PCI DSS چیست؟ راهنمای کامل الزامات، سطوح تطابق و مسیر اخذ گواهی
ایران پی مکس
هر کسب‌وکاری که یک بار شماره کارت مشتری از سیستم آن عبور میکند، مشمول استانداردهای امنیتی پرداخت است. فرقی نمی‌کند یک فروشگاه اینترنتی کوچک باشید یا یک ارائه‌دهنده خدمات پرداخت (PSP). بیشتر سازمان‌ها از این گستردگی شمول بی‌اطلاع هستند. نقطه شروع برای تأمین امنیت دارایی‌های دیجیتال و حرکت به سمت آینده‌ای بدون پول نقد، شناخت دقیق این استانداردها و تعیین سطح کسب‌وکار شماست.
پاسخ سریع: استاندارد PCI DSS مخفف Payment Card Industry Data Security Standard است. این پروتکل توسط پنج برند بزرگ کارت‌های اعتباری تدوین شده است تا امنیت دادههای مالی را تضمین کند. رعایت این استاندارد برای تمام نهادهایی که دادههای کارت بانکی را ذخیره، پردازش یا منتقل میکنند، الزامی است.
PCI DSS چیست و چه مشکلی را حل میکند؟
استاندارد امنیت داده صنعت کارت پرداخت (Payment Card Industry Data Security Standard) یک قانون دولتی نیست. این استاندارد یک الزام قراردادی است که توسط برندهای مطرح کارت (Visa, Mastercard, Amex, Discover, JCB) از طریق بانک‌های پذیرنده اعمال می‌شود.
شورای استانداردهای امنیت PCI یا به اختصار PCI SSC وظیفه تدوین و نگهداری این الزامات را بر عهده دارد. پیش از تدوین این چارچوب واحد، هر برند کارت قواعد امنیتی مختص به خود را داشت. کسب‌وکارها مجبور بودند با پنج مجموعه قانون متفاوت تطبیق پیدا کنند. این استاندارد به این آشفتگی پایان داد و یک ساختار یکپارچه خلق کرد.
چه کسانی مشمول PCI DSS هستند؟
قاعده در اینجا بسیار شفاف و قاطع است. هر سازمانی که داده دارنده کارت را ذخیره، پردازش یا منتقل میکند، مشمول این استاندارد است. همچنین اگر سیستمی بتواند بر امنیت این داده‌ها اثر بگذارد، باید الزامات را رعایت کند.
- تفاوت پذیرنده (Merchant) و ارائه‌دهنده خدمات (Service Provider): پذیرنده‌ها همان فروشگاههای اینترنتی یا فیزیکی هستند که بابت کالا یا خدمات خود وجه دریافت میکنند. ارائه‌دهنده خدمات، شرکت‌هایی مانند PSPها و میزبان‌های زیرساخت هستند که پردازش تراکنش‌ها را برای پذیرنده‌ها تسهیل میکنند.
- مصادیقی که معمولاً از قلم می‌افتند: بسیاری از سازمان‌ها به اشتباه تصور میکنند مشمول استاندارد نیستند. مراکز تماسی که شماره کارت مشتریان را تلفنی دریافت میکنند، بخشی از این دامنه هستند. سرویس‌های ابری میزبان درگاه و پیمانکاران توسعه نرم‌افزار که به محیط پرداخت دسترسی دارند نیز باید الزامات را رعایت کنند.
بررسی ساختار داده کارت، چه چیزی محافظت می‌شود؟
برای درک الزامات، ابتدا باید بدانید از چه چیزی محافظت می‌کنید. این بخش پایه فهم کل استاندارد است:
- داده دارنده کارت (CHD): این دسته شامل شماره حساب اولیه (PAN)، نام دارنده کارت، تاریخ انقضا و کد سرویس است. ذخیره‌سازی این اطلاعات تنها در صورتی مجاز است که با پروتکل‌های قوی رمزنگاری شده باشند.
- داده حساس احراز هویت (SAD): این بخش شامل کل محتوای نوار مغناطیسی یا تراشه، کدهای امنیتی CVV2/CVC2 و پین‌کد (PIN / PIN Block) است. این داده‌ها پس از تأیید تراکنش به هیچ عنوان نباید ذخیره شوند؛ حتی به صورت رمزنگاری‌شده.
- محیط داده دارنده کارت (CDE) چیست؟ محیط داده دارنده کارت (Cardholder Data Environment – CDE) شامل تمام افراد، فرآیندها و فناوری‌هایی است که دادههای کارت را ذخیره، پردازش یا منتقل میکنند. با استفاده از تکنیک تفکیک شبکه (Network Segmentation) می‌توانید مرز این محیط را کوچک کنید. کوچک شدن دامنه ارزیابی، هزینه و زمان انطباق را به شدت کاهش می‌دهد.
الزامات PCI DSS ،۱۲ الزام در ۶ هدف کنترلی
استاندارد امنیت داده شامل ۱۲ الزام اصلی است که در قالب ۶ هدف کنترلی دسته‌بندی می‌شوند. جدول زیر ساختار عملیاتی این الزامات را نشان می‌دهد:
| مشخصه | الزام امنیتی | مصداق عملی |
|---|---|---|
| ساخت و نگهداری شبکه امن | نصب کنترل‌های امنیت شبکه | نصب فایروال و مسدودسازی ترافیک غیرضروری ورودی و خروجی به محیط پرداخت. |
| ساخت و نگهداری شبکه امن | عدم استفاده از پیش‌فرض‌های سازنده | تغییر رمزهای عبور پیش‌فرض تجهیزات شبکه و سرورها بلافاصله پس از نصب. |
| حفاظت از داده کارت | محافظت از دادههای ذخیره‌شده | رمزنگاری قوی شماره کارت‌ها (PAN) در دیتابیس و حذف کدهای CVV2 پس از تراکنش. |
| حفاظت از داده کارت | رمزنگاری انتقال داده‌ها | استفاده از پروتکل‌های امن مانند TLS برای انتقال داده‌ها بین سرور و کاربر. |
| مدیریت آسیب‌پذیری | محافظت در برابر بدافزارها | نصب آنتی‌ویروس بر روی تمام سیستم‌هایی که در معرض ریسک قرار دارند. |
| مدیریت آسیب‌پذیری | توسعه سیستم‌های امن | نصب سریع پچ‌های امنیتی و بررسی کدهای نوشته‌شده برای جلوگیری از آسیب‌پذیری. |
| کنترل دسترسی قوی | محدودسازی دسترسی | کارمندان تنها به اطلاعاتی دسترسی داشته باشند که برای انجام وظیفه آن‌ها ضروری است. |
| کنترل دسترسی قوی | احراز هویت دسترسی‌ها | هر ادمین حساب شخصی خودش را دارد؛ حساب مشترک ممنوع است و MFA اجباری است. |
| کنترل دسترسی قوی | محدودسازی فیزیکی | استفاده از دوربین، قفل و سیستم ورود با کارت برای اتاق سرورها. |
| پایش و تست شبکه | پایش دسترسی‌ها به منابع شبکه | ثبت دقیق لاگ‌های سرور برای مشخص شدن زمان و شخص دسترسی‌گیرنده. |
| پایش و تست شبکه | تست منظم سیستم‌ها | اسکن مداوم آسیب‌پذیری‌ها و انجام تست نفوذ دوره‌ای. |
| سیاست امنیت اطلاعات | سیاست‌های سازمانی امنیت | تدوین یک سند مکتوب برای سیاست‌های امنیتی و آموزش سالانه پرسنل. |
PCI DSS نسخه ۴.۰.۱ — چه چیزی تغییر کرد؟
نسخه ۳.۲.۱ در ۳۱ مارس ۲۰۲۴ بازنشسته شد. در ژوئن ۲۰۲۴، نسخه ۴.۰.۱ صرفاً برای شفاف‌سازی و رفع ابهامات منتشر گردید. از ۳۱ دسامبر ۲۰۲۴، نسخه ۴.۰.۱ به تنها نسخه فعال و قابل ارزیابی تبدیل شده است. از ۳۱ مارس ۲۰۲۵ نیز، ۵۱ الزام آینده‌دار (Future-dated) از حالت توصیه‌ای خارج شده و کاملاً اجباری شده‌اند.
احراز هویت چندعاملی (MFA) اکنون برای تمام دسترسی‌ها به محیط CDE اجباری است. رویکرد سفارشی (Customized Approach) به سازمان‌ها اجازه می‌دهد به‌جای اجرای یک کنترل تجویزشده، کنترل جایگزین خود را با اثبات هدف امنیتی ارائه دهند. تغییر بنیادین نسخه ۴، تغییر نگاه از یک ارزیابی نقطه‌ای به یک فرآیند دائمی و امنیت مستمر است.
سطوح تطابق PCI DSS، شما در کدام سطح هستید؟
سطوح تطابق (Merchant Levels) بر اساس حجم تراکنش سالانه تعیین می‌شوند:
| سطح | حجم تراکنش سالانه | روش اعتبارسنجی لازم |
|---|---|---|
| سطح ۱ | بیش از ۶ میلیون تراکنش | گزارش ممیزی توسط یک رسمی |
| سطح ۲ | ۱ تا ۶ میلیون تراکنش | پرسشنامه خودارزیابی + اسکن |
| سطح ۳ | ۲۰ هزار تا ۱ میلیون تراکنش | پرسشنامه خودارزیابی + اسکن |
| سطح ۴ | کمتر از ۲۰ هزار تراکنش | پرسشنامه خودارزیابی |
- تفاوت SAQ و ROC: پرسشنامه خودارزیابی (SAQ) سندی است که پذیرنده‌های سطوح ۲ تا ۴ آن را تکمیل میکنند. در مقابل، گزارش تطابق (ROC) یک ممیزی جامع است که توسط ارزیاب امنیتی مجاز (QSA) برای سطح ۱ انجام می‌شود. نتیجه هر دو فرآیند، صدور گواهی تطابق (AOC) است که به بانک پذیرنده تحویل داده می‌شود.
عدم تطابق PCI DSS چه پیامدی دارد؟
بانک‌های پذیرنده معمولاً بسته به قرارداد، جریمه‌های ماهانه‌ای برای پذیرنده‌های نامنطبق اعمال میکنند. افزایش کارمزد تراکنش‌ها، تعلیق یا قطع کامل امکان پذیرش کارت از دیگر جرایم رایج است. در صورت بروز رخنه امنیتی، هزینه‌های سنگین بررسی قانونی، جبران خسارت مشتریان و آسیب به اعتبار برند گریبان‌گیر کسب‌وکار خواهد شد.
تأمین امنیت پرداخت در ایران با راهکارهای ایران پی مکس
شرکت‌های پرداختی در ایران موظف به رعایت الزامات امنیتی شاپرک و بانک مرکزی هستند که بسیاری از آن‌ها الگوبرداری مستقیمی از ساختار PCI DSS است. در این فضا، ساده‌ترین راه برای کسب‌وکارها جهت کاهش دغدغه‌های امنیتی، استفاده از یک بستر پرداخت استاندارد و منعطف است.
ایران پی مکس، به عنوان یک درگاه پرداخت (در تب جدید) هوشمند و راهکاری امن برای مدیریت تراکنش‌های مالی آنلاین، این دغدغه را برطرف کرده است. پلتفرم ما با اتصال مستقیم به شبکه‌های بانکی، امکان انجام تراکنش‌های ایمن را فراهم می‌سازد. ما با تحلیل ادواری درآمد و فروش، مدیریت حساب‌ها و صدور درگاه برای دامنه‌های مختلف، کسب‌وکار شما را هوشمندانه و دقیقاً به سبک شما هدایت می‌کنیم.
خدمات ما شامل مزایای زیر است:
- پایداری و مقیاس‌پذیری بالا: ایران پی مکس مورد اعتماد بیش از ۴۰۰ کسب‌وکار نام‌آشنا از جمله تعاونی‌های بزرگی نظیر رویال سفر ایرانیان، سیروسفر ایرانیان و ایران پیما است و هم‌اکنون با پردازش ۷ میلیون تراکنش و پشتیبانی از ۷۰۰ کاربر (ترمینال)، امنیت و سرعت بی‌نظیری را ارائه می‌دهد.
- تراکنش هوشمند: این ویژگی با بررسی دقیق عملکرد و پایداری زیرساخت ۴+ درگاه پرداخت (PSP)، تراکنش‌ها را به صورت لحظه‌ای به بهترین مسیر هدایت می‌نماید.
- خدمات ارزش‌افزوده متمرکز: از مزایای این پلتفرم می‌توان به تسویه‌حساب روزانه، کارمزد رقابتی، اتصال امن و سریع، انعطاف‌پذیری بالا و پشتیبانی در لحظه توسط تیمی متشکل از ۵+ پشتیبان فعال اشاره کرد.
- گامی به‌سوی شفافیت مالی: مطابق قوانین جدید، تمامی زیرساخت‌های ایران پی مکس به سامانه‌های مالیاتی متصل شده‌اند تا علاوه بر امنیت داده‌ها، شفافیت مالی کسب‌وکارها نیز به طور کامل تأمین شود.
