PCI DSS v4.0.1
Đánh giá tuân thủ PCI DSS
Chuẩn bảo mật bắt buộc khi lưu trữ, xử lý hoặc truyền dữ liệu thẻ thanh toán. MuaSSL tư vấn phạm vi, hỗ trợ khắc phục và chuẩn bị hồ sơ cùng đối tác đánh giá.
- Gap analysis
- Quét ASV, pentest
- Hỗ trợ SAQ, ROC
Đánh giá chính thức do đối tác QSA/ASV được PCI SSC công nhận thực hiện.
- 12 yêu cầugom trong 6 mục tiêu
- Hàng quýquét ASV bên ngoài
- 12 thángpentest, và sau thay đổi lớn
- 31/03/2025hạn áp dụng các yêu cầu mới
Ai cần tuân thủ?
Mọi tổ chức lưu trữ, xử lý, truyền dữ liệu thẻ, hoặc có thể ảnh hưởng tới an toàn của dữ liệu đó.
Website, app bán hàng
Nhận thanh toán thẻ trực tuyến
Cửa hàng, chuỗi bán lẻ
Máy POS, thanh toán tại quầy
Cổng, ví thanh toán
Nhà cung cấp dịch vụ thanh toán
Hosting, SaaS, call center
Hệ thống chạm tới dữ liệu thẻ của khách
12 yêu cầu, 6 mục tiêu
Mạng, hệ thống an toàn
1. Kiểm soát an ninh mạng
2. Cấu hình an toàn
Bảo vệ dữ liệu tài khoản
3. Bảo vệ dữ liệu lưu trữ
4. Mã hoá mạnh khi truyền
Quản lý lỗ hổng
5. Chống mã độc
6. Phát triển, bảo trì an toàn
Kiểm soát truy cập
7. Hạn chế theo nhu cầu
8. Định danh, xác thực
9. Truy cập vật lý
Giám sát, kiểm thử
10. Ghi log, giám sát
11. Kiểm thử bảo mật định kỳ
Chính sách
12. Chính sách, chương trình bảo mật
Mức độ và hình thức đánh giá
Mức tuân thủ do tổ chức thẻ và ngân hàng thanh toán (acquirer) quy định, theo số giao dịch mỗi năm.
Merchant mức 1–4
Đơn vị chấp nhận thẻ
Nhà cung cấp dịch vụ mức 1–2
Xử lý, lưu trữ thẻ cho bên khác
SAQ – tự đánh giá
A, A-EP, B, B-IP, C, C-VT, P2PE, D: theo cách nhận thanh toán
ROC và AOC
Báo cáo đánh giá tại chỗ do QSA lập, kèm xác nhận tuân thủ
Kiểm thử bắt buộc – Yêu cầu 11
Quét ASV bên ngoài
Hàng quý và sau thay đổi lớn · 11.3.2
Quét lỗ hổng nội bộ
Hàng quý, có xác thực · 11.3.1
Pentest trong và ngoài
Mỗi 12 tháng và sau thay đổi lớn · 11.4
Kiểm thử phân vùng
12 tháng; nhà cung cấp dịch vụ 6 tháng · 11.4.5–11.4.6
Quy trình làm việc
Sáu bước, phối hợp cùng đối tác đánh giá.
- Khảo sát phạm viLuồng dữ liệu thẻ, môi trường CDE
- Gap analysisĐối chiếu hiện trạng với từng yêu cầu v4.0.1
- Khắc phụcLộ trình và hỗ trợ kỹ thuật cho điểm còn thiếu
- Quét ASV, pentestTheo Yêu cầu 11, kiểm tra lại sau khi sửa
- SAQ hoặc ROCChuẩn bị bằng chứng, làm việc với QSA, nhận AOC
- Duy trìNhắc lịch quét quý, pentest năm, đánh giá lại hằng năm
Ai làm gì
- MuaSSL điều phối, tư vấn, hỗ trợ khắc phục, chứng chỉ SSL
- Đối tác QSA/ASV đánh giá, quét và xác nhận chính thức
- Doanh nghiệp chịu trách nhiệm tuân thủ và duy trì
Danh sách QSA, ASV được công nhận công bố tại pcisecuritystandards.org.
Câu hỏi thường gặp
MuaSSL có phải QSA hay ASV không?
Doanh nghiệp cần SAQ hay ROC?
Chỉ dùng cổng thanh toán bên ngoài có phải tuân thủ không?
v4.0.1 có gì mới so với v3.2.1?
Bao lâu phải đánh giá lại?
Chi phí và thời gian?
Bắt đầu từ khảo sát phạm vi
Mô tả hệ thống thanh toán của bạn, MuaSSL liên hệ lại để tư vấn và báo giá.