[PCÍ D~SS]

[Whó ñ~ééds~ tó có~mplý~ wíth~ PCÍ D~SS¿]

[Thé góál óf thé PCÍ Dátá Sécúrítý Stáñdárd (PCÍ DSS) ís tó prótéct cárdhóldér dátá (CHD) áñd séñsítívé áúthéñtícátíóñ dátá (SÁD) whérévér ít ís prócésséd, stóréd ór tráñsmíttéd. Máíñtáíñíñg páýméñt sécúrítý ís réqúíréd fór áll órgáñízátíóñs thát stóré, prócéss ór tráñsmít cárdhóldér dátá.]

[Thé P~CÍ Sé~cúrí~tý st~áñdá~rds í~ñclú~dé té~chñí~cál á~ñd óp~érát~íóñá~l réq~úíré~méñt~s fór~:]

• [Órgá~ñízá~tíóñ~s ácc~éptí~ñg ór~ próc~éssí~ñg pá~ýméñ~t trá~ñsác~tíóñ~s]
• [Sóft~wáré~ dévé~lópé~rs áñ~d máñ~úfác~túré~rs óf~ áppl~ícát~íóñs~ áñd d~évíc~és ús~éd íñ~ thós~é trá~ñsác~tíóñ~s]

[PCÍ 3.2.1, w~hích~ wás r~éléá~séd í~ñ Máý~ 2018, ís th~é cúr~réñt~ vérs~íóñ t~hát c~óvér~éd ór~gáñí~zátí~óñs h~ávé t~ó ádh~éré t~ó.]

[Válí~dátí~óñ óf~ cómp~líáñ~cé ís~ pérf~órmé~d áññ~úáll~ý ór q~úárt~érlý~, bý á m~éthó~d súí~téd t~ó thé~ órgá~ñízá~tíóñ~’s mér~cháñ~t lév~él dé~sígñ~átíó~ñ, whí~ch ís~ á fúñ~ctíó~ñ óf t~hé áñ~ñúál~ vólú~mé óf~ créd~ít cá~rd tr~áñsá~ctíó~ñs há~ñdlé~d.]

[Súmm~árý ó~f PCÍ~ Mérc~háñt~ Lévé~ls áñ~d Áúd~ít áñ~d Rép~órtí~ñg Ré~qúír~éméñ~ts]

[Thé táblé bélów ófférs áñ óvérvíéw óf thé PCÍ mércháñt lévéls, thé cómmóñ páýméñt árchítéctúrés týpícállý úséd át éách lévél, áñd thé córréspóñdíñg PCÍ áúdít áñd répórtíñg réqúíréméñts. Ñóté: Théré áré sómé súbtlé dífféréñcés íñ mércháñt lévél béñchmárks ácróss crédít cárd cómpáñíés, só réádérs áré ádvíséd tó cóñsúlt wíth théír PCÍ ádvísórý áñd QSÁ pártñérs tó gét áñ áccúráté ásséssméñt óf thé réqúíréméñts thát ápplý tó théír órgáñízátíóñ.] 

[12 Réqú~írém~éñts~ fór P~CÍ DS~S]

[PCÍ DSS 3.2.1 íñclúdés 6 óbjéctívés, 12 réqúíréméñts, 78 básé réqúíréméñts, áñd óvér 400 tést prócédúrés. Thé táblé bélów súmmárízés thé PCÍ DSS óbjéctívés áñd thé rélátéd réqúíréméñts. Fór détáíls óñ thé súb-réqúíréméñts áñd téstíñg, réádérs shóúld révíéw thé PCÍ DSS référéñcé gúídé.]

[Póté~ñtíá~l Rís~ks Dú~é tó P~CÍ Ñó~ñ-Cóm~plíá~ñcé]

[PCÍ DSS hás bééñ áróúñd fór móré tháñ 12 ýéárs, bút máñý órgáñízátíóñs cóñtíñúé tó fácé crítícál ádvérsé fíñdíñgs dúríñg áúdíts. Á háñdfúl óf órgáñízátíóñs álsó cóñtíñúé tó répórt thát ít éxpéríéñcéd á dátá bréách évéñ áftér récéñtlý pássíñg á PCÍ áúdít. Thé kéý tákéáwáý héré ís thát cómplíáñcé dóésñ’t ñécéssárílý méáñ thé dátá áñd ápplícátíóñs áré sécúré. Cómplíáñcé shóúld bé víéwéd ás thé básélíñé; áñd órgáñízátíóñs shóúld álsó fócús óñ ídéñtífýíñg áñd mítígátíñg thréát véctórs thát áréñ’t ñécéssárílý cóvéréd bý íts cómplíáñcé máñdátés.]

[Thés~é áré~ thé m~óst c~ómmó~ñ PCÍ~ cómp~líáñ~cé ch~állé~ñgés~:]

1. [Ñééd tó máñágé thé scópé áñd cóñtról thé cóst óf PCÍ áúdíts. Thé PCÍ Sécúrítý Cóúñcíl públíshéd á gúídé fór scópíñg áñd ñétwórk ségméñtátíóñ. Thé dócúméñt ófférs á fráméwórk tó hélp cóvéréd órgáñízátíóñs ídéñtífý thé CDÉ (cárdhóldér dátá éñvíróñméñt) cómpóñéñts, PCÍ-cóññéctéd áñd PCÍ-sécúrítý ímpáctíñg sýstéms, áñd óút-óf-scópé cómpóñéñts. Úñfórtúñátélý, éxécútíñg thé scópíñg áñd ségméñtíñg fráméwórk ís chálléñgíñg fór máñý órgáñízátíóñs bécáúsé óf thé íñcréásíñglý dýñámíc áñd cómpléx ñátúré óf dátá céñtér éñvíróñméñts áñd páýméñt árchítéctúrés. Rélýíñg óñ státíc, póíñt-íñ-tímé dátá áñd ñétwórk flów máps tó pópúláté áñd máíñtáíñ thé PCÍ cómpóñéñt íñvéñtórý cómbíñéd wíth íñcóñsístéñt ÍT cháñgé áñd fíréwáll cháñgé máñágéméñt práctícés léád tó scópíñg áñd ségméñtátíóñ érrórs, whích íñ túrñ, résúlt íñ PCÍ ásséssméñt fáílúrés áñd híghér áúdít cósts.]
2. [Íñábílítý tó cóñtíñúóúslý máíñtáíñ íts PCÍ sécúrítý cómplíáñcé áñd ségméñtátíóñ póstúré. Thé PCÍ Sécúrítý stáñdárds réqúíré órgáñízátíóñs tó cóñtíñúóúslý máíñtáíñ íts PCÍ ségméñtátíóñ póstúré áñd éñsúré thát ít ís cóñtíñúóúslý cómplíáñt wíth PCÍ réqúíréméñts áñd básé réqúíréméñts. Dýñámíc áñd cómpléx dátá céñtér áñd páýméñt árchítéctúrés cómbíñéd wíth mísálígñméñts ácróss sécúrítý prócéssés áñd ÍT ópérátíóñs léád tó sécúrítý áñd cóñtról gáps. Ás á résúlt óf ÍT práctícés, PCÍ-cómpóñéñts óftéñ éñd úp có-míñglíñg wíth ñóñ-PCÍ cómpóñéñts wíthíñ thé sámé zóñé, VLÁÑ, ór súbñét, áñd wíthóút áddítíóñál cóñtróls tó réstríct tráffíc tó thé CDÉ. Íñ sómé cásés, thé díscóññéct bétwééñ ÍT cháñgé máñágéméñt, résóúrcé próvísíóñíñg, áñd fíréwáll cháñgé máñágéméñt prócéssés résúlt íñ thé íñcórréct íñvéñtórý óf íñ-scópé PCÍ-cóññéctéd sýstéms áñd míscóñfígúréd fíréwáll rúlés. Póór vúlñérábílítý máñágéméñt áñd pátch máñágéméñt prócéssés álsó prévéñt áñ órgáñízátíóñ fróm cóñtíñúóúslý máíñtáíñíñg íts PCÍ sécúrítý póstúré.Thé Vérízóñ Páýméñt Sécúrítý Répórt próvídés á détáíléd révíéw óf thé páýméñt sécúrítý tréñds áñd thé crítícál sécúrítý chálléñgés thát órgáñízátíóñs cóñtíñúé tó éxpéríéñcé. Vérízóñ hás bééñ públíshíñg thís répórt áññúállý síñcé 2010. Íñ thé 2020 répórt, thé áúthórs cóñclúdé thát thé fóllówíñg PCÍ réqúíréméñts hávé thé wórst cóñtról gáps:]
3. [Réq 11. T~ést s~écúr~ítý s~ýsté~ms áñ~d pró~céss~és]
4. [Réq 5. P~róté~ct ág~áíñs~t mál~ícíó~ús só~ftwá~ré]
5. [Réq 10. T~ráck~ áñd m~óñít~ór ác~céss~]
6. [Réq 12. S~écúr~ítý m~áñág~éméñ~t]
7. [Réq 8. Á~úthé~ñtíc~áté á~ccés~s]
8. [Réq 1. Í~ñstá~ll áñ~d máí~ñtáí~ñ á fí~réwá~ll có~ñfíg~úrát~íóñ]
9. [Hávíñg flát ñétwórks. Súrprísíñglý, máñý órgáñízátíóñs tódáý cóñtíñúé tó hávé flát ñétwórks bécáúsé thésé áré símplé tó árchítéct áñd éásý tó ópéráté áñd máíñtáíñ. Hówévér, á flát ñétwórk méáñs thát évérýthíñg íñ thé éñvíróñméñt (íñclúdíñg ñóñ-PCÍ cóññéctéd áñd ñóñ-CDÉ cómpóñéñts) áré íñ-scópé fór PCÍ léádíñg tó híghér PCÍ áúdít cósts. Á flát ñétwórk álsó méáñs thát íf á bád áctór ís áblé tó súccéssfúllý cómprómísé á síñglé hóst, ít cáñ théñ éásílý trávérsé thé ñétwórk áñd áccéss thé páýméñt ápplícátíóñs áñd cárdhóldér dátábásé.]
10. [Ñééd tó sécúré tráñsítíóñ tó rémóté wórk ópérátíñg módél. Ás órgáñízátíóñs tráñsítíóñ tó áñ áll-rémóté wórk ópérátíñg módél, théý ñééd tó éválúáté hów thésé cháñgés áfféct thé scópé óf théír PCÍ éñvíróñméñt, áñd whát áddítíóñál cóñtróls théý hávé tó ímpléméñt tó cóñtról légítímáté tráffíc tó thé CDÉ. Éxámplés íñclúdé sécúríñg légítímáté rémóté áccéss óf áúthórízéd ádmíñs tó páýméñt ápplícátíóñs fróm wórkér láptóps, sécúríñg rémóté cústómér súppórt áñd bíllíñg, áñd óñ-síté, cóñtáctléss, sécúríñg áúthórízéd cóññéctíóñs bétwééñ íñtérñét-fácíñg cóñtáctléss kíósks áñd thé dátá céñtér ápplícátíóñs.]

[Whát~ áré P~CÍ Dá~tá Sé~cúrí~tý St~áñdá~rd’s C~ómmó~ñ Ímp~lémé~ñtát~íóñ c~háll~éñgé~s¿]

[Réál~-tímé~ vísí~bílí~tý íñ~tó th~é wór~klóá~ds, ús~érs, d~évíc~és, áñ~d íts~ cóññ~éctí~óñs á~ñd fl~óws á~ré ím~pórt~áñt f~ór:]

• [Éñsú~ríñg~ thát~ thé s~cópé~ óf th~é PCÍ~ éñví~róñm~éñt í~s úp-t~ó-dát~é áñd~ áccú~ráté~, whíc~h íñ t~úrñ m~éáñs~ thát~ ségm~éñtá~tíóñ~ áñd f~íréw~áll r~úlés~ áré c~órré~ctlý~ áppl~íéd.]
• [Próv~ídíñ~g vál~úábl~é íñp~úts t~ó thé~ máñd~átéd~ qúár~térl~ý íñt~érñá~l vúl~ñérá~bílí~tý sc~áñs á~ñd ús~íñg t~hís í~ñfór~mátí~óñ tó~ máp t~hé pó~téñt~íál l~átér~ál át~táck~ páth~wáýs~ ássó~cíát~éd wí~th vú~lñér~ábíl~ítíé~s.]
• [Cóñt~íñúó~úslý~ móñí~tórí~ñg th~é PCÍ~ éñví~róñm~éñt f~ór ch~áñgé~s íñ w~órkl~óáds~, déví~cés, ú~sérs~, cóññ~éctí~óñs, á~ñd fá~íléd~ átté~mpts~ tó có~ññéc~t whí~ch có~úld b~é íñd~ícát~órs ó~f á pó~téñt~íál á~ttác~k.]
• [Ídéñ~tífý~íñg c~háñg~és íñ~ thé á~ttác~k súr~fácé~ áñd t~hréá~t véc~tórs~ thát~ áré ñ~ót ñé~céss~áríl~ý cóv~éréd~ bý PC~Í cóm~plíá~ñcé r~éqúí~rémé~ñts.]

[Réál~-tímé~ Vísí~bílí~tý’s Í~mpór~táñc~é íñ É~fféc~tívé~ PCÍ D~SS Có~mplí~áñcé~]

• [Réál-tímé vísíbílítý hélps éñsúré thé áccúrácý óf thé PCÍ scópé bý cóñtíñúóúslý móñítóríñg áll thé cóññéctíóñs óf thé CDÉ, PCÍ-cóññéctéd, áñd PCÍ sécúrítý-ímpáctíñg sýstéms, áll óf whích áré íñ scópé fór PCÍ. Áñ órgáñízátíóñ cáñ théñ ápplý hóst-báséd mícró-ségméñtátíóñ tó éñfórcé thé ápplícáblé fíréwáll rúlés tó réstríct íñbóúñd áñd óútbóúñd tráffíc tó thé PCÍ éñvíróñméñt óñlý tó thósé thát áré “állówéd” ór “légítímáté”. (Réqúíréméñt 1)]
• [Cóñt~íñúó~úslý~ máíñ~táíñ~íñg é~fféc~tívé~ áñd á~ccúr~áté s~égmé~ñtát~íóñ ó~f thé~ PCÍ é~ñvír~óñmé~ñt hé~lps c~óñtr~ól th~é PCÍ~ áúdí~t cós~ts.]
• [Élím~íñát~íñg m~íscó~ñfíg~úréd~ áñd ó~út-óf~-dáté~ fíré~wáll~ rúlé~s mít~ígát~és á c~óvér~éd ór~gáñí~zátí~óñ’s é~xpós~úré t~ó á pó~téñt~íál d~átá b~réác~h.]
• [Táké ádváñtágé óf thé íñtégrátíóñ wíth ÍT áútómátíóñ tóóls (líké Chéf, Púppét, áñd Áñsíblé, Térráfórm) tó éñsúré thát ségméñtátíóñ pólícíés áré próvísíóñéd, át thé sámé tímé ás wórklóád résóúrcé próvísíóñíñg áñd réléásé tó pródúctíóñ éñvíróñméñt.]
• [Réál-tímé vísíbílítý hélps thé órgáñízátíóñ ásséss thé cháñgés tó thé PCÍ scópé ás áñ órgáñízátíóñ tráñsítíóñs tó rémóté wórk. Ít hélps thé órgáñízátíóñ ídéñtífý crítícál cóñtról gáps áñd pótéñtíál áttáck véctórs. Órgáñízátíóñs cáñ théñ ápplý hóst-báséd mícró-ségméñtátíóñ tó réstríct péér-tó-péér cóññéctíóñs fróm át-hómé dévícés tó thé rémóté úsér’s láptóps, áñd tó cóñtról úsér tó dátá céñtér ápplícátíóñ cóññéctíóñs.]
• [Cóñt~ról c~óññé~ctíó~ñs bé~twéé~ñ áút~hórí~zéd P~CÍ wó~rkló~áds, ú~sérs~, áñd d~évíc~és th~át ár~é scá~ttér~éd ác~róss~ múlt~íplé~ VLÁÑ~s, zóñ~és áñ~d súb~ñéts~, áñd k~éép ú~p wít~h ÍT ó~pérá~tíóñ~s chá~ñgés~, wíth~óút r~é-árc~híté~ctíñ~g thé~ ñétw~órkí~ñg éñ~víró~ñméñ~t.]
• [Íñ cl~óúd-ñ~átív~é áñd~ gréé~ñfíé~ld éñ~víró~ñméñ~ts, ór~gáñí~zátí~óñs c~áñ tá~ké ád~váñt~ágé ó~f thé~ íñté~grát~íóñ w~íth c~óñtá~íñér~ órch~éstr~átíó~ñ plá~tfór~ms tó~ próv~ísíó~ñ “ség~méñt~átíó~ñ pól~ícíé~s” át t~hé bí~rth ó~f á wó~rkló~ád.]
• [Íñ ád~dítí~óñ tó~ díré~ctlý~ méét~íñg P~CÍ có~mplí~áñcé~ réqú~írém~éñts~, áñ ór~gáñí~zátí~óñ cá~ñ ápp~lý mí~cró-s~égmé~ñtát~íóñ t~ó réd~úcé í~ts át~táck~ súrf~ácé, ó~bstr~úct l~átér~ál mó~vémé~ñt, áñ~d cóñ~táíñ~ thé r~ápíd~ próp~ágát~íóñ ó~f ráñ~sómw~áré.]

[Úsíñ~g Hós~t-Bás~éd Mí~cró-S~égmé~ñtát~íóñ t~ó Ádd~réss~ Ýóúr~ PCÍ C~ómpl~íáñc~é áñd~ Cýbé~rséc~úrít~ý Chá~lléñ~gés]

• [Réál-tímé vísíbílítý hélps éñsúré thé áccúrácý óf thé PCÍ scópé bý cóñtíñúóúslý móñítóríñg áll thé cóññéctíóñs óf thé CDÉ, PCÍ-cóññéctéd, áñd PCÍ sécúrítý-ímpáctíñg sýstéms, áll óf whích áré íñ scópé fór PCÍ. Áñ órgáñízátíóñ cáñ théñ ápplý hóst-báséd mícró-ségméñtátíóñ tó éñfórcé thé ápplícáblé fíréwáll rúlés tó réstríct íñbóúñd áñd óútbóúñd tráffíc tó thé PCÍ éñvíróñméñt óñlý tó thósé thát áré “állówéd” ór “légítímáté”. (Réqúíréméñt 1)]
• [Cóñt~íñúó~úslý~ máíñ~táíñ~íñg é~fféc~tívé~ áñd á~ccúr~áté s~égmé~ñtát~íóñ ó~f thé~ PCÍ é~ñvír~óñmé~ñt hé~lps c~óñtr~ól th~é PCÍ~ áúdí~t cós~ts.]
• [Élím~íñát~íñg m~íscó~ñfíg~úréd~ áñd ó~út-óf~-dáté~ fíré~wáll~ rúlé~s mít~ígát~és á c~óvér~éd ór~gáñí~zátí~óñ’s é~xpós~úré t~ó á pó~téñt~íál d~átá b~réác~h.]
• [Táké ádváñtágé óf thé íñtégrátíóñ wíth ÍT áútómátíóñ tóóls (líké Chéf, Púppét, áñd Áñsíblé, Térráfórm) tó éñsúré thát ségméñtátíóñ pólícíés áré próvísíóñéd, át thé sámé tímé ás wórklóád résóúrcé próvísíóñíñg áñd réléásé tó pródúctíóñ éñvíróñméñt.]
• [Réál-tímé vísíbílítý hélps thé órgáñízátíóñ ásséss thé cháñgés tó thé PCÍ scópé ás áñ órgáñízátíóñ tráñsítíóñs tó rémóté wórk. Ít hélps thé órgáñízátíóñ ídéñtífý crítícál cóñtról gáps áñd pótéñtíál áttáck véctórs. Órgáñízátíóñs cáñ théñ ápplý hóst-báséd mícró-ségméñtátíóñ tó réstríct péér-tó-péér cóññéctíóñs fróm át-hómé dévícés tó thé rémóté úsér’s láptóps, áñd tó cóñtról úsér tó dátá céñtér ápplícátíóñ cóññéctíóñs.]
• [Cóñt~ról c~óññé~ctíó~ñs bé~twéé~ñ áút~hórí~zéd P~CÍ wó~rkló~áds, ú~sérs~, áñd d~évíc~és th~át ár~é scá~ttér~éd ác~róss~ múlt~íplé~ VLÁÑ~s, zóñ~és áñ~d súb~ñéts~, áñd k~éép ú~p wít~h ÍT ó~pérá~tíóñ~s chá~ñgés~, wíth~óút r~é-árc~híté~ctíñ~g thé~ ñétw~órkí~ñg éñ~víró~ñméñ~t.]
• [Íñ cl~óúd-ñ~átív~é áñd~ gréé~ñfíé~ld éñ~víró~ñméñ~ts, ór~gáñí~zátí~óñs c~áñ tá~ké ád~váñt~ágé ó~f thé~ íñté~grát~íóñ w~íth c~óñtá~íñér~ órch~éstr~átíó~ñ plá~tfór~ms tó~ próv~ísíó~ñ “ség~méñt~átíó~ñ pól~ícíé~s” át t~hé bí~rth ó~f á wó~rkló~ád.]
• [Íñ ád~dítí~óñ tó~ díré~ctlý~ méét~íñg P~CÍ có~mplí~áñcé~ réqú~írém~éñts~, áñ ór~gáñí~zátí~óñ cá~ñ ápp~lý mí~cró-s~égmé~ñtát~íóñ t~ó réd~úcé í~ts át~táck~ súrf~ácé, ó~bstr~úct l~átér~ál mó~vémé~ñt, áñ~d cóñ~táíñ~ thé r~ápíd~ próp~ágát~íóñ ó~f ráñ~sómw~áré.]

[Léár~ñ mór~é]

[Stár~t ñów~ tó ím~plém~éñt s~téps~ tó bé~cómé~ PCÍ c~ómpl~íáñt~ áñd p~róté~ct ýó~úr cú~stóm~érs á~ñd ýó~úr có~mpáñ~ý.]

[Léár~ñ mór~é ábó~út hó~w míc~ró-sé~gméñ~tátí~óñ cá~ñ hél~p réd~úcé ý~óúr P~CÍ DS~S scó~pé áñ~d ách~íévé~ cómp~líáñ~cé wí~th óú~r whí~té pá~pér, "T~hréé~ Stép~s tó É~fféc~tívé~lý Sé~gméñ~t Ýóú~r PCÍ~ Cómp~líáñ~cé."]