ทดสอบเจาะระบบตาม PCI DSS ผ่านเกณฑ์ได้อย่างมั่นใจ
PCI DSS v4.0.1 บังคับให้ทำ Penetration Testing ปีละครั้ง (Req 11.4) และสแกนช่องโหว่ทุกไตรมาสผ่าน ASV (Req 11.3) เราดูแลให้ครบทั้งสองข้อ พร้อมรายงานที่ QSA ยอมรับได้ทันที
PCI DSS คืออะไร?
PCI DSS เป็นมาตรฐานความปลอดภัยระดับโลกสำหรับทุกองค์กรที่เกี่ยวข้องกับข้อมูลบัตรชำระเงิน กำกับดูแลโดย PCI SSC ซึ่งก่อตั้งโดย Visa, Mastercard, American Express, Discover และ JCB กำหนดแนวทางการจัดเก็บ ประมวลผล และส่งต่อข้อมูลบัตรอย่างปลอดภัย
- กำกับดูแลโดย PCI SSC ซึ่งก่อตั้งโดย 5 แบรนด์บัตรชำระเงินหลักของโลก
- เวอร์ชันล่าสุดคือ v4.0.1 (มิ.ย. 2024) ข้อกำหนดหลักของ v4.0 บังคับใช้ตั้งแต่ 31 มี.ค. 2024 (เมื่อ v3.2.1 ถูกยกเลิก) และข้อกำหนด future-dated (เช่น MFA ขั้นสูง, anti-phishing, WAF) บังคับใช้ตั้งแต่ 31 มี.ค. 2025 ปัจจุบันข้อกำหนดทั้งหมดมีผลบังคับใช้แล้ว
- มี 12 ข้อกำหนดภายใต้ 6 เป้าหมายด้านความปลอดภัย
- ใช้บังคับทั่วโลก ไม่จำกัดขนาดธุรกิจหรือจำนวนธุรกรรม
- ตรวจสอบ Compliance ได้ผ่าน SAQs หรือ On-site Audit โดย QSA
อ้างอิง: PCI SSC - https://www.pcisecuritystandards.org/standards/pci-dss/
ใครบ้างที่ต้องทำตาม PCI DSS?
องค์กรใดก็ตามที่เก็บ ประมวลผล หรือส่งต่อข้อมูลบัตรชำระเงิน ต้องปฏิบัติตาม PCI DSS ทั้งหมด แบ่งเป็น 4 ระดับตามปริมาณธุรกรรม
ร้านค้า (Merchants)
ร้านค้าปลีก ร้านอาหาร โรงแรม หรือธุรกิจใดก็ตามที่รับบัตรทั้งหน้าร้านและออนไลน์
ธุรกิจ E-Commerce
ร้านค้าออนไลน์และแพลตฟอร์มที่รับชำระบัตรผ่าน Payment Gateway
สถาบันการเงิน
ธนาคาร Acquiring Bank และผู้ออกบัตรที่ต้องจัดการข้อมูลผู้ถือบัตร
ผู้ให้บริการชำระเงิน
Payment Processor, Payment Gateway และ Payment Service Provider ที่ดูแลธุรกรรมบัตร
Service Providers
ผู้ให้บริการ Hosting, Managed Security หรือองค์กรใดที่เข้าถึง Cardholder Data Environment (CDE)
ทุกองค์กรที่แตะข้อมูลบัตร
ใครก็ตามที่เก็บ ประมวลผล หรือส่งต่อหมายเลขบัตร (PAN) หรือข้อมูล Authentication ที่สำคัญ
ข้อกำหนดด้าน Security Testing ที่สำคัญ
PCI DSS v4.0.1 ระบุชัดเจนว่าต้องทดสอบอะไรบ้าง ตั้งแต่ Pentest ประจำปี สแกนรายไตรมาส ไปจนถึง Secure Coding นี่คือข้อกำหนดที่ต้องรู้
Penetration Testing
ต้องทำ Pentest ทั้ง External และ Internal อย่างน้อยปีละครั้ง และทุกครั้งหลังเปลี่ยนแปลงระบบสำคัญ ครอบคลุม CDE ทั้งหมดรวมถึง Network Segmentation ตาม Methodology มาตรฐาน เช่น NIST SP 800-115 หรือ OWASP
Vulnerability Scanning
สแกนช่องโหว่ภายนอกโดย ASV ทุกไตรมาส สแกนภายในทุกไตรมาสเช่นกัน v4.0 เพิ่มข้อกำหนดให้สแกนภายในแบบ Authenticated เพื่อจับ Misconfiguration ได้ลึกขึ้น
Secure Software Development
ซอฟต์แวร์ที่พัฒนาเองต้องผ่าน Code Review ก่อนขึ้น Production โดยเฉพาะช่องโหว่ OWASP Top 10 Developer ต้องเข้า Training เรื่อง Secure Coding อย่างน้อยปีละครั้ง
Malware Protection
ติดตั้งและดูแลระบบป้องกัน Malware บนทุกระบบที่มีความเสี่ยง พร้อม Monitor อย่างต่อเนื่อง
Network Security Controls
ต้องมี Firewall และ Network Segmentation ที่แยก CDE ออกจาก Untrusted Network อย่างชัดเจน
Access Control & Authentication
ทุกการเข้าถึง CDE ต้องผ่าน Multi-Factor Authentication (MFA) พร้อมระบุตัวตนผู้ใช้อย่างชัดเจน
ไม่ทำตาม PCI DSS แล้วจะเป็นอย่างไร
Card Brand และ Acquiring Bank บังคับใช้ PCI DSS อย่างจริงจัง ผลกระทบทั้งด้านการเงินและการดำเนินงานมาเร็วกว่าที่คิด
Card Brand ปรับ Acquiring Bank ได้ $5,000 - $100,000/เดือน แล้วส่งต่อมาที่ร้านค้า ยิ่งปล่อยนานค่าปรับยิ่งเพิ่ม
อาจโดนระงับสิทธิ์รับชำระบัตรทั้งหมด สำหรับธุรกิจที่พึ่งพาบัตรเป็นหลัก นี่คือวิกฤตที่ทำให้ธุรกิจหยุดชะงัก จะกลับมารับบัตรได้ต้องผ่าน Compliance เต็มรูปแบบ
ถ้าเกิด Breach ตอนที่ยังไม่ Compliant ต้องแบกรับค่า Forensic Investigation ค่าออกบัตรใหม่ ค่าเสียหายจากการฉ้อโกง และอาจถูกฟ้องจากผู้ถือบัตรและธนาคาร
Penetration Testing ช่วยเรื่อง PCI DSS ตรงไหนบ้าง
Pentest แต่ละประเภทตอบโจทย์ข้อกำหนด PCI DSS คนละข้อ ช่วยให้มั่นใจว่า CDE ของคุณปลอดภัยจริง
Checklist สำหรับ PCI DSS Compliance
สิ่งที่ต้องทำด้าน Security Testing เพื่อให้ผ่านเกณฑ์ PCI DSS
เอกสารอ้างอิง
อ่านรายละเอียดมาตรฐาน PCI DSS ฉบับเต็มจากแหล่งข้อมูลทางการ
บริการที่เกี่ยวข้อง
ทดสอบครบทุกด้านที่ PCI DSS กำหนด สำหรับ Cardholder Data Environment ของคุณ
คำถามที่พบบ่อยเรื่อง PCI DSS
รวมคำตอบเรื่อง Penetration Testing และ Security Requirements สำหรับ PCI DSS Compliance
พร้อมผ่านเกณฑ์ PCI DSS แล้วหรือยัง?
Penetration Testing และ Vulnerability Scanning ตาม PCI DSS v4.0.1 พร้อมรายงานที่ QSA ยอมรับได้ทันที
Reconix เป็นบริษัทชั้นนำด้านความปลอดภัยไซเบอร์ในประเทศไทย ที่ให้บริการระดับโลกแก่ธุรกิจทุกขนาด