คำถามที่พบบ่อยเกี่ยวกับ PCI DSS
ทำความเข้าใจขอบเขต การประเมิน และหลักฐานด้านความปลอดภัยของข้อมูลบัตร
PCI DSS ใช้กับใคร
เกี่ยวข้องกับสภาพแวดล้อมที่จัดเก็บ ประมวลผล หรือส่งข้อมูลบัตร และระบบหรือบริการที่มีผลต่อความปลอดภัยของข้อมูลบัตร ขอบเขตต้องประเมินจากการเชื่อมต่อและหน้าที่จริง
ขอบเขต CDE ต้องพิจารณาอะไร
เส้นทางข้อมูลบัตร ระบบที่เกี่ยวข้อง การเชื่อมต่อ ผู้ให้บริการภายนอก และประสิทธิผลของการแบ่งส่วนเครือข่าย เป็นข้อมูลสำคัญในการกำหนดขอบเขต
SAQ คืออะไร
Self-Assessment Questionnaire เป็นเครื่องมือประเมินและรายงานผลสำหรับองค์กรที่เข้าเกณฑ์ของแบบนั้น ต้องผ่านเงื่อนไขทั้งหมดและยืนยันแนวทางกับผู้รับผลการประเมิน
ผู้ให้บริการใช้ SAQ ของ Merchant ได้หรือไม่
ไม่ได้ PCI SSC ระบุว่า SAQ D for Service Providers เป็น SAQ สำหรับผู้ให้บริการที่เข้าเกณฑ์ ส่วนแบบอื่นใช้สำหรับ Merchant
ROC และ AOC คืออะไร
ROC คือรายงานผลการประเมินตามข้อกำหนด ส่วน AOC คือเอกสารยืนยันผลและขอบเขตการประเมิน การใช้เอกสารต้องสอดคล้องกับประเภทองค์กรและข้อกำหนดของผู้รับผล
ควรเตรียมหลักฐานอะไร
เริ่มจากขอบเขตและ Data Flow รายการระบบและผู้รับผิดชอบ นโยบายและขั้นตอน การตั้งค่าและบันทึกการดำเนินงาน ผลการทดสอบ และข้อมูลผู้ให้บริการ โดยจัดตามข้อกำหนดที่เกี่ยวข้อง
ควรใช้ข้อกำหนดช่วงใด
ข้อกำหนด PCI DSS v4.x บางรายการมีการเปลี่ยนสถานะตั้งแต่ 31 มีนาคม 2025 จึงต้องตรวจฉบับมาตรฐาน แบบรายงาน และคำแนะนำล่าสุดก่อนการประเมิน
เริ่มโครงการกับ ALPHASEC อย่างไร
แจ้งรูปแบบธุรกิจ เส้นทางการรับชำระเงิน ระบบและผู้ให้บริการที่เกี่ยวข้อง สถานะการประเมินเดิม และกำหนดเวลา ผ่านแบบสอบถาม PCI DSS เพื่อหารือขอบเขตที่เหมาะสม
แหล่งข้อมูลประกอบ: PCI SSC SAQ FAQ · Service provider eligibility · Requirement dates