Tóm tắt
PCI DSS cho fintech Việt Nam: ví điện tử, cổng thanh toán và app có liên kết thẻ là merchant hay service provider, phạm vi gồm gì và cần chuẩn bị gì.
PCI DSS cho fintech Việt Nam áp dụng khi ví điện tử, cổng thanh toán, app cho vay hay BNPL lưu, xử lý, truyền dữ liệu thẻ quốc tế hoặc có thể ảnh hưởng đến bảo mật dữ liệu đó. Việc đầu tiên là xác định bạn là merchant hay service provider, vì vai trò quyết định cách xác nhận tuân thủ. Phiên bản hiện hành là PCI DSS v4.0.1.
Fintech là merchant hay service provider theo PCI DSS?
Vai trò phụ thuộc vào việc bạn nhận thẻ để bán sản phẩm của mình hay xử lý thẻ thay cho tổ chức khác. Theo PCI DSS v4.0.1, service provider là tổ chức tham gia xử lý, lưu, truyền dữ liệu tài khoản thay mặt tổ chức khác, hoặc cung cấp dịch vụ có thể ảnh hưởng đến bảo mật dữ liệu đó (PCI SSC Document Library). Định nghĩa đầy đủ và cơ chế xác nhận có ở PCI DSS là gì.
| Mô hình fintech | Vai trò thường gặp | Điều cần xác nhận |
|---|---|---|
| Cổng thanh toán, payment facilitator nhận thẻ cho nhiều merchant | Service provider | SAQ D for Service Providers hoặc ROC theo yêu cầu thương hiệu thẻ và đối tác |
| Ví điện tử cho phép liên kết và lưu thẻ quốc tế để nạp tiền | Thường là service provider hoặc merchant lưu thẻ, tùy mô hình pháp lý và luồng tiền | Ai lưu PAN: ví hay processor đứng sau |
| App cho vay, BNPL thu nợ qua thẻ | Merchant | Thẻ được nhận qua SDK hoặc trang của processor hay qua server của bạn |
| SaaS có thanh toán subscription bằng thẻ | Merchant | Cách tích hợp quyết định loại SAQ |
Bảng chỉ mô tả trường hợp thường gặp; phân loại cuối cùng do acquirer, thương hiệu thẻ hoặc khách hàng của bạn xác nhận. PCI DSS bảo vệ dữ liệu thẻ của các thương hiệu thẻ thành viên PCI SSC; thẻ nội địa và tài khoản ví chịu các quy định riêng của Việt Nam, nằm ngoài phạm vi bài này.
Phạm vi PCI DSS của một app fintech gồm những gì?
Phạm vi gồm mọi thành phần chạm vào dữ liệu thẻ và mọi hệ thống có thể ảnh hưởng đến chúng: backend nhận hoặc chuyển tiếp PAN, database lưu thẻ hoặc token có thể đổi ngược, hệ thống log, CI/CD deploy vào môi trường đó, và tài khoản quản trị cloud. App di động cũng cần xem xét: nếu app gửi số thẻ về server của bạn trước khi tới processor, server đó vào CDE. Nếu app dùng SDK hoặc trang của processor để thẻ đi thẳng tới processor và bạn chỉ nhận token, phạm vi hẹp hơn nhiều.
Ba quyết định kiến trúc ảnh hưởng phạm vi lớn nhất là: có lưu PAN để thanh toán lặp lại hay để processor lưu và chỉ giữ token; có log request chứa dữ liệu thẻ không; và môi trường thanh toán có tách network, tài khoản cloud riêng với phần còn lại không. Quy trình xác định phạm vi từng bước có ở xác định phạm vi PCI DSS.
Fintech phải đáp ứng những yêu cầu PCI DSS nào?
Về nguyên tắc là cả 12 requirements cho hệ thống trong phạm vi; với fintech lưu hoặc xử lý thẻ, một số yêu cầu tạo nhiều việc nhất. Số hiệu tham chiếu theo PCI DSS v4.0.1.
- Bảo vệ dữ liệu lưu: không lưu sensitive authentication data sau authorization (3.3.1), PAN không đọc được khi lưu (3.5.1), quản lý khóa mã hóa (3.6–3.7).
- MFA: cho mọi truy cập không qua console vào CDE (8.4.2), không chỉ quản trị từ xa.
- Phát triển an toàn: secure SDLC, review code tùy chỉnh trước khi phát hành, bảo vệ ứng dụng web public (Requirement 6).
- Quét và kiểm thử: quét lỗ hổng nội bộ và ASV mỗi quý (11.3), pentest hằng năm và sau thay đổi lớn (11.4); service provider kiểm tra segmentation 6 tháng một lần (11.4.6).
- Log và giám sát: review log hằng ngày, có cơ chế tự động (10.4.1, 10.4.1.1), giữ log 12 tháng (10.5.1).
- Quản lý bên thứ ba: danh sách processor, cloud và nhà cung cấp chạm tới dữ liệu thẻ cùng trạng thái PCI DSS của họ (12.8).
Danh sách đầy đủ có ở PCI DSS 12 requirements và PCI DSS compliance checklist.
Không tuân thủ PCI DSS dẫn đến hậu quả gì?
Hậu quả đến từ hợp đồng chứ không từ cơ quan nhà nước: thương hiệu thẻ có thể áp phí phạt lên acquirer và acquirer chuyển sang bạn theo hợp đồng, acquirer có thể yêu cầu điều tra pháp y sau sự cố, nâng mức xác nhận, hoặc chấm dứt quyền chấp nhận thẻ. Mức phí phạt không được PCI SSC công bố và khác nhau theo thương hiệu thẻ, nên đừng tin các con số cố định lan truyền trên mạng. Với fintech, mất quyền chấp nhận hoặc xử lý thẻ thường gây thiệt hại lớn hơn tiền phạt.
Fintech nên chuẩn bị PCI DSS theo thứ tự nào?
- Xác định vai trò (merchant hay service provider) và cách xác nhận với acquirer, thương hiệu thẻ hoặc đối tác.
- Vẽ luồng dữ liệu thẻ trên web, app và backend, rồi tìm cách để processor giữ PAN.
- Tách môi trường thanh toán về network và tài khoản cloud.
- Làm gap assessment, ưu tiên MFA, mã hóa, log và secure SDLC.
- Lên lịch hoạt động định kỳ: quét quý, pentest năm, review quyền 6 tháng, xác nhận phạm vi.
Thời gian cho từng giai đoạn phụ thuộc phạm vi và mức sẵn sàng; các yếu tố ảnh hưởng có ở PCI DSS mất bao lâu, còn chi phí ở chi phí PCI DSS.
pTrackly giúp fintech thế nào?
pTrackly có sẵn framework PCI DSS 4.0.1 với requirement, control, policy template và evidence task, mỗi task có tần suất, ngày review và nhắc hạn cho người phụ trách. Kiểm tra từ các tích hợp như AWS, Google Cloud, Azure và GitHub có thể chạy định kỳ và cập nhật trạng thái task; access review chuyển quyền truy cập cho người review, không ai tự duyệt quyền của mình; module Pentest theo dõi lỗ hổng đến khi khắc phục. pTrackly không phải QSA hay ASV, không thay SIEM hay công cụ quét PAN, và không quyết định vai trò hay phạm vi thay bạn. Xem PCI DSS trên pTrackly.
Câu hỏi thường gặp
Ví điện tử chỉ liên kết tài khoản ngân hàng nội địa có cần PCI DSS không?
PCI DSS áp dụng cho dữ liệu thẻ của các thương hiệu thẻ thành viên PCI SSC. Nếu ví không lưu, xử lý, truyền dữ liệu thẻ đó, PCI DSS thường không áp dụng, nhưng đối tác ngân hàng vẫn có thể yêu cầu trong hợp đồng.
Dùng SDK của processor trong app có giảm phạm vi không?
Có, nếu số thẻ đi thẳng từ SDK tới processor và server của bạn chỉ nhận token. Bạn vẫn phải tuân thủ PCI DSS cho phần còn lại và giữ AOC của processor.
Fintech đã có ISO 27001 có cần PCI DSS không?
Có, nếu nằm trong phạm vi PCI DSS. ISO 27001 giúp tái sử dụng nhiều control quản lý, nhưng PCI DSS có yêu cầu riêng về dữ liệu thẻ, quét ASV và pentest, và chỉ SAQ hoặc ROC kèm AOC mới xác nhận tuân thủ.
PCI DSS v4.0 còn áp dụng không?
Không. PCI DSS v4.0 ngừng hiệu lực ngày 31/12/2024; v4.0.1 là phiên bản duy nhất đang áp dụng và mọi yêu cầu future-dated đã bắt buộc từ ngày 31/3/2025 (PCI SSC).
Nếu đội fintech của bạn cần theo dõi yêu cầu PCI DSS, evidence và deadline ở một nơi, đặt lịch trao đổi với pTrackly.
