Tóm tắt
PCI DSS là tiêu chuẩn bảo mật dữ liệu thẻ do PCI SSC ban hành, áp dụng cho mọi tổ chức lưu, xử lý hoặc truyền dữ liệu thẻ; phiên bản hiện hành là v4.0.1.
PCI DSS là gì? Đó là Payment Card Industry Data Security Standard, tiêu chuẩn bảo mật dữ liệu thẻ do Hội đồng Tiêu chuẩn Bảo mật PCI (PCI SSC) ban hành cho mọi tổ chức lưu, xử lý hoặc truyền dữ liệu thẻ. PCI DSS không phải luật mà là yêu cầu hợp đồng từ các thương hiệu thẻ và acquirer. Phiên bản hiện hành là v4.0.1.
PCI DSS là gì và ai ban hành?
PCI DSS là bộ yêu cầu kỹ thuật và vận hành để bảo vệ dữ liệu tài khoản thẻ, do PCI SSC ban hành và duy trì. PCI SSC được thành lập năm 2006 bởi American Express, Discover, JCB, Mastercard và Visa. Tiêu chuẩn không phải luật của quốc gia nào; nghĩa vụ đến từ quy định của thương hiệu thẻ, được áp xuống qua acquirer và hợp đồng với merchant hoặc service provider. Tài liệu chính thức có trong thư viện tài liệu PCI SSC.
| Mục | PCI DSS hiện nay |
|---|---|
| Phiên bản | v4.0.1, phát hành tháng 6/2024; v4.0 ngừng hiệu lực ngày 31/12/2024; v3.2.1 ngừng hiệu lực ngày 31/3/2024 |
| Cấu trúc | 12 requirements chia thành 6 mục tiêu |
| Phạm vi | Cardholder Data Environment (CDE) và hệ thống kết nối hoặc có thể ảnh hưởng đến bảo mật của CDE |
| Cách xác nhận | Self-Assessment Questionnaire (SAQ) hoặc Report on Compliance (ROC) do Qualified Security Assessor (QSA) lập, kèm Attestation of Compliance (AOC) |
| Chu kỳ | Xác nhận hằng năm; quét lỗ hổng bên ngoài bởi Approved Scanning Vendor (ASV) mỗi quý khi áp dụng |
Nguồn mốc phiên bản: PCI SSC công bố v4.0.1.
Ai phải tuân thủ PCI DSS?
Mọi tổ chức lưu, xử lý hoặc truyền dữ liệu thẻ của các thương hiệu thẻ thành viên PCI SSC phải tuân thủ PCI DSS, không phân biệt quy mô hay quốc gia; tổ chức có thể ảnh hưởng đến bảo mật của dữ liệu đó cũng nằm trong phạm vi. Quy mô chỉ quyết định cách xác nhận tuân thủ. Có hai vai trò: merchant chấp nhận thẻ để bán hàng hóa, dịch vụ của mình; service provider lưu, xử lý, truyền dữ liệu thẻ thay tổ chức khác hoặc quản lý hệ thống có thể ảnh hưởng đến bảo mật dữ liệu đó.
Với doanh nghiệp Việt Nam, PCI DSS thường áp dụng khi bạn chấp nhận thẻ quốc tế, vận hành cổng thanh toán hoặc ví có liên kết thẻ, hoặc xây và vận hành hệ thống thanh toán cho khách hàng nước ngoài. Trường hợp cuối được phân tích riêng ở PCI DSS cho công ty IT outsourcing, còn góc nhìn ví điện tử và cổng thanh toán ở PCI DSS cho fintech Việt Nam.
PCI DSS gồm những yêu cầu nào?
PCI DSS v4.0.1 có 12 requirements dưới 6 mục tiêu: xây dựng và duy trì mạng, hệ thống an toàn (1–2); bảo vệ dữ liệu tài khoản (3–4); quản lý lỗ hổng (5–6); kiểm soát truy cập mạnh (7–9); giám sát và kiểm thử thường xuyên (10–11); chính sách an toàn thông tin (12). Một vài yêu cầu tạo nhiều việc nhất: MFA cho mọi truy cập không qua console vào CDE (8.4.2), quét lỗ hổng nội bộ và ASV mỗi quý (11.3), penetration test hằng năm (11.4), log giữ ít nhất 12 tháng (10.5.1), và quản lý script trên trang thanh toán (6.4.3, 11.6.1). Bảng chi tiết từng requirement có ở PCI DSS 12 requirements.
Merchant level và SAQ quyết định gì?
Merchant level quyết định cách bạn chứng minh tuân thủ, và do từng thương hiệu thẻ quy định chứ không phải PCI SSC. Theo cách phân loại phổ biến của Visa, Level 1 là merchant có trên 6 triệu giao dịch Visa mỗi năm hoặc từng bị xâm phạm dữ liệu, và cần ROC do QSA lập; các level thấp hơn thường được tự đánh giá bằng SAQ. Visa xác định level theo tổng khối lượng giao dịch 12 tháng, và acquirer chịu trách nhiệm bảo đảm merchant xác nhận đúng mức (Visa); hãy xác nhận ngưỡng với acquirer của bạn. Cách merchant và service provider tìm ra cấp của mình được giải thích ở cấp độ PCI DSS.
Loại SAQ phụ thuộc vào kiến trúc thanh toán chứ không phải khối lượng. Merchant chuyển khách sang trang thanh toán của nhà cung cấp qua redirect hoặc iframe xét SAQ A; website tự tạo form và gửi dữ liệu thẻ đi (direct post) dùng SAQ A-EP; merchant lưu dữ liệu thẻ dùng SAQ D. Cách chọn chi tiết ở SAQ PCI DSS là gì.
CDE là gì và làm sao thu hẹp phạm vi?
Cardholder Data Environment (CDE) là người, quy trình và công nghệ lưu, xử lý hoặc truyền cardholder data hoặc sensitive authentication data. Phạm vi PCI DSS gồm CDE cộng mọi hệ thống kết nối tới CDE hoặc có thể ảnh hưởng đến bảo mật của nó, ví dụ hệ thống log hay máy chủ xác thực. Cardholder data gồm PAN, tên chủ thẻ, ngày hết hạn và service code; sensitive authentication data như CVV hay dữ liệu track không được lưu sau authorization, kể cả khi đã mã hóa.
Thu hẹp phạm vi là cách giảm công sức và chi phí hiệu quả nhất: tokenization để không lưu PAN, dùng trang thanh toán của nhà cung cấp để PAN không đi qua server, và segmentation để tách hệ thống không liên quan. Các bước làm có trong xác định phạm vi PCI DSS, còn tác động lên ngân sách ở chi phí PCI DSS.
PCI DSS v4.x thay đổi gì so với v3.2.1?
PCI DSS v4.0 phát hành tháng 3/2022 và v4.0.1 tháng 6/2024. Thay đổi lớn gồm: MFA mở rộng từ truy cập từ xa sang mọi truy cập không qua console vào CDE (8.4.2); customized approach cho phép thiết kế control thay thế nếu đạt mục tiêu của yêu cầu; targeted risk analysis cho các yêu cầu có tần suất linh hoạt (12.3.1); và quản lý script trên trang thanh toán (6.4.3, 11.6.1). Toàn bộ 51 yêu cầu future-dated đã bắt buộc từ ngày 31/3/2025 (PCI SSC). Chi tiết ở PCI DSS v4.0: những thay đổi quan trọng.
Bắt đầu với PCI DSS theo thứ tự nào?
Thứ tự hợp lý cho doanh nghiệp mới bắt đầu:
- Xác nhận hệ thống của bạn có trong phạm vi không: có lưu, xử lý, truyền dữ liệu thẻ hoặc kết nối với hệ thống làm việc đó không.
- Xác định vai trò (merchant hay service provider) và cách xác nhận (SAQ loại nào hay ROC) cùng acquirer hoặc khách hàng.
- Vẽ luồng dữ liệu thẻ, lập inventory và tìm cách thu hẹp phạm vi.
- Làm gap assessment theo PCI DSS compliance checklist.
- Lập kế hoạch cho các hoạt động định kỳ: quét quý, pentest năm, review quyền 6 tháng, xác nhận hằng năm. Các giai đoạn và thời gian tham khảo có ở PCI DSS mất bao lâu.
pTrackly hỗ trợ PCI DSS thế nào?
pTrackly có sẵn framework PCI DSS 4.0.1 với requirement, control, policy template và evidence task. Mỗi task có tần suất và ngày review, người phụ trách được nhắc trước hạn, và control dùng chung với ISO 27001 hoặc SOC 2 nếu doanh nghiệp đã có. Module Pentest theo dõi lỗ hổng đến khi khắc phục. pTrackly không phải QSA hay ASV, không lập ROC và không ký AOC; phạm vi, phân tích rủi ro và kết luận tuân thủ thuộc về đội của bạn và assessor. Xem PCI DSS trên pTrackly.
Câu hỏi thường gặp
PCI DSS có phải là luật không?
Không. PCI DSS là tiêu chuẩn do PCI SSC ban hành và được các thương hiệu thẻ áp dụng qua acquirer và hợp đồng; vi phạm dẫn đến hậu quả theo hợp đồng như phí phạt hoặc mất quyền chấp nhận thẻ, không phải chế tài của nhà nước.
PCI DSS có cấp chứng nhận không?
PCI SSC không cấp chứng nhận cho merchant hay service provider. Tổ chức xác nhận tuân thủ bằng SAQ hoặc ROC kèm AOC; "chứng nhận PCI DSS" là cách nói phổ biến cho kết quả đó và có giá trị theo chu kỳ hằng năm.
Dùng cổng thanh toán bên thứ ba có còn phải tuân thủ PCI DSS không?
Có, nhưng phạm vi hẹp hơn nhiều. Merchant chuyển toàn bộ việc nhận thẻ cho nhà cung cấp tuân thủ PCI DSS thường chỉ cần SAQ A, và vẫn phải giữ AOC của nhà cung cấp và xác nhận hằng năm.
PCI DSS v4.0 còn dùng được không?
Không. v4.0 ngừng hiệu lực ngày 31/12/2024; v4.0.1 là phiên bản duy nhất đang áp dụng.
Nếu bạn đang bắt đầu chương trình PCI DSS và muốn theo dõi yêu cầu, evidence và deadline ở một nơi, đặt lịch trao đổi với pTrackly.
