Tóm tắt
Cấp độ PCI DSS do từng thương hiệu thẻ quy định theo khối lượng giao dịch; cách merchant và payment provider Việt Nam biết mình thuộc cấp nào.
Cấp độ PCI DSS (merchant level và service provider level) do từng thương hiệu thẻ như Visa và Mastercard quy định, không phải do PCI SSC. Visa xếp merchant theo tổng khối lượng giao dịch Visa trong 12 tháng, và ngân hàng thanh toán (acquirer) là bên cho bạn biết mình thuộc cấp nào, phải nộp ROC hay SAQ, có cần quét ASV hay không.
Bài này dành cho merchant thương mại điện tử, ví điện tử và payment gateway Việt Nam đang được acquirer hoặc đối tác quốc tế hỏi về PCI DSS. Bạn sẽ biết cấp độ được xác định thế nào, mỗi hình thức xác nhận nghĩa là gì và cần hỏi acquirer những câu nào.
Ai quy định cấp độ PCI DSS?
PCI SSC (PCI Security Standards Council) viết và duy trì tiêu chuẩn PCI DSS, hiện là v4.0.1, nhưng không quy định ai phải xác nhận tuân thủ theo cách nào. Phần đó thuộc chương trình tuân thủ riêng của từng thương hiệu thẻ. Trang Visa security compliance nêu rõ cấp độ merchant được xác định bởi tổng khối lượng giao dịch Visa trong 12 tháng, acquirer phải bảo đảm merchant xác nhận tuân thủ đúng cấp, còn issuer và acquirer phải bảo đảm service provider của họ chứng minh tuân thủ PCI DSS. Visa quản lý việc thực thi.
Hệ quả thực tế: cùng một doanh nghiệp có thể thuộc cấp khác nhau với Visa và Mastercard, và hợp đồng với acquirer có thể đặt yêu cầu cao hơn mức tối thiểu của thương hiệu thẻ. Không có "chứng nhận PCI DSS cấp 1" do PCI SSC cấp; thứ bạn nộp là ROC hoặc SAQ kèm AOC (Attestation of Compliance).
Merchant level khác service provider level thế nào?
Merchant là bên bán hàng và nhận thanh toán thẻ từ khách. Service provider là bên lưu, xử lý hoặc truyền dữ liệu thẻ thay cho người khác, hoặc có thể ảnh hưởng đến bảo mật dữ liệu thẻ của người khác: payment gateway, ví điện tử xử lý thẻ cho merchant, nhà cung cấp hosting hay dịch vụ managed security cho CDE của khách hàng. Một công ty có thể vừa là merchant (khi tự bán hàng) vừa là service provider (khi xử lý thẻ cho đối tác).
| Tiêu chí | Merchant | Service provider |
|---|---|---|
| Ai xếp cấp | Thương hiệu thẻ, qua acquirer | Thương hiệu thẻ, qua acquirer hoặc issuer đang dùng dịch vụ |
| Căn cứ chính | Khối lượng giao dịch của thương hiệu đó trong 12 tháng; có thể bị nâng cấp sau sự cố | Khối lượng giao dịch xử lý hoặc lưu trữ thay khách hàng; mỗi thương hiệu có ngưỡng riêng |
| Hình thức xác nhận thường gặp ở cấp cao nhất | ROC do QSA thực hiện và AOC | ROC do QSA thực hiện và AOC |
| Hình thức xác nhận ở cấp thấp hơn | SAQ phù hợp với cách tích hợp thanh toán và AOC | SAQ D for Service Providers và AOC, nếu thương hiệu cho phép |
Bảng trên mô tả cách các chương trình thường vận hành; ngưỡng và hình thức cụ thể phải lấy từ acquirer và tài liệu của từng thương hiệu thẻ.
Các cấp merchant của Visa thường được trích dẫn là gì?
Trang Visa hiện tại chỉ nói cấp độ phụ thuộc khối lượng giao dịch 12 tháng mà không liệt kê con số. Các ngưỡng dưới đây là những mức được trích dẫn phổ biến trong ngành cho merchant Visa; dùng để định hướng, không dùng để tự kết luận, và luôn xác nhận với acquirer của bạn:
| Cấp (thường được trích dẫn) | Khối lượng giao dịch Visa trong 12 tháng | Hình thức xác nhận thường gặp |
|---|---|---|
| Level 1 | Trên 6 triệu giao dịch ở mọi kênh, hoặc merchant bị Visa xếp vào Level 1 sau sự cố | ROC do QSA (hoặc internal auditor đủ điều kiện, nếu acquirer chấp nhận), AOC, quét ASV hằng quý |
| Level 2 | Từ 1 đến 6 triệu giao dịch ở mọi kênh | SAQ và AOC, quét ASV nếu SAQ yêu cầu; acquirer có thể đòi ROC |
| Level 3 | Từ 20.000 đến 1 triệu giao dịch thương mại điện tử | SAQ và AOC, quét ASV nếu SAQ yêu cầu |
| Level 4 | Dưới 20.000 giao dịch thương mại điện tử, hoặc đến 1 triệu giao dịch ở kênh khác | Do acquirer quyết định; thường là SAQ |
Mastercard và các thương hiệu khác có chương trình riêng với tiêu chí không hoàn toàn trùng Visa, và có thể xếp merchant theo cấp mà merchant đó có với thương hiệu khác. Vì vậy câu trả lời đúng cho câu hỏi "tôi thuộc cấp nào" luôn đến từ acquirer.
Làm sao merchant hoặc payment provider Việt Nam biết mình thuộc cấp nào?
- Hỏi acquirer bằng văn bản. Ngân hàng thanh toán ký hợp đồng chấp nhận thẻ với bạn là bên chịu trách nhiệm về việc bạn xác nhận tuân thủ. Hỏi: tôi thuộc cấp nào với từng thương hiệu, phải nộp ROC hay SAQ, loại SAQ nào, có cần quét ASV không, hạn nộp AOC là khi nào.
- Tổng hợp khối lượng giao dịch 12 tháng theo từng thương hiệu và từng kênh (thương mại điện tử, POS, MOTO). Visa tính theo tổng của pháp nhân, gồm cả thẻ tín dụng, ghi nợ và trả trước.
- Xác định bạn có phải service provider không. Nếu bạn xử lý thẻ cho merchant khác, đối tác và acquirer của họ sẽ yêu cầu AOC service provider của bạn, độc lập với cấp merchant.
- Ghi lại cách tích hợp thanh toán, vì nó quyết định loại SAQ: redirect hoặc iframe của processor, direct post, hay tự xử lý thẻ trên hệ thống của mình. Xem SAQ PCI DSS là gì và cách chọn đúng loại.
- Lưu xác nhận của acquirer làm evidence và rà lại mỗi năm, vì khối lượng giao dịch thay đổi có thể đẩy bạn lên cấp cao hơn.
Mỗi hình thức xác nhận nghĩa là gì?
- ROC (Report on Compliance): báo cáo đánh giá đầy đủ từng yêu cầu PCI DSS áp dụng, do QSA (Qualified Security Assessor) được PCI SSC công nhận thực hiện, đôi khi do internal security assessor đủ điều kiện nếu thương hiệu thẻ cho phép. Xem QSA là gì và ROC.
- SAQ (Self-Assessment Questionnaire): bảng tự đánh giá; mỗi loại SAQ chỉ gồm các yêu cầu phù hợp với một cách tích hợp thanh toán. So sánh hai hình thức ở SAQ vs ROC.
- AOC (Attestation of Compliance): bản xác nhận tuân thủ đi kèm ROC hoặc SAQ, là tài liệu acquirer và đối tác thường yêu cầu. Mẫu ROC, các loại SAQ và AOC đều có trong thư viện tài liệu PCI SSC.
- Quét ASV: quét lỗ hổng từ bên ngoài do Approved Scanning Vendor thực hiện ít nhất mỗi quý (yêu cầu 11.3.2) với những môi trường mà ROC hoặc SAQ của bạn yêu cầu.
pTrackly giúp gì khi bạn chuẩn bị cho cấp độ của mình?
pTrackly có sẵn framework PCI DSS 4.0.1 với requirement, control và evidence task có tần suất và nhắc hạn, nên xác nhận cấp độ của acquirer, AOC, báo cáo quét ASV hằng quý và tài liệu phạm vi được gắn vào đúng yêu cầu và có ngày review. Access review, module Vendors và Pentest giúp theo dõi các yêu cầu định kỳ. pTrackly không phải QSA hay ASV, không xếp cấp cho bạn và không phát hành ROC hay AOC; quyết định cấp độ thuộc về thương hiệu thẻ và acquirer.
Câu hỏi thường gặp
PCI SSC có xếp cấp độ cho merchant không?
Không. PCI SSC quản lý tiêu chuẩn PCI DSS; cấp độ merchant và service provider do từng thương hiệu thẻ quy định và acquirer áp dụng cho bạn.
Level 1 có bắt buộc phải có QSA không?
Với Level 1, hình thức thường được yêu cầu là ROC do QSA thực hiện kèm AOC, nhưng một số thương hiệu cho phép internal security assessor đủ điều kiện ký ROC. Xác nhận với acquirer trước khi lập kế hoạch.
Merchant nhỏ ở Việt Nam có phải tuân thủ PCI DSS không?
Có, mọi merchant chấp nhận thẻ của các thương hiệu này đều phải tuân thủ PCI DSS; cấp độ chỉ quyết định cách xác nhận tuân thủ. Merchant nhỏ thường làm SAQ, và loại SAQ phụ thuộc cách tích hợp thanh toán.
Payment gateway có cần AOC riêng không?
Có. Service provider cần AOC dành cho service provider để merchant và acquirer của họ dùng làm bằng chứng; AOC merchant không thay thế được AOC service provider.
Bước tiếp theo là xác định phạm vi hệ thống trong hướng dẫn xác định phạm vi PCI DSS và, nếu muốn thu hẹp phạm vi, đọc cách giảm phạm vi PCI DSS bằng tokenization và segmentation. Tổng quan về chuẩn có ở PCI DSS là gì và trang PCI DSS trên pTrackly.
