Point-to-Point Encryption (P2PE)

Point-to-Point Encryption (P2PE) là gì?

P2PE là giải pháp mã hóa dữ liệu thẻ thanh toán ngay tại thiết bị đầu cuối POS/mPOS và chỉ được giải mã tại hệ thống xử lý của nhà cung cấp P2PE đã được Hội đồng PCI Security Standards Council (PCI SSC) chứng nhận. Dữ liệu thẻ được mã hóa xuyên suốt từ "điểm" nhập liệu đến "điểm" giải mã, ngăn chặn nguy cơ lộ thông tin ở các hệ thống trung gian như POS gateway, phần mềm bán hàng và máy chủ merchant.

Đặc điểm

• Thu hẹp phạm vi tuân thủ PCI-DSS: merchant chỉ cần kê khai Bộ câu hỏi Tự đánh giá (SAQ) rút gọn như SAQ P2PE-HW thay vì SAQ đầy đủ, giảm đáng kể chi phí kiểm toán.
• Bảo vệ số PAN, ngày hết hạn, mã dịch vụ và dữ liệu track khỏi các hình thức skimming, malware POS, truy cập trái phép tại hệ thống merchant.
• Yêu cầu thiết bị đầu cuối đạt chứng nhận PCI P2PE, quản lý khóa mã hóa theo chuẩn SLL (Secure Logging and Loading) và quy trình Inject/Inject Key đạt chuẩn.
• Tại Việt Nam, việc triển khai P2PE được Ngân hàng Nhà nước khuyến khích theo Thông tư 17/2024/TT-NHNN về dịch vụ trung gian thanh toán và Thông tư 18/2024/TT-NHNN quy định về hoạt động thẻ ngân hàng.

Ví dụ

Một chuỗi bán lẻ 200 cửa hàng tại TP.HCM triển khai máy POS đạt chuẩn P2PE. Khi khách quẹt thẻ, dữ liệu được mã hóa ngay tại máy POS bằng khóa riêng, truyền qua Internet đến hệ thống giải mã của nhà cung cấp P2PE được PCI SSC chứng nhận, sau đó chuyển tiếp sang Visa/Mastercard. Hệ thống bán hàng và máy chủ của chuỗi không bao giờ lưu trữ dữ liệu thẻ ở dạng cleartext, giúp giảm hơn 60% chi phí kiểm toán PCI-DSS hàng năm và loại bỏ rủi ro lộ dữ liệu từ máy chủ nội bộ.