【PCI DSS 過證懶人包】資安小白也能輕鬆達標
2024年電商、遠程工作及外送平台消費等等型態持續成長，加速跨境交易和線上支付的使用率，支付卡資訊安全變成尤其重要。為了確保消費者的個人資料不被盜取或濫用，支付卡產業安全標準協會 (簡稱PCI SSC) 規定，凡儲存、處理或傳輸持卡人資訊的所有機構，都必需遵守 PCI DSS 合規要求，簡單來說，PCI DSS 合規中的12個主要要求及其子要求的種種安全控制措施，最終目的是為了保護持卡人的信用卡資料。
當您被收單機構或主管要求 PCI DSS 取證，卻不知道該怎麼做時，最想問的五大問題 (2W3H)
目錄
What - 什麼是 PCI DSS ?
PCI DSS 是 Payment Card Industry Data Security Standards 的縮寫，是由國際組織 Payment Card Industry Security Standard Council (以下簡稱PCI SSC) ，負責制定及管理 PCI DSS 安全標準，這是一套關於支付卡資訊安全的標準，旨在保護持卡人數據免受未經授權的訪問及不當使用。
PCI SSC 是多家主要國際信用卡組織，成員包含 American Express、Discover Financial Services、JCB、MasterCard、Visa Inc. 和中國銀聯。PCI DSS 標準內容針對處理這些品牌的持卡人資訊安全所訂定的共同產業標準，適用於儲存，處理或傳輸持卡人資訊的所有機構。接觸這些品牌的支付卡的商戶 (Merchant) 或服務供應商 (Service Provider) 無論其規模大小或交易量多寡，都須依據並符合 PCI DSS 安全標準進行對於持卡人資訊的安全保護。Who - 誰需要? 誰可協助?
誰需要通過 PCI DSS 的審查?
凡儲存、處理或傳輸持卡人資訊的所有機構，都必需遵守 PCI DSS 合規要求。 依機構如何儲存、處理或傳輸持卡人資訊方式，分為不同類別及等級，故首先，需要判斷是特約商店 (Merchant) 還是服務供應商 (Service Provider)。 特約商店是接受支付卡付款，以換取產品或服務的組織，故一般接受信用卡消費的商店、線上商店，包含提供下載的虛擬商品或服務、大型百貨公司，都屬於特約商店。 服務供應商是因所提供的服務會傳輸、處理或儲存 (Transmit, Process, Store) 支付卡持卡人資料，或是提供的服務可以控制或影響持卡人資料的安全，例如第三方支付公司、代收代付業者提供金流服務、錢包服務供應商、線上商城；另外提供虛擬主機服務的 Data Center 及雲端服務供應商等，都歸類於服務供應商。 判定是特約商店還是服務供應商後，便可再進一步判定 PCI DSS等級。等級一 – 特約商店及服務供應商
需由 QSA (Qualified Security Assessor) 也是 PCI DSS 的核可稽核員進行現場審查，完成後提供報告。等級二至四 – 特約商店及等級二的服務供應商
可使用 PCI DSS Self-Assessment Questionnaire (以下簡稱 SAQ) 自行評估，或請 QSA 來協助，可更快速準確地完成評估。 請參考: 您適用哪一個 PCI DSS SAQ 類型?誰可協助通過 PCI DSS 的審查?
特別是對於等級一的特約商店或服務供應商，第一次 PCI DSS 審查過證建議借助專業人員的輔導説明。QSA (Qualified Security Assessor)
QSA 是由 PCI 安全標準委員會授權的專業人員，經過訓練和認證，執行 PCI DSS 審查並提供合規報告 (ROC) 和合規證明 (AOC)，QSA 需要定期且即時接受 PCI DSS 版本更新的認證。若您的特約商店或服務供應商為等級一，必須由 QSA 進行現場審查。QSAC (Qualified Security Assessor Company)
QSAC 聘請 QSA，提供專業的審查和輔導服務，幫助您理解 PCI DSS 的具體條文，指導如何建立一個安全的支付環境。如何選擇 QSA 及 QSAC ?
- 您可以透過 [PCI 安全標準委員會官網] 查找經過認證的 QSA 或 QSAC。
- 諮詢同業或合作夥伴：詢問其他已經完成 PCI DSS 審查的公司，瞭解他們的經驗和推薦。
- 評價和案例分析：查看潛在 QSA 或 QSAC 的客戶評價和案例分析，確保他們有相關的經驗和專業知識。
- 諮詢服務：與多個 QSA 或 QSAC 進行初步諮詢，瞭解他們的服務範圍、收費標準和工作流程。通過這些步驟，希望您可以找到適合的 QSA 或 QSAC 幫助您完成 PCI DSS 審查，確保支付環境安全和合規。
How - 該怎麼做?
PCI DSS 合規認證通常分為四大階段:
1. 準備階段：驗證環境確認和顧問階段
**驗證環境確認**
– 初步評估：對現有的安全措施進行初步評估，識別差距及需調整的地方。
– 定義審查範圍：確定需要符合 PCI DSS 標準的系統、網路和應用。
**顧問階段**
– 聘請顧問或 QSA：選擇合適的 QSA 或 QSAC 來協助上述之驗證環境確認，後續整改過程輔導及審查安排等。
– 安全訓練：為員工提供相關的安全訓練，提高整體安全意識。
2. 資料準備階段：準備和實施必要的控制措施
**資料準備**
– 政策和程式：制定和更新安全政策、操作程式，確保符合 PCI DSS 要求。
– 文件收集：收集和整理所有需要的文件和證據，以證明合規性。
3. 審查階段：QSA 進行現場審查
**審查執行**
– 內部審查：在正式審查之前進行內部自查，確保所有問題在正式審查前得到解決。
– 現場審查：由 QSA 進行現場審查，驗證實際操作與文件的一致性。
4. 報告階段：QSA 準備並提交合規報告和證明
**報告和認證**
– 報告編寫：QSA 編寫 ROC（Report on Compliance）和 AOC（Attestation of Compliance）報告。
– 報告提交：您可將報告提交給於卡組織或收單機構。
– 認證頒發：收到合規證明，表明公司符合 PCI DSS 標準。
How long - 該花多少時間做?
PCI DSS 合規認證，從一開始的驗證環境確認到最後提供報告的整體認證所需時程，一般預估為三至五個月可完成認證，以下是合規認證的主要階段及各階段的描述:
- 準備階段（1-2 個月）：包括驗證環境確認和顧問階段。
- 資料準備階段（1 個月）：準備和實施必要的控制措施。
- 審查階段（5-7天）：QSA 進行現場審查。
- 報告階段（0.5-1 個月）：QSA 準備並提交合規報告和證明。
實際所需時間可能會因以下因素而有所不同:
– 準備程度：若組織認證前的準備工作充分或有較好的安全基礎，認證過程可能更快。
– 系統和營運流程的複雜度：IT 環境、網路架構和營運流程的複雜性會影響認證的進度。
– 資源投入：公司投入的資源（包括人力、時間和預算）以及專案管理的效率。
為了確保認證過程順利進行，建議：
– 提前準備：儘早開始準備工作，尤其是文件和政策的整理。
– 有效溝通：在整個認證過程中，與 QSA 保持緊密溝通，及時解決發現的問題。
– 持續改進：認證後，繼續維持和改進安全措施，確保長期符合 PCI DSS 要求。
How much - 該花多少錢?
第一次為了符合 PCI DSS 的要求，企業須考量可能新增的軟硬體項目，條列費用如下:
系統相關費用
拆分主機至不同功能，如 Web Server、Application Server、DB Server，可能需要增加設備或使用虛擬伺服器。此外，需設立 NTP Server、FIM Server 和 Log Server 等安全服務元件。
安全設備費用
增購網路安全控制設備 (NSCs)，如防火牆、、入侵偵測防禦系統 (IPS、IDS)、網頁應用防火牆 (WAF) 等。
資料加密設備費用
對卡資料進行卡號加密，可能需採用 HSM 硬體加密器以確保安全。
人員訓練費用
PCI DSS 要求進行認知訓練、安全編程訓練和事故應對計劃演練等，內部人員需接受足夠的安全技術訓練。
技術檢測費用
定期進行內外部弱點掃描、滲透測試、無線溢波掃描、卡號掃描和源碼掃描等。
其他費用支出
服務供應商需進行卡組織服務供應商的登記，如 VISA 和 MasterCard 的登記。
除了上述可能的增加費用，還有 PCI DSS 的審查認證費用，這與 PCI DSS QSA 需要花多少時間來完成審查及編寫報告而定。
