敏感認證數據是什麼？定義、流程、例子與常見問題

核心要點

• 定義：敏感認證數據（SAD）是用於驗證持卡人或授權交易的高敏感數據類別，如完整磁道數據和卡片驗證碼，授權後儲存受到嚴格限制。
• 流程位置：PCI DSS規定保護支付賬戶數據環境的安全要求；CHD至少圍繞完整PAN，SAD包含用於認證或授權的高敏感數據。
• 不要混淆：SAD / 持卡人數據

它如何進入支付流程

對SAD而言，相關流程如下：PCI DSS規定保護支付賬戶數據環境的安全要求；CHD至少圍繞完整PAN，SAD包含用於認證或授權的高敏感數據。加密保護數據內容，脫敏限制顯示，HSM保護密鑰並執行密碼運算，它們解決的是不同層面。

評估SAD時，應關注以下要點：組織應先畫出數據流、確定範圍和責任，再選擇訪問控制、加密、日誌、漏洞管理與密鑰管理。取得合規證明只覆蓋被評估範圍和時點。

實際例子

商戶在授權完成後從系統和調試日誌中移除CVV等敏感認證數據。即使數據庫欄位經過加密，也不能因此繼續儲存這些數據。

與相近術語的區別

SAD的定義重點是“是用於驗證持卡人或授權交易的高敏感數據類別，如完整磁道數據和卡片驗證碼，授權後儲存受到嚴格限制”；持卡人數據則“是在PCI DSS語境下以PAN為核心並可能包含持卡人姓名、有效期和服務代碼的數據集合”。兩者可能出現在同一交易中，但回答的是不同問題。

使用與風險邊界

SAD有一項關鍵邊界：加密數據不自動退出PCI DSS範圍，界面脫敏也不代表儲存已截斷。SAD在授權後的儲存限制尤其嚴格，不能用業務便利覆蓋。

常見問題

下面回答搜尋SAD時最常見的兩個判斷問題。

和持卡人數據是一回事嗎？

不是。敏感認證數據（SAD）是用於驗證持卡人或授權交易的高敏感數據類別，如完整磁道數據和卡片驗證碼，授權後儲存受到嚴格限制。持卡人數據（CHD）是在PCI DSS語境下以PAN為核心並可能包含持卡人姓名、有效期和服務代碼的數據集合。判斷時應分別核對對象、流程階段和責任方。

數據已經加密，系統就一定不在PCI DSS範圍內嗎？

就SAD而言，不一定。PCI SSC明確說明，僅加密不足以自動使持卡人數據退出PCI DSS範圍，還要評估密鑰、訪問和環境關係。