Что такое стандарт безопасности данных PCI DSS: определение, процесс и примеры
Стандарт безопасности данных PCI DSS — это отраслевой стандарт безопасности для организаций, хранящих, обрабатывающих или передающих данные платёжных карт, а не универсальный государственный закон. Материал объясняет реальную роль, границы и частые ошибки при понимании термина «PCI DSS».
Ключевые факты
- Определение: Стандарт безопасности данных PCI DSS — это отраслевой стандарт безопасности для организаций, хранящих, обрабатывающих или передающих данные платёжных карт, а не универсальный государственный закон.
- Место в процессе: PCI DSS задаёт требования к среде платёжных данных.
- Не путать: PCI DSS / данные держателя карты CHD
Место в платёжном процессе
Для понятия «PCI DSS» важен следующий процесс: PCI DSS задаёт требования к среде платёжных данных. CHD как минимум связан с полным PAN, а SAD включает особо чувствительные данные для аутентификации или авторизации. Шифрование защищает содержимое, маскирование ограничивает показ, HSM хранит ключи и выполняет криптографию.
При практической оценке понятия «PCI DSS» учитывают следующее: организация сначала описывает потоки, область и ответственность, затем выбирает доступ, шифрование, журналы, управление уязвимостями и ключами. Подтверждение соответствия относится к проверенной области и моменту.
Практический пример
Продавец определяет область PCI DSS, прослеживая сайт, поддержку, журналы, базы и подрядчиков. Одна успешная оценка не отменяет постоянное поддержание мер.
Отличия от близких терминов
| Термин | Определение |
|---|---|
| стандарт безопасности данных PCI DSS | это отраслевой стандарт безопасности для организаций, хранящих, обрабатывающих или передающих данные платёжных карт, а не универсальный государственный закон |
| данные держателя карты CHD | это набор данных в контексте PCI DSS, основанный на PAN и иногда включающий имя держателя, срок действия и сервисный код |
| чувствительные аутентификационные данные SAD | это особо чувствительные данные для проверки держателя или авторизации, например полные данные дорожки и код проверки карты |
Для «PCI DSS» определяющим является следующее: это отраслевой стандарт безопасности для организаций, хранящих, обрабатывающих или передающих данные платёжных карт, а не универсальный государственный закон. В отличие от этого, «данные держателя карты CHD» — это набор данных в контексте PCI DSS, основанный на PAN и иногда включающий имя держателя, срок действия и сервисный код. Термины могут относиться к одной операции, но отвечают на разные вопросы.
Применение и ограничения
Ключевое ограничение понятия «PCI DSS» состоит в следующем: зашифрованные данные не выходят автоматически из области PCI DSS, а маска на экране не доказывает усечение в хранилище. Хранение SAD после авторизации особенно ограничено.
Частые вопросы
Ниже даны ответы на два частых поисковых вопроса о понятии «PCI DSS».
Это то же самое, что данные держателя карты CHD?
Нет. Стандарт безопасности данных PCI DSS — это отраслевой стандарт безопасности для организаций, хранящих, обрабатывающих или передающих данные платёжных карт, а не универсальный государственный закон. Данные держателя карты CHD — это набор данных в контексте PCI DSS, основанный на PAN и иногда включающий имя держателя, срок действия и сервисный код. Нужно отдельно сравнить объект, этап процесса и ответственную сторону.
Шифрование автоматически выводит систему из области PCI DSS?
Для понятия «PCI DSS»: нет. PCI SSC указывает, что одного шифрования недостаточно; учитываются ключи, доступ и связи с окружением данных держателя.
Эти первичные источники подтверждают определение и процесс для понятия «PCI DSS». В реальной операции действуют актуальные правила продукта, сети и страны.