Tóm tắt
PCI DSS cho công ty IT outsourcing: khi xây hoặc vận hành hệ thống thanh toán cho khách nước ngoài, bạn thường là service provider với nghĩa vụ riêng.
PCI DSS cho công ty IT outsourcing áp dụng khi bạn lưu, xử lý, truyền dữ liệu thẻ thay khách hàng hoặc có quyền truy cập ảnh hưởng đến bảo mật hệ thống thanh toán của họ. Khi đó bạn là service provider, không phải merchant: bạn xác nhận tuân thủ bằng SAQ D for Service Providers hoặc ROC và cam kết trách nhiệm bằng văn bản với khách hàng.
Khi nào công ty IT outsourcing nằm trong phạm vi PCI DSS?
Công ty IT outsourcing nằm trong phạm vi PCI DSS khi dịch vụ của mình chạm vào dữ liệu thẻ hoặc có thể ảnh hưởng đến bảo mật của môi trường chứa dữ liệu thẻ (CDE) của khách hàng. PCI DSS v4.0.1 định nghĩa service provider là tổ chức không phải thương hiệu thẻ, tham gia trực tiếp vào việc xử lý, lưu, truyền dữ liệu tài khoản thay mặt tổ chức khác, hoặc cung cấp dịch vụ kiểm soát, quản lý có thể ảnh hưởng đến bảo mật dữ liệu đó (PCI SSC Document Library).
| Dịch vụ bạn cung cấp | Thường thuộc phạm vi? | Lý do |
|---|---|---|
| Vận hành payment API, tokenization service, hệ thống lưu thẻ cho khách | Có | Bạn trực tiếp xử lý hoặc lưu dữ liệu thẻ |
| Managed service có quyền admin vào server, mạng hoặc cloud chứa CDE | Có | Quyền truy cập có thể ảnh hưởng đến bảo mật CDE dù bạn không đọc số thẻ |
| Phát triển code cho hệ thống thanh toán, khách tự vận hành | Tùy trường hợp | Phụ thuộc bạn có quyền truy cập production hay deploy vào CDE không |
| Front-end chuyển khách sang trang thanh toán hosted của processor | Thường hẹp hơn | Dữ liệu thẻ không qua hệ thống của bạn, nhưng website vẫn ảnh hưởng đến luồng thanh toán |
| Công cụ HR, quản lý dự án, analytics chỉ nhận dữ liệu đã token hóa | Thường không | Không chạm dữ liệu thẻ và không kết nối với CDE |
Cách phân loại hệ thống trong phạm vi được hướng dẫn ở xác định phạm vi PCI DSS.
Service provider phải xác nhận tuân thủ thế nào?
Service provider xác nhận tuân thủ bằng SAQ D for Service Providers hoặc Report on Compliance (ROC) do Qualified Security Assessor (QSA) lập, kèm Attestation of Compliance (AOC). Service provider level do từng thương hiệu thẻ quy định theo khối lượng giao dịch; level cao cần ROC. Visa yêu cầu service provider chứng minh tuân thủ ít nhất 12 tháng một lần (Visa: security compliance). Ngoài quy định của thương hiệu thẻ, khách hàng lớn thường ghi trong hợp đồng yêu cầu ROC hoặc AOC của bạn, bất kể khối lượng giao dịch.
Một số yêu cầu chỉ dành cho service provider, ví dụ xác nhận phạm vi mỗi 6 tháng (12.5.2.1) và pentest kiểm tra segmentation mỗi 6 tháng (11.4.6). So sánh SAQ và ROC có ở SAQ vs ROC và cách chọn SAQ ở SAQ PCI DSS là gì.
Requirement 12.9 yêu cầu service provider làm gì?
Requirement 12.9 yêu cầu service provider hỗ trợ khách hàng trong việc tuân thủ PCI DSS. Theo 12.9.1, service provider phải xác nhận bằng văn bản với khách hàng rằng mình chịu trách nhiệm bảo mật dữ liệu tài khoản mà mình lưu, xử lý, truyền, hoặc có thể ảnh hưởng. Theo 12.9.2, service provider phải cung cấp khi khách hàng yêu cầu thông tin về trạng thái tuân thủ PCI DSS và yêu cầu nào thuộc trách nhiệm của mình, của khách hàng, hay chia sẻ.
Phía khách hàng có nghĩa vụ tương ứng trong 12.8: giữ danh sách service provider, có thỏa thuận bằng văn bản, thẩm định trước khi thuê, theo dõi trạng thái tuân thủ của service provider ít nhất mỗi năm, và biết yêu cầu nào do service provider nào đảm nhận. Vì vậy QSA của khách hàng sẽ hỏi họ về bạn, và họ sẽ hỏi bạn.
Hợp đồng với khách hàng cần những điều khoản nào?
Hợp đồng dự án thanh toán với khách hàng Mỹ hoặc EU nên có bốn nhóm điều khoản, vì đây là những thứ QSA của khách hàng sẽ kiểm tra.
- Phân chia trách nhiệm PCI DSS theo từng yêu cầu, thường dưới dạng responsibility matrix: bạn, khách hàng hay cả hai.
- Cách chứng minh tuân thủ: bạn cung cấp AOC hằng năm, ROC hay chấp nhận khách hàng audit.
- Thông báo sự cố: thời hạn và kênh báo khi nghi ngờ lộ dữ liệu thẻ. PCI DSS không đặt một con số giờ cụ thể cho việc này; thời hạn đến từ quy định của thương hiệu thẻ, acquirer và chính hợp đồng, nên cần ghi rõ.
- Nhà thầu phụ: liệt kê bên thứ ba bạn dùng có chạm tới dữ liệu thẻ hoặc CDE và trạng thái PCI DSS của họ.
Công ty IT outsourcing nên bắt đầu từ đâu?
Thứ tự hợp lý là xác định phạm vi trước, vì làm SAQ D trên phạm vi sai thì phải làm lại.
- Liệt kê hệ thống và người có quyền truy cập vào môi trường thanh toán của từng khách hàng.
- Xác định bạn là service provider cho khách nào và cho dịch vụ nào.
- Rà hợp đồng hiện có: đã có cam kết theo 12.9.1 và responsibility matrix chưa.
- Xác nhận với khách hàng họ cần SAQ D for Service Providers, ROC hay chỉ AOC.
- Làm gap assessment nội bộ theo PCI DSS compliance checklist, rồi mới mời QSA nếu cần.
pTrackly giúp gì cho công ty IT outsourcing?
pTrackly có sẵn framework PCI DSS 4.0.1 với requirement, control, policy template và evidence task, và control dùng chung với ISO 27001 hoặc SOC 2 mà nhiều công ty ITO đã có. Access review gom tài khoản và chuyển cho người review, không ai tự duyệt quyền của mình, phù hợp khi nhiều team có quyền vào môi trường khách hàng. Trust Portal cho phép chia sẻ chứng nhận và tài liệu như AOC với khách hàng sau khi họ ký NDA. pTrackly không phải QSA, không lập ROC và không soạn hợp đồng thay bạn. Xem thêm giải pháp cho công ty ITO và PCI DSS trên pTrackly.
Câu hỏi thường gặp
Chỉ viết code cho hệ thống thanh toán thì có phải tuân thủ PCI DSS không?
Tùy quyền truy cập. Nếu bạn không truy cập production, không deploy vào CDE và không chạm dữ liệu thẻ, phạm vi của bạn thường hẹp; khách hàng vẫn có thể yêu cầu quy trình secure development theo Requirement 6 trong hợp đồng.
Service provider có phải làm ROC không?
Không phải lúc nào cũng vậy. Service provider khối lượng giao dịch lớn hoặc theo yêu cầu của khách hàng cần ROC do QSA lập; các trường hợp khác có thể dùng SAQ D for Service Providers kèm AOC.
Responsibility matrix là gì?
Là bảng liệt kê từng yêu cầu PCI DSS và ghi rõ yêu cầu đó do service provider, khách hàng hay cả hai đảm nhận. Requirement 12.9.2 yêu cầu service provider cung cấp thông tin này khi khách hàng yêu cầu.
Có ISO 27001 rồi thì có cần PCI DSS không?
Có, nếu bạn trong phạm vi PCI DSS. ISO 27001 giúp tái sử dụng nhiều control, nhưng PCI DSS có yêu cầu riêng như quét ASV hằng quý và yêu cầu cụ thể về dữ liệu thẻ, và chỉ AOC hoặc ROC mới xác nhận tuân thủ PCI DSS.
Nếu bạn cần quản lý evidence PCI DSS cho nhiều khách hàng ở một nơi, đặt lịch trao đổi với pTrackly.
