận thực hiện mỗi quý.
Nếu bạn muốn theo dõi checklist này, evidence và deadline ở một nơi thay vì spreadsheet, đặt lịch trao đổi với pTrackly.
pTrackly giúp bạn triển khai PCI-DSS nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí