PCI DSS v4.0: Những Thay Đổi Quan Trọng Cần Biết

PCI DSS v4.0 là phiên bản PCI Security Standards Council phát hành năm 2022, thêm 64 yêu cầu mới, trong đó 51 yêu cầu "future-dated" bắt buộc từ 31/3/2025. Bản v4.0.1 (6/2024) chỉ làm rõ câu chữ, không thêm hay bỏ yêu cầu, và từ 1/1/2025 là phiên bản duy nhất còn hiệu lực. Ba thay đổi lớn: Customized Approach, MFA rộng hơn và bảo mật trang thanh toán.

PCI DSS v4.0 khác gì v3.2.1?

PCI DSS (Payment Card Industry Data Security Standard) vẫn giữ 12 requirements, nhưng v4.0 thay đổi cách đạt chúng: cho phép Customized Approach bên cạnh Defined Approach, mở rộng MFA, bổ sung yêu cầu cho trang thanh toán thương mại điện tử và cho phép doanh nghiệp tự xác định tần suất một số hoạt động bằng targeted risk analysis. Theo PCI SSC, v4.0 có 64 yêu cầu mới; 51 trong số đó được lùi hạn ("future-dated") để doanh nghiệp có thời gian triển khai.

Nguồn: PCI SSC, thông báo v4.0.1 và thư viện tài liệu PCI SSC. Tổng quan 12 requirements có trong bài PCI DSS 12 requirements.

Customized Approach là gì và ai nên dùng?

Customized Approach cho phép doanh nghiệp tự thiết kế biện pháp kiểm soát cho một requirement, miễn là chứng minh được mục tiêu bảo mật (security objective) của requirement đó vẫn đạt. Defined Approach là cách truyền thống: làm đúng như mô tả trong tiêu chuẩn. Đổi lại sự linh hoạt, doanh nghiệp phải lập tài liệu và targeted risk analysis cho từng control tùy chỉnh, và assessor phải tự xây dựng thủ tục kiểm thử cho control đó.

Customized Approach phù hợp với môi trường cloud-native hoặc microservices khó áp dụng nguyên văn một số kiểm soát cũ, và với đội security đủ trưởng thành để tài liệu hóa. Theo hướng dẫn PCI SSC, Customized Approach không dùng được với SAQ; doanh nghiệp tự đánh giá bằng SAQ dùng Defined Approach.

Yêu cầu MFA trong PCI DSS v4.0 thay đổi thế nào?

Trong v3.2.1, MFA chủ yếu bắt buộc cho truy cập từ xa vào cardholder data environment (CDE) và cho quản trị viên. PCI DSS v4.0 (Requirement 8.4.2) yêu cầu MFA cho mọi truy cập non-console vào CDE, kể cả người dùng thường và truy cập từ trong mạng nội bộ; Requirement 8.5.1 thêm yêu cầu hệ thống MFA phải chống replay attack và không thể bị bỏ qua. Đây là yêu cầu future-dated, bắt buộc từ 31/3/2025.

Việc cần làm: kiểm kê mọi đường truy cập vào CDE (VPN, bastion, console cloud, công cụ quản trị cơ sở dữ liệu), đặc biệt các hệ thống nội bộ trước đây được miễn, và xác nhận từng đường đều có MFA đúng yêu cầu. Danh sách đầy đủ có trong PCI DSS checklist.

Yêu cầu 6.4.3 và 11.6.1 về trang thanh toán là gì?

PCI DSS v4.0 thêm hai yêu cầu nhắm vào tấn công skimming phía trình duyệt (kiểu Magecart):

1. Requirement 6.4.3: quản lý mọi script chạy trên trang thanh toán trong trình duyệt khách hàng: có danh sách script, lý do cần từng script, cơ chế xác nhận script được phép và kiểm tra tính toàn vẹn.
2. Requirement 11.6.1: có cơ chế phát hiện thay đổi trái phép với HTTP header ảnh hưởng bảo mật và nội dung script của trang thanh toán, chạy ít nhất mỗi tuần hoặc theo tần suất xác định bằng targeted risk analysis.

Ngày 30/1/2025, PCI SSC đã bỏ 6.4.3 và 11.6.1 (cùng 12.3.1) khỏi SAQ A, thay bằng điều kiện merchant xác nhận website không bị tấn công bằng script ảnh hưởng hệ thống thương mại điện tử. Doanh nghiệp không đủ điều kiện SAQ A, hoặc tự host trang thanh toán, vẫn phải đáp ứng cả hai yêu cầu.

Doanh nghiệp cần làm gì ngay với PCI DSS v4.0.1?

Vì mọi yêu cầu future-dated đã bắt buộc từ 31/3/2025, đánh giá tiếp theo của bạn sẽ kiểm tra toàn bộ v4.0.1. Các bước ưu tiên:

1. Gap assessment so với v4.0.1, tập trung vào 51 yêu cầu từng là future-dated.
2. Rà soát scope và tài liệu segmentation; xem cách xác định phạm vi CDE.
3. Quyết định requirement nào giữ Defined Approach, requirement nào cần Customized Approach (nếu đánh giá bằng ROC).
4. Lập targeted risk analysis cho các hoạt động có tần suất linh hoạt (Req 12.3.1).
5. Lập kế hoạch remediation theo rủi ro, gồm ngân sách; xem chi phí PCI DSS.

pTrackly hỗ trợ chuyển sang PCI DSS v4.0.1 thế nào?

pTrackly có sẵn framework PCI DSS 4.0.1 với control, policy template và evidence task, nên gap assessment bắt đầu từ danh sách yêu cầu đúng phiên bản thay vì bảng tính tự dựng. Control dùng chung với ISO 27001 hoặc SOC 2 nếu doanh nghiệp đã có. pTrackly không phải QSA, không lập ROC và không thay thế công cụ giám sát script trên trang thanh toán; nó giữ evidence và deadline của từng yêu cầu ở một nơi. Xem trang PCI DSS trên pTrackly.

Câu hỏi thường gặp

PCI DSS v4.0 còn hiệu lực không?

Không. PCI DSS v4.0 hết hiệu lực ngày 31/12/2024; từ 1/1/2025 mọi đánh giá dùng v4.0.1, bản chỉ làm rõ câu chữ và không thêm hay bỏ yêu cầu.

Các yêu cầu future-dated của PCI DSS v4.0 bắt buộc từ khi nào?

Từ 31/3/2025. Từ ngày đó, cả 51 yêu cầu future-dated được kiểm tra trong mọi đánh giá PCI DSS.

PCI DSS v4.0 có áp dụng cho mọi doanh nghiệp nhận thanh toán thẻ không?

Có, nhưng hình thức chứng minh (SAQ hay ROC) phụ thuộc merchant level do card brand và acquirer xác định theo khối lượng giao dịch và kênh thanh toán.

Customized Approach có dễ hơn Defined Approach không?

Không. Customized Approach đòi hỏi tài liệu và targeted risk analysis cho từng control, không dùng được với SAQ, và phù hợp với đội security trưởng thành làm việc cùng QSA có kinh nghiệm.

Nếu bạn cần cấu trúc lại chương trình PCI DSS theo v4.0.1, đặt lịch trao đổi với pTrackly.