Câu hỏi thường gặp về PCI DSS
Hiểu phạm vi bảo mật thanh toán, xác nhận và bằng chứng.
PCI DSS liên quan đến ai?
Cần xem xét môi trường lưu trữ, xử lý, truyền dữ liệu thẻ và hệ thống hoặc dịch vụ có thể ảnh hưởng đến bảo mật. Phạm vi tùy thuộc kết nối và trách nhiệm thực tế.
Xác định phạm vi CDE cần xét gì?
Luồng dữ liệu thẻ, hệ thống liên quan, kết nối, bên thứ ba và hiệu quả phân đoạn xác định phạm vi đánh giá.
SAQ là gì?
Bảng câu hỏi tự đánh giá là công cụ xác nhận dành cho tổ chức đủ điều kiện. Phải đáp ứng mọi tiêu chí và xác nhận cách tiếp cận với bên tiếp nhận đánh giá.
Nhà cung cấp dịch vụ có thể dùng SAQ dành cho đơn vị chấp nhận thẻ không?
Không. PCI SSC quy định SAQ D for Service Providers là SAQ duy nhất dành cho nhà cung cấp dịch vụ đủ điều kiện. Các SAQ khác dành cho đơn vị chấp nhận thẻ.
ROC và AOC là gì?
ROC ghi nhận phát hiện theo yêu cầu. AOC xác nhận đánh giá và phạm vi. Tài liệu phải phù hợp loại đơn vị và yêu cầu bên tiếp nhận.
Cần chuẩn bị bằng chứng gì?
Chuẩn bị phạm vi, luồng dữ liệu, danh mục tài sản, chủ sở hữu, chính sách, quy trình, hồ sơ cấu hình/vận hành, kết quả kiểm thử và nhà cung cấp theo yêu cầu.
Cần lưu ý ngày áp dụng nào?
Một số yêu cầu PCI DSS v4.x thay đổi trạng thái từ 31/3/2025. Khi lập đánh giá, kiểm tra tiêu chuẩn, mẫu báo cáo và hướng dẫn hiện hành.
Bắt đầu với ALPHASEC như thế nào?
Chia sẻ mô hình kinh doanh, luồng thanh toán, hệ thống, nhà cung cấp, đánh giá trước và thời gian qua bảng hỏi PCI DSS để trao đổi phạm vi.
Hướng dẫn thêm: PCI SSC SAQ FAQ · Điều kiện nhà cung cấp dịch vụ · Ngày áp dụng yêu cầu