Платёжная компания и PCI DSS 4.0.1: готовность к оценке без сюрпризов

Стандарт разрабатывает и поддерживает PCI Security Standards Council. PCI DSS задаёт базовые технические и операционные требования к защите данных платёжных счетов. Для компании, которая хранит, обрабатывает или передаёт данные карт своих клиентов, это обязательный язык разговора с эквайером и платёжными системами.

Редакция 4.0.1 уточнила формулировки и примечания о применимости, в том числе для эмитентов. Даты вступления новых требований она не сдвинула. На практике это значит, что политики и процедуры, написанные под 3.2.1, требуют пересмотра целиком, а документы под 4.0 достаточно сверить с уточнёнными формулировками.

До 31 марта 2025 года эти требования считались лучшей практикой. Теперь они обязательны, и компании, которые прошли прошлую оценку по 3.2.1 или по 4.0 без них, видят новые пункты в отчёте.

Скрипты платёжной страницы

Требования 6.4.3 и 11.6.1 касаются электронной коммерции: скрипты на странице оплаты должны быть авторизованы, проверены на целостность и находиться под контролем на случай подмены. Если ваш шлюз отдаёт платёжную форму мерчантам, этот вопрос придёт и к вам, и к ним.

Ежегодное подтверждение границ

Требование 12.5.2 вводит ежегодное подтверждение области оценки. Компания сама документирует, где живут данные карт и какие системы с ними связаны, до прихода ассессора.

Работу по каждому требованию мы начинаем со сверки фактического состояния и записываем разрыв с приоритетом и сроком.

PCI SSC прямо пишет, что организации, принимающие подтверждение соответствия, обычно это платёжные системы и эквайеры, решают, как мерчант или провайдер услуг подтверждает соответствие и какие требования оцениваются. Поэтому первый шаг подготовки — письменный ответ вашего эквайера или партнёра о формате.

Что важно знать об оценке QSA

Пометку «неприменимо» ассессор ставит только после того, как подтвердил это тестированием, и документирует подтверждение. Слабое обоснование границ может растянуть оценку: ассессор расширяет выборку, и в область попадают системы, к которым вы не готовились.

Мы составляем карту потоков данных карт: откуда приходят, где хранятся, кто и через что к ним обращается. Затем вместе с вашей командой смотрим, что можно убрать из области: сегментация сети, токенизация, передача хранения процессору, отказ от лишних копий в журналах и выгрузках.

Подрядчики и облака

Каждый поставщик, который касается данных карт или может повлиять на их защиту, попадает в вашу картину рисков. Мы собираем их перечень, распределение ответственности и подтверждения соответствия, которые вы от них получаете.

Как мы ведём подготовку

1. Платная консультация на 30 минут и письмо о рамках: системы, сроки, фиксированная цена.
2. Оценка разрывов по требованиям 4.0.1 с отчётом простым языком и техническим приложением.
3. Исправления сами или с вашей командой; каждую находку проверяет человек.
4. Документы и доказательства, привязанные к номерам требований.
5. Повторная проверка перед оценкой QSA или заполнением SAQ.

Тест на проникновение, если он нужен в рамках оценки, выполняется по запросу отдельным исполнителем. Лицензию платёжной организации и программу ПОД/ФТ ведут наши практики лицензирования и комплаенса.