PCI-DSS (Payment Card Industry Data Security Standard) là tiêu chuẩn bảo mật bắt buộc với mọi tổ chức lưu trữ, xử lý hoặc truyền tải dữ liệu thẻ thanh toán. Không phải luật nhà nước mà là yêu cầu hợp đồng từ các thương hiệu thẻ (Visa, Mastercard, Amex, Discover), áp đặt thông qua ngân hàng thanh toán (acquiring bank).
Vi phạm PCI-DSS dẫn đến phạt từ 5.000-100.000 USD/tháng từ thương hiệu thẻ, chi phí điều tra pháp y và, trong trường hợp vi phạm dữ liệu, chi phí thông báo khách hàng và bồi thường.
PCI-DSS áp dụng cho ai
PCI-DSS áp dụng cho bất kỳ tổ chức nào tham gia vào việc xử lý thanh toán thẻ:
- Merchants (thương nhân): Chấp nhận thẻ thanh toán từ khách hàng
- Service Providers: Lưu trữ, xử lý hoặc truyền tải dữ liệu thẻ thay mặt merchant, hoặc cung cấp dịch vụ có thể ảnh hưởng đến bảo mật dữ liệu thẻ
Ngay cả khi không lưu trữ số thẻ, nếu hệ thống của bạn truyền tải hoặc có thể ảnh hưởng đến bảo mật dữ liệu thẻ, PCI-DSS có thể áp dụng.
Cardholder Data là gì
PCI-DSS bảo vệ hai loại dữ liệu:
Cardholder Data (CHD):
- Primary Account Number (PAN), số thẻ 16 chữ số
- Tên chủ thẻ
- Ngày hết hạn
- Mã dịch vụ (service code)
Sensitive Authentication Data (SAD): Không được lưu trữ sau khi giao dịch được ủy quyền, kể cả nếu được mã hóa:
- CVV/CVC (mã 3-4 số ở mặt sau thẻ)
- Dữ liệu đầy đủ trên magnetic stripe hoặc chip
- PIN và PIN blocks
Merchant Level và hình thức tuân thủ
Mức độ yêu cầu kiểm toán phụ thuộc vào số lượng giao dịch thẻ hàng năm:
| Level | Merchant: số giao dịch/năm | Yêu cầu xác nhận tuân thủ |
|---|---|---|
| Level 1 | Trên 6 triệu giao dịch (Visa/MC) hoặc bị định nghĩa là Level 1 sau vi phạm | Report on Compliance (RoC) bởi QSA, quét ASV hàng quý |
| Level 2 | 1-6 triệu giao dịch | SAQ hàng năm, quét ASV hàng quý |
| Level 3 | 20.000-1 triệu giao dịch thương mại điện tử | SAQ hàng năm, quét ASV hàng quý |
| Level 4 | Dưới 20.000 giao dịch thương mại điện tử hoặc dưới 1 triệu giao dịch khác | SAQ hàng năm (khuyến nghị), quét ASV hàng quý (khuyến nghị) |
Quy trình chứng nhận PCI-DSS
Bước 1: Xác định và thu hẹp phạm vi CDE
Cardholder Data Environment (CDE) là tất cả hệ thống lưu trữ, xử lý hoặc truyền tải CHD/SAD, cùng với các hệ thống kết nối đến chúng.
Phạm vi CDE ảnh hưởng trực tiếp đến chi phí và độ phức tạp của tuân thủ. Bước tối ưu quan trọng nhất là network segmentation: phân tách CDE khỏi phần còn lại của mạng nội bộ bằng firewall hoặc biện pháp kiểm soát khác. Hệ thống không thể giao tiếp với CDE không cần đưa vào phạm vi.
Ngoài ra, các giải pháp tokenization (thay thế số thẻ bằng token vô nghĩa) và point-to-point encryption (P2PE) giúp loại bỏ nhiều hệ thống khỏi phạm vi CDE.
Bước 2: Đánh giá theo 12 yêu cầu PCI-DSS 4.0
PCI-DSS phiên bản 4.0 (bắt buộc từ tháng 3/2024) tổ chức yêu cầu theo 6 mục tiêu:
Xây dựng và duy trì mạng bảo mật:
- Yêu cầu 1: Cài đặt và duy trì kiểm soát bảo mật mạng
- Yêu cầu 2: Áp dụng cấu hình bảo mật cho tất cả thành phần hệ thống
Bảo vệ dữ liệu tài khoản:
- Yêu cầu 3: Bảo vệ dữ liệu tài khoản được lưu trữ
- Yêu cầu 4: Bảo vệ CHD khi truyền tải qua mạng công khai bằng mật mã mạnh
Duy trì chương trình quản lý lỗ hổng:
- Yêu cầu 5: Bảo vệ tất cả hệ thống và mạng khỏi phần mềm độc hại
- Yêu cầu 6: Phát triển và duy trì hệ thống và phần mềm bảo mật
Triển khai kiểm soát truy cập mạnh:
- Yêu cầu 7: Hạn chế quyền truy cập vào thành phần hệ thống và CHD theo business need
- Yêu cầu 8: Xác định người dùng và xác thực truy cập vào thành phần hệ thống
- Yêu cầu 9: Hạn chế truy cập vật lý đến CHD
Giám sát và kiểm tra mạng thường xuyên:
- Yêu cầu 10: Ghi nhật ký và giám sát tất cả truy cập vào thành phần hệ thống và CHD
- Yêu cầu 11: Kiểm tra bảo mật hệ thống và mạng thường xuyên
Duy trì chính sách bảo mật thông tin:
- Yêu cầu 12: Hỗ trợ bảo mật thông tin bằng chính sách và chương trình cho toàn bộ nhân sự
Bước 3: Chọn hình thức xác nhận tuân thủ (SAQ hoặc QSA)
Self-Assessment Questionnaire (SAQ): Bảng câu hỏi tự đánh giá do PCI SSC ban hành. Có nhiều loại SAQ khác nhau tùy theo cách tổ chức xử lý thẻ (SAQ A, A-EP, B, B-IP, C, C-VT, D...). Phù hợp với Level 2-4.
Qualified Security Assessor (QSA): Kiểm toán viên bảo mật được PCI SSC chứng nhận. Bắt buộc cho Level 1 và Service Provider Level 1. QSA thực hiện đánh giá độc lập và phát hành Report on Compliance (RoC).
Lựa chọn SAQ phù hợp rất quan trọng, SAQ sai loại có thể khiến tổ chức không nhận ra các yêu cầu còn thiếu.
Bước 4: Quét mạng bởi Approved Scanning Vendor (ASV)
ASV là công ty được PCI SSC phê duyệt để quét các hệ thống đối mặt internet (internet-facing systems) nhằm phát hiện lỗ hổng. Bắt buộc hàng quý.
Quy trình:
- ASV quét địa chỉ IP công khai trong phạm vi CDE
- Phát hành báo cáo kết quả
- Tổ chức khắc phục các lỗ hổng được tìm thấy
- Quét lại cho đến khi đạt "passing scan"
Passing scan không có nghĩa là không còn lỗ hổng, chỉ có nghĩa là không còn lỗ hổng nghiêm trọng theo tiêu chí của PCI DSS.
Bước 5: Penetration testing
Kiểm tra xâm nhập (pentest) bắt buộc ít nhất hàng năm và sau các thay đổi đáng kể đến cơ sở hạ tầng hoặc ứng dụng. PCI-DSS 4.0 nhấn mạnh pentest phải kiểm chứng tính hiệu quả của network segmentation.
Pentest theo PCI-DSS cần bao gồm:
- Kiểm tra từ bên ngoài (external pentest)
- Kiểm tra từ bên trong (internal pentest)
- Kiểm tra cụ thể network segmentation
Bước 6: Nộp hồ sơ tuân thủ
Tùy Merchant Level:
- Level 1: Nộp RoC và Attestation of Compliance (AoC) cho acquiring bank và thương hiệu thẻ
- Level 2-4: Nộp SAQ đã ký và AoC cho acquiring bank
Tần suất: hàng năm cho SAQ/RoC, hàng quý cho ASV scan.
Thời gian và chi phí thực tế
Lịch trình điển hình:
- Gap assessment và xác định scope: 4-8 tuần
- Triển khai remediation: 3-9 tháng
- Kiểm toán QSA hoặc hoàn thành SAQ: 4-8 tuần
- Tổng cộng lần đầu: 6-18 tháng
Chi phí:
- SAQ tự thực hiện: gần như không có chi phí ngoài internal effort
- Kiểm toán QSA (Level 1): 15.000-40.000 USD
- Quét ASV hàng quý: 100-500 USD/lần
- Pentest hàng năm: 5.000-20.000 USD
- Chi phí remediation (nâng cấp hệ thống, triển khai encryption, logging): biến động lớn
Những điểm thường bị bỏ qua
Scope creep làm tăng chi phí đột ngột. Mỗi hệ thống thêm vào CDE kéo theo nhiều yêu cầu hơn. Đánh giá scope cẩn thận trước khi bắt đầu, và xem xét tokenization hoặc P2PE để giảm scope ngay từ thiết kế.
SAQ sai loại. SAQ A (đơn giản nhất) chỉ áp dụng khi toàn bộ quá trình nhập thẻ được outsource cho third party và website chỉ chứa iframe. Nhiều tổ chức dùng SAQ A khi thực ra cần SAQ A-EP hoặc SAQ D.
PCI-DSS 4.0 có yêu cầu mới đáng kể. Bao gồm multi-factor authentication rộng hơn, yêu cầu về targeted risk analysis, và các yêu cầu về script integrity cho payment pages. Tổ chức đã đạt chứng nhận phiên bản cũ cần rà soát gap với 4.0.
Câu hỏi thường gặp
Nếu dùng Stripe hoặc PayPal thì vẫn cần PCI-DSS không?
Phụ thuộc vào cách tích hợp. Nếu dùng hosted payment page (khách hàng nhập thẻ trên trang của Stripe) và không có dữ liệu thẻ nào đi qua server của bạn, scope rất hẹp và SAQ A thường áp dụng. Nếu dữ liệu thẻ đi qua server bạn hoặc bạn lưu trữ bất kỳ phần nào của CHD, scope mở rộng đáng kể.
Tokenization có loại bỏ hoàn toàn nghĩa vụ PCI-DSS không?
Không hoàn toàn, nhưng giảm scope đáng kể. Tổ chức vẫn phải xử lý PAN tại điểm thu thập ban đầu trước khi token được tạo. Ngoài ra, hệ thống quản lý token (token vault) vẫn nằm trong phạm vi PCI-DSS.
Có bị phạt ngay nếu không có PCI-DSS không?
Thương hiệu thẻ không chủ động kiểm tra từng merchant. Phạt thường kích hoạt khi: xảy ra vi phạm dữ liệu, acquiring bank phát hiện không tuân thủ trong quá trình audit, hoặc merchant thay đổi acquiring bank và bị yêu cầu chứng minh tuân thủ.