PCI-DSS Compliance

PCI-DSS Compliance là gì?

PCI-DSS (Payment Card Industry Data Security Standard) là bộ tiêu chuẩn bảo mật dữ liệu thẻ thanh toán do Hội đồng PCI Security Standards Council (gồm Visa, Mastercard, JCB, American Express, Discover) ban hành, phiên bản hiện hành 4.0.1 (6/2024). Tiêu chuẩn áp dụng bắt buộc cho mọi tổ chức lưu trữ, xử lý, truyền tải dữ liệu chủ thẻ (Cardholder Data) và dữ liệu nhạy cảm xác thực (SAD), bất kể quy mô hay số lượng giao dịch.

Đặc điểm

• 12 yêu cầu cốt lõi nhóm thành 6 mục tiêu: (1) xây dựng và duy trì mạng bảo mật; (2) bảo vệ dữ liệu chủ thẻ; (3) quản lý lỗ hổng; (4) kiểm soát truy cập mạnh mẽ; (5) giám sát và kiểm tra mạng định kỳ; (6) duy trì chính sách bảo mật thông tin.
• Mã hóa truyền tải qua mạng công cộng bằng TLS 1.2+ và mã hóa dữ liệu lưu trữ bằng AES-256, RSA-2048 hoặc mạnh hơn.
• Yêu cầu quét lỗ hổng hàng quý, kiểm thử xâm nhập (pentest) hàng năm, đánh giá tuân thủ bởi QSA (Qualified Security Assessor) với merchant cấp 1 xử lý trên 300.000 giao dịch/năm.
• Tại Việt Nam, tuân thủ PCI-DSS là điều kiện bắt buộc theo Quyết định 04/2024/QĐ-NHNN và Thông tư 17/2024/TT-NHNN; vi phạm bị xử phạt hành chính theo Nghị định 15/2020/NĐ-CP với mức phạt lên tới hàng trăm triệu đồng.

Ví dụ

Một công ty fintech Việt Nam cung cấp ví điện tử xử lý hơn 300.000 giao dịch thẻ/năm phải tuân thủ PCI-DSS Level 1 (cấp cao nhất). Công ty cần: phân vùng mạng với firewall và DMZ; mã hóa AES-256 khi lưu trữ dữ liệu thẻ, TLS 1.3 khi truyền tải; áp dụng xác thực đa yếu tố (MFA) cho mọi truy cập quản trị; lưu trữ log truy cập dữ liệu chủ thẻ tối thiểu 12 tháng (3 tháng truy cập trực tuyến); đồng thời thuê QSA quốc tế đánh giá và cấp chứng nhận Report on Compliance (ROC) hàng năm để được phép kết nối với Visa/Mastercard.