Governance, Risk & Compliance

ที่ปรึกษาและตรวจประเมิน PCI DSS

สนับสนุน Merchant และ Service Provider ตั้งแต่กำหนดขอบเขต เตรียมความพร้อม จนถึงการตรวจประเมินและเอกสารที่เหมาะกับองค์กร

กรอกข้อมูลเพื่อประเมินเบื้องต้น

Scoping / Gap Assessment
ROC / AOC
SAQ
Merchant / Service Provider

รายละเอียดบริการ

จากการประเมินสู่ผลลัพธ์ที่นำไปใช้ได้จริง

เหมาะกับองค์กรแบบใด

องค์กรที่ต้องการจัดวางระบบบริหาร เตรียมรับข้อกำหนดของลูกค้า หรือปรับปรุงโครงการที่มีอยู่

ขั้นตอนการดำเนินงาน

ประเมินสถานะและช่องว่าง
ช่องทางรับชำระ การไหลของข้อมูลบัตร ผู้ให้บริการภายนอก และรูปแบบการประเมินที่เหมาะสม
สัมภาษณ์เจ้าของกระบวนการ ทบทวนเอกสารและตัวอย่างหลักฐาน ระบุช่องว่างตามกรอบที่ตกลง พร้อมแยกมาตรการที่ยังไม่มีออกจากมาตรการที่มีแล้วแต่ขาดหลักฐานการปฏิบัติ
วางแผนและสนับสนุนการนำไปใช้
มาตรการในขอบเขต การแบ่งเครือข่าย บันทึกการปฏิบัติ และหลักฐานทดสอบทางเทคนิค
จัดลำดับงานตามความเสี่ยงธุรกิจและงานที่ต้องทำก่อน ร่วมกับผู้รับผิดชอบพัฒนานโยบาย ขั้นตอน หน้าที่ และแบบบันทึกหลักฐาน พร้อมสนับสนุนการนำไปใช้ผ่านการประชุมเชิงปฏิบัติการที่ตกลง
ตรวจประเมินและรายงานการรับรอง
รายงาน ROC/AOC หรือสนับสนุน SAQ ตามรูปแบบที่ใช้ พร้อมข้อค้นพบและแผนแก้ไข
นำเสนอข้อค้นพบ ความเสี่ยง หลักฐาน และคำแนะนำที่นำไปใช้ได้ ระบุคำชี้แจงผู้บริหาร ผู้รับผิดชอบ และกำหนดแก้ไข พร้อมทบทวนหลักฐานเมื่อรวมงานติดตาม ทั้งนี้ข้อสรุปการรับรองขึ้นกับเกณฑ์และผลประเมินจริง

สิ่งที่ลูกค้าจะได้รับ

รายงานช่องว่างและทะเบียนแผนงานตามลำดับความสำคัญ
นโยบาย แบบฟอร์มปฏิบัติงาน และแผนการนำไปใช้ตามขอบเขต
รายงานผลประเมิน หลักฐานประกอบ และทะเบียนแผนแก้ไขตามรูปแบบการรับรองที่ตกลง

กรอบและแนวทางที่เกี่ยวข้อง

PCI SSC · Qualified Security Assessors

ก่อนเริ่มโครงการ

เรายืนยันขอบเขต หน้าที่รับผิดชอบ หลักฐาน ระยะเวลา และสิ่งส่งมอบในข้อเสนอ โดยปรับกิจกรรมข้างต้นให้เหมาะกับระบบและเป้าหมายที่ตกลงกับองค์กรของคุณ

ปรึกษาขอบเขตงาน

ก่อนเลือกบริการ: คำถามที่พบบ่อย

ควรเริ่มจาก SAQ หรือ ROC?

รูปแบบการประเมินขึ้นอยู่กับบทบาท Merchant หรือ Service Provider กระบวนการรับชำระเงิน ขอบเขตระบบ และข้อกำหนดของผู้รับผลประเมิน ควรยืนยันกับธนาคารผู้รับบัตรหรือผู้เกี่ยวข้องก่อนเลือกเอกสาร ทีม QSA ช่วยทบทวนขอบเขตและข้อมูลประกอบการตัดสินใจได้

งานที่ปรึกษา PCI DSS กับงานตรวจประเมินต่างกันอย่างไร?

งานที่ปรึกษาช่วยวิเคราะห์ช่องว่าง วางแผนปรับปรุงและเตรียมหลักฐาน ส่วนงานตรวจประเมินพิจารณาการปฏิบัติตามข้อกำหนดจากหลักฐานจริง ขอบเขต บทบาท และสิ่งส่งมอบต้องระบุชัดเจนในข้อเสนอ ผลประเมินขึ้นอยู่กับสถานะการปฏิบัติตามข้อกำหนดขององค์กร

ขอประเมินราคา PCI DSS ต้องส่งข้อมูลอะไร?

เริ่มจากประเภทธุรกิจ ผังการรับชำระเงิน ช่องทางที่ใช้ ระบบและผู้ให้บริการภายนอก ขอบเขตการจัดเก็บหรือประมวลผลข้อมูลบัตร ผลประเมินเดิม และกำหนดเวลาที่ต้องการ ส่งเพียงข้อมูลภาพรวมผ่านแบบฟอร์ม แล้วนัดช่องทางที่เหมาะสมสำหรับรายละเอียดที่เป็นความลับ

ดูทีมผู้เชี่ยวชาญ · ข้อมูลบริษัทและมาตรฐาน · ขอประเมินขอบเขตและค่าบริการ

บริการเฉพาะทาง

ประสานการสแกนช่องโหว่กับ Approved Scanning Vendor

ประสานการสแกนช่องโหว่ภายนอกผ่าน Approved Scanning Vendor พร้อมช่วยทบทวนผลและประสานการสแกนซ้ำ

ดูขอบเขต ขั้นตอน และสิ่งส่งมอบ

เหมาะกับองค์กรแบบใด

ทีม IT และทีมพัฒนาที่เตรียมเปิดใช้งานระบบ ตรวจสอบผลการปรับปรุง หรือประเมินระบบสำคัญต่อธุรกิจ

ขั้นตอนการดำเนินงาน

กำหนดขอบเขตและเงื่อนไขทดสอบ
ขอบเขตสแกนภายนอกและประสาน Approved Scanning Vendor
ตกลงเป้าหมาย ระดับสิทธิ ช่วงเวลาทดสอบ ข้อจำกัดธุรกิจ และเงื่อนไขหยุดทดสอบ ยืนยันการอนุญาตเป็นลายลักษณ์อักษรและเตรียมบัญชี เครือข่าย หรือข้อมูลทดสอบที่จำเป็น
ทดสอบและยืนยันข้อค้นพบ
นัดสแกน ASV ทบทวนผล ข้อยกเว้น และประสานแก้ไข
ใช้เครื่องมือที่เหมาะสมร่วมกับการตรวจสอบโดยผู้เชี่ยวชาญตามเป้าหมายทดสอบ ยืนยันข้อค้นพบ เก็บหลักฐานที่ตรวจย้อนกลับได้ และแยกประเด็นที่ยืนยันแล้วออกจากผลที่ยังต้องการข้อมูลเพิ่ม
เสนอแนวทางแก้ไขและทดสอบซ้ำ
ผลสแกนที่ออกโดยผู้ให้บริการ ASV และติดตามสแกนซ้ำตามขอบเขต
อธิบายผลกระทบธุรกิจ องค์ประกอบที่ได้รับผล และแนวทางแก้ไขในรายงานเทคนิคและสรุปผู้บริหาร ทดสอบซ้ำประเด็นที่แก้แล้วตามข้อตกลง พร้อมระบุสถานะและขอบเขตที่ตรวจจริง

สิ่งที่ลูกค้าจะได้รับ

ขอบเขตและแผนทดสอบที่ตกลง
ข้อค้นพบทางเทคนิคพร้อมหลักฐานและลำดับการแก้ไข
สรุปผู้บริหารและบันทึกผลทดสอบซ้ำตามขอบเขต

ผลการสแกน ASV ออกโดย Approved Scanning Vendor ที่เลือก ALPHASEC ประสานขอบเขต การแก้ไข และติดตามผล

กรอบและแนวทางที่เกี่ยวข้อง

PCI SSC · Approved Scanning Vendors

ปรึกษาบริการนี้

PCI CPSA (Physical & Logical) — ตรวจประเมินความปลอดภัยการผลิตบัตร ด้านกายภาพและระบบสารสนเทศ

ตรวจประเมินความปลอดภัยการผลิตและจัดเตรียมบัตร (Card Production Security Assessment) ครอบคลุม Physical ด้านสถานที่และการควบคุมทางกายภาพ และ Logical ด้านข้อมูลบัตร การบันทึกข้อมูลเฉพาะบุคคล PIN และกระบวนการจัดการกุญแจเข้ารหัส โดยกำหนดขอบเขตของแต่ละส่วนอย่างชัดเจน

ปรึกษาบริการนี้

PCI DSS QSA — ตรวจประเมินมาตรฐานความปลอดภัยข้อมูลบัตรชำระเงิน

ตรวจประเมินตาม Payment Card Industry Data Security Standard โดย Qualified Security Assessor (QSA) ตั้งแต่กำหนดขอบเขตระบบที่เกี่ยวข้องกับข้อมูลผู้ถือบัตร ตรวจสอบมาตรการและหลักฐาน จนถึงจัดทำรายงาน เช่น Report on Compliance (ROC) และ Attestation of Compliance (AOC) ตามรูปแบบการตรวจประเมินที่เกี่ยวข้อง

ปรึกษาบริการนี้

PCI 3DS QSA / 3DS Assessor — ตรวจประเมินความปลอดภัยระบบยืนยันตัวตน 3-D Secure

ตรวจประเมินตาม PCI 3DS Core สำหรับสภาพแวดล้อมยืนยันตัวตน EMV 3-D Secure โดย 3DS Assessor ครอบคลุม Access Control Server (ACS), Directory Server (DS) และ 3DS Server ตามขอบเขตที่เกี่ยวข้อง รวมถึงการควบคุมสิทธิ์ การปกป้องข้อมูล และการเฝ้าระวังความปลอดภัย

ปรึกษาบริการนี้

PCI P2PE QSA — ตรวจประเมินการเข้ารหัสข้อมูลการชำระเงินแบบจุดต่อจุด

ตรวจประเมิน Point-to-Point Encryption (P2PE) สำหรับโซลูชัน องค์ประกอบ และแอปพลิเคชันการชำระเงินตามขอบเขตที่เกี่ยวข้อง ตรวจสอบการปกป้องข้อมูลตั้งแต่จุดรับข้อมูลจนถึงสภาพแวดล้อมถอดรหัสที่ปลอดภัย รวมถึงการจัดการกุญแจเข้ารหัส อุปกรณ์ และกระบวนการปฏิบัติงาน

ปรึกษาบริการนี้

LET’S UNDERSTAND YOUR NEEDS