Tóm tắt
Xác định phạm vi PCI DSS là tìm mọi hệ thống trong CDE, kết nối tới CDE hoặc ảnh hưởng bảo mật của nó; bài hướng dẫn 5 bước scoping cho team kỹ thuật.
Xác định phạm vi PCI DSS là liệt kê mọi người, quy trình và hệ thống lưu, xử lý hoặc truyền dữ liệu thẻ (Cardholder Data Environment, CDE), cộng với mọi hệ thống kết nối tới CDE hoặc có thể ảnh hưởng đến bảo mật của nó. Phạm vi phải được ghi lại và xác nhận ít nhất mỗi năm.
CDE là gì?
CDE là toàn bộ người, quy trình và công nghệ lưu, xử lý hoặc truyền cardholder data (CHD) hay sensitive authentication data (SAD). CHD gồm PAN, tên chủ thẻ, ngày hết hạn và service code; SAD gồm dữ liệu track, CVV/CVC và PIN, và không được lưu sau authorization kể cả khi đã mã hóa (PCI DSS v4.0.1, Requirement 3). CDE không chỉ là database chứa số thẻ: application server gọi database đó, mạng có traffic thẻ đi qua, hệ thống log ghi lại request, và backup chứa dữ liệu lịch sử đều nằm trong CDE nếu chúng chạm vào CHD hoặc SAD.
Dữ liệu nào được phép lưu và điều kiện đi kèm được giải thích riêng ở Cardholder Data và SAD. Bài này tập trung vào quy trình xác định phạm vi.
Hệ thống nào nằm trong phạm vi PCI DSS?
PCI SSC phân hệ thống thành ba nhóm theo thứ tự ưu tiên trong hướng dẫn Guidance for PCI DSS Scoping and Network Segmentation. Một hệ thống thỏa bất kỳ tiêu chí nào của nhóm cao hơn thì thuộc nhóm đó; muốn ra khỏi phạm vi, hệ thống phải thỏa tất cả tiêu chí out-of-scope và không thỏa tiêu chí nào của hai nhóm còn lại.
| Nhóm | Tiêu chí | Ví dụ |
|---|---|---|
| CDE systems | Lưu, xử lý hoặc truyền CHD/SAD, hoặc nằm cùng network segment không tách biệt với hệ thống đó | Payment API, database lưu PAN, server log ghi request chứa PAN |
| Connected-to và security-impacting systems | Kết nối tới CDE, cung cấp dịch vụ bảo mật cho CDE, hoặc có thể ảnh hưởng đến cấu hình, bảo mật của CDE | Active Directory cấp quyền vào CDE, jump server, hệ thống log/SIEM nhận log từ CDE, CI/CD deploy vào CDE |
| Out-of-scope systems | Không lưu, xử lý, truyền CHD; không cùng segment với CDE; không kết nối và không ảnh hưởng được bảo mật của CDE | Wiki nội bộ, công cụ marketing ở network tách biệt có kiểm chứng |
Hướng dẫn này không thay thế yêu cầu của PCI DSS. Năm 2024 PCI SSC bổ sung hướng dẫn cho kiến trúc hiện đại như zero trust, micro-segmentation và multi-cloud (PCI SSC, 9/2024).
Xác định phạm vi PCI DSS theo những bước nào?
Quy trình dưới đây là cách nhiều team kỹ thuật làm trước gap assessment; mỗi bước tạo ra một tài liệu assessor sẽ hỏi.
- Vẽ luồng dữ liệu thẻ. Theo dấu PAN từ lúc khách nhập (web, app, tổng đài) qua từng service, queue, log, backup đến khi bị xóa hoặc chuyển cho processor. Kết quả: sơ đồ data flow có ngày cập nhật.
- Lập inventory system component. Liệt kê mọi máy chủ, container, dịch vụ cloud, công cụ SaaS và tài khoản chạm vào luồng đó. Kết quả: inventory có owner từng mục.
- Phân loại từng hệ thống vào ba nhóm trong bảng trên, ghi lý do. Kết quả: bảng phân loại assessor có thể kiểm tra lại.
- Kiểm chứng segmentation. Nếu dùng firewall, VLAN hay security group để loại hệ thống khỏi phạm vi, segmentation phải được pentest ít nhất hằng năm và sau thay đổi (11.4.5); service provider làm 6 tháng một lần (11.4.6). Kết quả: báo cáo pentest segmentation.
- Ghi lại và xác nhận phạm vi định kỳ. PCI DSS v4.0.1 yêu cầu ghi lại phạm vi và xác nhận ít nhất 12 tháng một lần và khi có thay đổi lớn (12.5.2); service provider làm mỗi 6 tháng (12.5.2.1). Kết quả: biên bản xác nhận phạm vi có người duyệt.
Số hiệu yêu cầu tham chiếu theo PCI DSS v4.0.1 trong thư viện tài liệu PCI SSC.
Làm sao thu hẹp phạm vi PCI DSS?
Ba cách phổ biến là tokenization, trang thanh toán của nhà cung cấp và segmentation. Tokenization thay PAN bằng token vô giá trị bên ngoài hệ thống của processor; database chỉ lưu token thì không còn lưu CHD. Trang thanh toán của nhà cung cấp, dù chuyển hướng (redirect) hay nhúng bằng iframe, khiến PAN đi thẳng từ trình duyệt tới processor mà không qua server của bạn. Segmentation tách các hệ thống không liên quan ra khỏi network của CDE. Cách làm từng phương án và những gì vẫn còn trong phạm vi có trong bài giảm phạm vi PCI DSS bằng tokenization và segmentation.
Cách tích hợp ảnh hưởng trực tiếp đến loại SAQ. Theo PCI SSC, redirect và iframe dùng SAQ A, còn "direct post", khi trang của bạn tạo form và gửi dữ liệu thẻ thẳng tới processor, dùng SAQ A-EP. Từ năm 2025, merchant nhúng form thanh toán bằng iframe phải xác nhận website không dễ bị tấn công bằng script; điều kiện này không áp dụng cho redirect (PCI SSC FAQ 1588). Chi tiết ở SAQ PCI DSS là gì.
Sai lầm nào hay làm phạm vi bị tính sai?
Lỗi thường gặp nhất là chỉ tính database lưu thẻ mà quên application server, hệ thống log, backup và monitoring xung quanh. Lỗi thứ hai là bỏ qua người và quy trình: developer có quyền SSH vào server trong CDE, cách cấp và thu hồi quyền đó đều là bằng chứng assessor sẽ hỏi. Lỗi thứ ba là dùng tokenization ở tầng thanh toán nhưng log toàn bộ request payload khi lỗi để debug; nếu payload chứa PAN, file log đó là CHD, và công cụ gom log nhận file đó cũng vào phạm vi. Lỗi cuối là xác định phạm vi một lần rồi không cập nhật khi thêm integration, đổi kiến trúc mạng hay cấp quyền production cho team mới.
pTrackly giúp gì khi xác định phạm vi?
pTrackly có sẵn framework PCI DSS 4.0.1 với requirement, control và evidence task, nên tài liệu phạm vi, sơ đồ mạng và báo cáo pentest segmentation được gắn vào đúng yêu cầu và có ngày review định kỳ. Inventory người, thiết bị và tài sản giúp đối chiếu danh sách system component, và module Pentest theo dõi lỗ hổng đến khi khắc phục. pTrackly không tự vẽ data flow hay quyết định hệ thống nào trong phạm vi; việc đó thuộc về đội kỹ thuật của bạn và assessor. Xem PCI DSS trên pTrackly.
Câu hỏi thường gặp
Hệ thống không chứa dữ liệu thẻ có thể nằm trong phạm vi PCI DSS không?
Có. Hệ thống kết nối tới CDE hoặc có thể ảnh hưởng đến bảo mật của CDE, như máy chủ xác thực, jump server hay hệ thống log, nằm trong phạm vi dù không lưu dữ liệu thẻ.
Dùng Stripe hay cổng thanh toán hosted có đưa hệ thống ra khỏi phạm vi không?
Phần lớn hệ thống của bạn có thể ra khỏi CDE nếu PAN không bao giờ đi qua server, nhưng website tạo trang thanh toán hoặc chuyển hướng khách vẫn ảnh hưởng đến luồng thanh toán và vẫn phải đáp ứng SAQ tương ứng.
Bao lâu phải xác nhận lại phạm vi PCI DSS?
Ít nhất 12 tháng một lần và khi có thay đổi lớn với merchant (12.5.2); service provider phải xác nhận 6 tháng một lần (12.5.2.1).
Segmentation có bắt buộc không?
Không bắt buộc, nhưng không có segmentation thì toàn bộ mạng phẳng thuộc phạm vi. Nếu dùng segmentation để thu hẹp phạm vi, bạn phải pentest để chứng minh nó hiệu quả.
Các bước tiếp theo sau khi có phạm vi được tổng hợp trong PCI DSS compliance checklist. Nếu bạn muốn giữ tài liệu phạm vi và evidence ở một nơi, đặt lịch trao đổi với pTrackly.
