PCI Data Security Standard: Gids voor Belangrijkste Vereisten

Een volledige gids voor PCI Data Security Standard (DSS)-vereisten. Leer meer over gedetailleerde compliance-uitdagingen en best practices.

Wat is de PCI Data Security Standard (PCI DSS)?

De PCI Data Security Standard (PCI DSS) is een set beveiligingseisen die kaarthoudergegevens gedurende de gehele levenscyclus beschermen. De PCI Security Standards Council, waaronder Visa, Mastercard, American Express, Discover en JCB, stelt de standaarden op die exact definiëren hoe u betalingskaartinformatie moet beveiligen.

U moet voldoen aan PCI DSS wanneer u betalingskaartinformatie accepteert, verzendt of opslaat. Dit geldt voor handelaren van alle groottes, betalingsverwerkers, dienstverleners, financiële instellingen en externe leveranciers. Of u nu 500 transacties of 5 miljoen per jaar verwerkt, PCI-naleving bepaalt uw mogelijkheid om betalingen te verwerken.

Waarom is PCI DSS-naleving belangrijk?

Niet-naleving heeft directe zakelijke gevolgen. Uw acquirer kan bijvoorbeeld uw merchant account beëindigen, waardoor u volledig geen creditcardbetalingen meer kunt verwerken. 

Bij datalekken krijgt u te maken met extra kosten: dure forensische onderzoeken, notificatiekosten voor getroffen kaarthouders en mogelijke rechtszaken van getroffen klanten en betaalmerken.

Naast financiële sancties schaadt het niet naleven van de regels het vertrouwen van klanten en de reputatie van uw merk. Datalekken worden openbaar, wat invloed heeft op toekomstige verkopen en klantacquisitie. Toezicht door toezichthouders neemt toe na incidenten, wat leidt tot meer nalevingscontrole en operationele kosten. 

PCI DSS-naleving beschermt uw betalingsverwerkingsmogelijkheden, beperkt blootstelling aan datalekken en toont uw inzet voor de bescherming van klantgegevens.

Wat is PCI DSS-naleving?

PCI DSS-naleving betekent het implementeren van technische en operationele vereisten die kaarthoudergegevens beveiligen. U moet werken met PCI DSS v4.0.1, die door de PCI SSC in juni 2024 is gepubliceerd. Als u nog werkt met versie 3.2.1, voldoet u niet meer aan de eisen. De PCI SSC heeft die versie op 31 maart 2024 buiten gebruik gesteld.

Uw nalevingsscope begrijpen

Uw nalevingsscope gaat verder dan systemen die direct kaarten verwerken. De Cardholder Data Environment (CDE) omvat alle systeemcomponenten die kaarthoudergegevens opslaan, verwerken of verzenden, plus alle systemen die de beveiliging van de CDE kunnen beïnvloeden. Netwerksegmentatie kan de scope verkleinen, maar u moet valideren dat segmentatie uw CDE daadwerkelijk isoleert van systemen buiten de scope tijdens assessments.

Belangrijke componenten van PCI DSS-naleving

PCI DSS-naleving werkt via drie onderling verbonden componenten die samenwerken om kaarthoudergegevens te beschermen: 

1. Technische beveiligingsmaatregelen vormen de basis. U implementeert firewalls, encryptie, anti-malwareoplossingen en toegangscontroles die ongeautoriseerde toegang tot betalingsgegevens fysiek voorkomen. Deze maatregelen bepalen hoe systemen omgaan met kaarthouderinformatie tijdens verwerking, overdracht en opslag.
2. Operationele procedures bepalen hoe uw organisatie dagelijks beveiliging beheert. U stelt beleid op voor wachtwoordbeheer, leveranciersbeheer, incidentrespons en training van medewerkers om consistente beveiligingspraktijken te waarborgen binnen teams en locaties.
3. Nalevingsvalidatie bewijst dat uw maatregelen werken via regelmatige assessments. U voert kwetsbaarheidsscans uit, penetratietests en formele audits die verifiëren dat vereisten correct zijn geïmplementeerd en effectief blijven.

Deze componenten creëren een nalevingskader waarin technische beveiliging binnen gedocumenteerde procedures werkt en onafhankelijke validatie bevestigt dat beide functioneren zoals bedoeld in uw gehele kaarthouderdataomgeving.

Kern-PCI DSS-doelstellingen en -vereisten

PCI DSS volgt 12 hoofdvereisten die zijn georganiseerd onder zes controledoelstellingen.

Doelstelling 1: Bouw en onderhoud een veilig netwerk en systemen

Vereiste 1: Installeer en onderhoud netwerkbeveiligingsmaatregelen. U moet  firewalls en routers implementeren die verbindingen tussen niet-vertrouwde netwerken en systemen in uw CDE beperken.

Vereiste 2: Pas veilige configuraties toe op alle systeemcomponenten. U moet configuratiestandaarden ontwikkelen voor alle systeemcomponenten, onnodige services en protocollen uitschakelen en documenteren hoe configuraties bekende kwetsbaarheden aanpakken.

Doelstelling 2: Bescherm accountgegevens

Vereiste 3: Bescherm opgeslagen accountgegevens. Als u kaarthoudergegevens opslaat, moet u het PAN onleesbaar maken via sterke cryptografie, truncatie, tokenisatie of hashing. U moet de bewaartermijn beperken tot legitieme zakelijke behoeften met gedocumenteerde rechtvaardiging.

Vereiste 4: Bescherm kaarthoudergegevens met sterke cryptografie tijdens overdracht. U moet kaarthoudergegevens versleutelen tijdens overdracht over open, openbare netwerken met sterke cryptografie en beveiligingsprotocollen.

Doelstelling 3: Onderhoud een kwetsbaarheidsbeheerprogramma

Vereiste 5: Bescherm alle systemen en netwerken tegen kwaadaardige software. U moet anti-malwareoplossingen implementeren op alle systemen die vaak door malware worden getroffen.

Vereiste 6: Ontwikkel en onderhoud veilige systemen en software. U moet beveiligingskwetsbaarheden identificeren, risico's beoordelen en prioriteren voor herstel. Kritieke kwetsbaarheden moeten binnen 30 dagen worden aangepakt. U kunt platforms zoals SentinelOne Singularity Platform gebruiken voor continue zichtbaarheid op kwetsbaarheden in endpoints en servers binnen uw CDE.

Doelstelling 4: Implementeer sterke toegangscontrolemaatregelen

Vereiste 7: Beperk toegang tot systeemcomponenten en kaarthoudergegevens op basis van zakelijke noodzaak. U moet toegang tot kaarthoudergegevens beperken tot alleen die personen wier functie dit vereist via passend toegangscontrolebeleid.

Vereiste 8: Identificeer gebruikers en verifieer toegang tot systeemcomponenten. U moet unieke ID's toewijzen aan elke persoon met toegang, sterke authenticatie implementeren via wachtwoorden (minimaal 12 tekens) en  multi-factor authenticatie vereisen voor alle toegang tot de CDE.

Vereiste 9: Beperk fysieke toegang tot kaarthoudergegevens. U moet fysieke toegang tot systemen die kaarthoudergegevens opslaan, verwerken of verzenden beperken tot geautoriseerd personeel met toegangscontroles, videocamera's, toegangslogboeken en procedures voor veilige vernietiging.

Doelstelling 5: Monitor en test netwerken regelmatig

Vereiste 10: Log en monitor alle toegang tot systeemcomponenten en kaarthoudergegevens. U moet alle toegang tot systeemcomponenten en kaarthoudergegevens loggen. Vereiste 10.6.1 vereist dagelijkse beoordeling van beveiligingsgebeurtenissen.

Vereiste 11: Test de beveiliging van systemen en netwerken regelmatig. U moet elk kwartaal kwetsbaarheidsscans uitvoeren met goedgekeurde scanleveranciers (ASV's), jaarlijks penetratietests uitvoeren en file integrity monitoring implementeren. PCI DSS v4.0 heeft dit uitgebreid met beheer van betalingspagina-scripts (Vereiste 11.6.1)—vanaf 31 maart 2025 verplicht.

Doelstelling 6: Onderhoud een informatiebeveiligingsbeleid

Vereiste 12: Ondersteun informatiebeveiliging met organisatorisch beleid en programma's. U moet beveiligingsbeleid opstellen, publiceren, onderhouden en verspreiden dat informatiebeveiliging voor al het personeel adresseert.

Deze zes controledoelstellingen en 12 vereisten vormen de basis voor naleving, waarbij validatiemethoden variëren op basis van uw merchant-niveau en transactievolume.

Verplichte vereisten na 31 maart 2025

PCI DSS v4.0 heeft toekomstgerichte vereisten geïntroduceerd die na 31 maart 2025 verplicht zijn geworden. Organisaties moeten deze maatregelen nu implementeren voor alle nalevingsassessments.

• Beheer van betalingspagina-scripts (Vereiste 11.6.1) vereist wijzigings- en manipulatie-detectiemechanismen die u waarschuwen voor ongeautoriseerde wijzigingen aan scripts op betalingspagina's. U moet alle scripts op betalingspagina's inventariseren, zorgen dat scripts geautoriseerd zijn met gedocumenteerde doeleinden en waarschuwingen implementeren bij wijzigingen.
• Beoordelingen van authenticatiegegevensbeheer (Vereiste 8.3.10.1) vereisen periodieke beoordelingen van alle applicatie- en systeemaccounttoegang op basis van de frequentie die is vastgesteld in uw gerichte risicoanalyse, met managementbevestiging dat toegang nog steeds passend is.
• Verbeterde beveiligingsmonitoring (Vereiste 12.10.5) breidt de eisen voor incidentrespons uit met detectie van ongeautoriseerde draadloze toegangspunten en wijzigingsdetectie voor kritieke bestanden.

Deze vereisten breiden de 12 kernvereisten uit met specifieke technische maatregelen die inspelen op opkomende betalingsbeveiligingsdreigingen en assessmentmethodologieën.

Voordelen van continue PCI DSS-monitoring

• Continue monitoring verandert PCI-naleving van een jaarlijkse last in een doorlopende verbetering van de beveiliging. Real-time zicht op beveiligingsgebeurtenissen stelt u in staat configuratieafwijkingen direct te identificeren in plaats van nalevingsgaten pas tijdens jaarlijkse assessments te ontdekken, wanneer herstel urgent en kostbaar is.
• Geautomatiseerde monitoring vermindert de handmatige werkdruk voor logboekbeoordeling die vereist is door Vereiste 10.6.1. In plaats van dat analisten duizenden dagelijkse toegangsevenementen handmatig beoordelen, signaleert gedrags-AI afwijkende patronen die op daadwerkelijke beveiligingsproblemen wijzen. U onderzoekt legitieme dreigingen in plaats van routinematige toegang.
• Continue naleving zorgt ook het hele jaar door voor auditgereedheid. U toont de actuele nalevingsstatus aan acquirers, zakenpartners en auditors op verzoek, in plaats van bewijs te verzamelen tijdens assessmentperiodes. Documentatie wordt continu opgebouwd via geautomatiseerde logging en monitoring, in plaats van handmatige samenstelling te vereisen.

Deze proactieve aanpak signaleert beveiligingsproblemen voordat ze leiden tot nalevingsschendingen of datalekken, waardoor u betalingsverwerking kunt blijven uitvoeren en de totale nalevingskosten verlaagt.

Nalevingsvalidatie: merchant-niveaus en assessmentvereisten

Uw PCI-nalevingscertificeringseisen zijn afhankelijk van uw transactievolume en organisatorische rol. Betaalkaartmerken classificeren handelaren in vier niveaus en dienstverleners in twee niveaus.

Merchant-classificatie

Het transactievolume bepaalt uw validatievereisten, maar de beveiligingsverplichtingen blijven gelijk ongeacht de omvang—een datalek op elk merchant-niveau brengt kaarthoudergegevens in gevaar en schaadt het vertrouwen in het betaalsysteem.

• Niveau 1-handelaren (meer dan 6 miljoen transacties per jaar) moeten jaarlijks verplicht een onsite assessment laten uitvoeren door Qualified Security Assessors. U moet Reports on Compliance indienen, Attestations of Compliance voltooien en elk kwartaal netwerkscans door ASV's laten uitvoeren.
• Niveau 2-handelaren (1 miljoen tot 6 miljoen transacties per jaar) moeten jaarlijks een Self-Assessment Questionnaire invullen en elk kwartaal ASV-scans uitvoeren. Attestation of Compliance is vereist.
• Niveau 3-4-handelaren (minder dan 1 miljoen e-commerce transacties per jaar) vullen jaarlijks een SAQ in en slagen voor kwartaal-ASV-scans, met specifieke vereisten afhankelijk van transactievolume en acquirer.

Lagere merchant-niveaus hebben minder strenge validatieprocessen, maar aanvallers richten zich juist op kleine handelaren omdat zij vaak niet over enterprise-beveiligingsmiddelen beschikken, terwijl ze wel waardevolle betalingsgegevens verwerken.

Validatie van dienstverleners

Dienstverleners verwerken betalingsgegevens voor meerdere handelaren, wat geconcentreerd risico creëert waarbij één compromis honderden of duizenden bedrijven raakt die afhankelijk zijn van hun infrastructuurbeveiliging.

• Niveau 1-dienstverleners (meer dan 300.000 transacties per jaar) vereisen verplichte jaarlijkse QSA-assessments, Reports on Compliance, Attestations of Compliance en kwartaal-ASV-scans.
• Niveau 2-dienstverleners (minder dan 300.000 transacties) moeten jaarlijks SAQ D voor dienstverleners invullen.

Datalekken bij dienstverleners werken door in het betaalsysteem—handelaren moeten jaarlijks de nalevingsstatus van hun dienstverleners valideren, omdat uw naleving afhankelijk is van hun beveiligingsmaatregelen.

Soorten Self-Assessment Questionnaires

Uw SAQ-type bepaalt de validatielast. SAQ A geldt voor card-not-present-handelaren die betalingsverwerking volledig uitbesteden. SAQ A-EP geldt voor e-commerce met gedeeltelijke uitbesteding. SAQ D geldt voor alle andere scenario's of handelaren die kaarthoudergegevens opslaan. De PCI Security Standards Council biedt gedetailleerde SAQ-selectierichtlijnen.

Door uw merchant-niveau en SAQ-vereisten te begrijpen, zorgt u ervoor dat u voldoet aan de actuele PCI DSS-validatieverplichtingen en continue naleving behoudt.

Veelvoorkomende uitdagingen bij PCI DSS-implementatie

Organisaties ondervinden verschillende obstakels bij het implementeren van PCI DSS v4.0-maatregelen in diverse technologische omgevingen.

• Strategisch risico en bedrijfscontinuïteit: PCI DSS-naleving vormt een direct bedrijfscontinuïteitsrisico. Mislukte audits beperken de mogelijkheid om betalingen te verwerken. Acquirers handhaven naleving via contractuele verplichtingen. Sinds 31 maart 2025 vereisen assessments monitoring van betalingspagina-integriteit, beoordelingen van credentialbeheer en verbeterde beveiligingsmonitoring—mislukte assessments beïnvloeden uw mogelijkheid om betalingen te verwerken.
• Alertbeheer en onderzoeksefficiëntie: PCI DSS-vereisten 10 en 11 creëren een onderzoeksbelasting die analisten vaak overweldigt bij gebruik van traditionele SIEM- en logmanagementtools. Dit kan worden verminderd met diensten zoals SentinelOne Singularity Platform, dat het aantal meldingen met 88% vermindert via gedrags-AI die gebeurtenissen automatisch correleert.
• Scope-assessment en wijzigingsbeheer: Vereiste 12.5.3 verplicht formele interne impactbeoordeling van uw PCI DSS-scope en geïmplementeerde maatregelen bij significante organisatorische wijzigingen. Implementeer gedocumenteerde triggers voor scopebeoordelingen en neem PCI DSS-impactanalyse op in uw wijzigingsbeheerproces.

Deze uitdagingen kunnen ook worden aangepakt door het volgen van PCI DSS-best practices. 

PCI DSS-naleving best practices

Organisaties die continue PCI DSS-naleving behouden, implementeren systematische benaderingen die verder gaan dan het voldoen aan minimale eisen.

1. Implementeer continue nalevingsmonitoring: Zet geautomatiseerde tools in die beveiligingsmaatregelen continu valideren in plaats van alleen te vertrouwen op jaarlijkse assessments. Real-time monitoring van configuratiewijzigingen, toegangs­patronen en beveiligingsgebeurtenissen stelt u in staat nalevingsafwijkingen te identificeren vóór assessments. 
2. Onderhoud uitgebreide documentatie: Documenteer alle beveiligingsmaatregelen, configuraties en herstelactiviteiten met tijdstempels en verantwoordelijken. Deze documentatie bewijst naleving tijdens assessments en biedt audittrails voor incidentonderzoeken. Voeg netwerkdiagrammen toe die CDE-grenzen tonen, datastroomkaarten die kaarthouderdatapaden illustreren en beleidsdocumentatie die managementgoedkeuring van beveiligingsprocedures aantoont.
3. Voer regelmatige interne assessments uit: Voer elk kwartaal interne kwetsbaarheidsscans en maandelijkse beoordelingen van beveiligingsmaatregelen uit in plaats van te wachten op jaarlijkse externe assessments. Deze proactieve aanpak identificeert hiaten vroeg, wanneer herstel eenvoudiger en minder kostbaar is. Gebruik dezelfde grondigheid voor interne assessments als voor externe audits—test alle vereisten, valideer maatregelen in de gehele CDE en documenteer bevindingen met hersteltermijnen.
4. Segmenteer netwerken effectief: Beperk de PCI DSS-scope door juiste netwerksegmentatie die kaarthouderdataomgevingen isoleert van andere systemen. Implementeer meerdere lagen netwerkmaatregelen, waaronder firewalls, VLAN's en toegangscontrollijsten die duidelijke beveiligingsgrenzen creëren. Valideer de effectiviteit van segmentatie elk kwartaal via penetratietests die proberen segmentatiemaatregelen te doorbreken vanuit niet-CDE-systemen.
5. Automatiseer beveiligingsprocessen: Automatiseer patchbeheer, logboekbeoordeling, kwetsbaarheidsherstel en beveiligingsmonitoring om handmatige fouten te verminderen en responstijden te verbeteren. Geautomatiseerde workflows zorgen voor consistente toepassing van beveiligingsmaatregelen en geven analisten ruimte voor complexe onderzoeken. 
6. Train personeel continu: Geef security awareness-training bij indiensttreding, jaarlijks en bij functiewijzigingen of nieuwe dreigingen. Training moet social engineering-tactieken, wachtwoordbeveiliging, incidentmeldingsprocedures en de zakelijke impact van PCI DSS-overtredingen behandelen. Documenteer alle trainingssessies met aanwezigheidsregistraties, testresultaten en ondertekende verklaringen voor Vereiste 12-validatie.
7. Stel leveranciersbeheerprocessen op: Beoordeel de PCI DSS-nalevingsstatus van externe dienstverleners vóór samenwerking en jaarlijks daarna. Zorg dat contracten duidelijk beveiligingsverantwoordelijkheden, gegevensverwerkingsprocedures en incidentmeldingsvereisten definiëren. Onderhoud actuele Attestations of Compliance van alle dienstverleners die de beveiliging van uw kaarthouderdataomgeving kunnen beïnvloeden.
8. Test incidentresponsprocedures: Voer tabletop-oefeningen en gesimuleerde incidentrespons-scenario's elk kwartaal uit om de effectiviteit van uw incidentresponsplan te valideren. Deze tests identificeren procedurele hiaten, communicatieproblemen en resourcebeperkingen voordat echte incidenten zich voordoen. Documenteer de resultaten, werk procedures bij op basis van geleerde lessen en zorg dat alle incident response team-leden hun specifieke verantwoordelijkheden begrijpen bij compromittering van betaalsystemen.

Het implementeren van deze best practices creëert een continu nalevingskader dat verder gaat dan auditvoorbereiding en echte beveiligingsverbeteringen realiseert in uw betalingsinfrastructuur.

Hoe bereidt u zich voor op een PCI DSS-audit?

De auditvoorbereiding begint 90 dagen voor uw geplande assessmentdatum. 

1. Begin met een interne nalevingsgap-analyse met uw toegewezen SAQ- of ROC-vereisten als checklist. Documenteer alle bestaande maatregelen en identificeer specifieke vereisten waar implementatie onvolledig is of documentatie ontbreekt.
2. Herzie en actualiseer alle beveiligingsdocumentatie, waaronder netwerkdiagrammen met CDE-grenzen, datastroomdiagrammen die kaarthouderdatapaden illustreren, beveiligingsbeleid en leveranciersattestaties. Zorg dat de documentatie uw actuele omgeving weerspiegelt, niet verouderde configuraties van eerdere assessments.
3. Plan vereiste technische validaties, waaronder kwartaal-ASV-scans, jaarlijkse penetratietests en kwetsbaarheidsbeoordelingen minimaal 45 dagen voor uw audit. Mislukte scans vereisen herstel en herhaling, wat tijd kost die u moet inplannen.
4. Organiseer trainingssessies voor personeel dat deelneemt aan auditorinterviews. Medewerkers moeten hun rol in PCI-naleving begrijpen en kunnen uitleggen hoe zij dagelijks beveiligingsprocedures volgen. 
5. Voer tot slot een proefaudit uit met dezelfde assessmentcriteria als uw auditor zal hanteren.

Deze systematische voorbereiding vermindert auditstress, versnelt de afronding van het assessment en vergroot de kans op naleving bij de eerste poging zonder kostbare herstelperiodes.

Bereik PCI-naleving met SentinelOne

SentinelOne's Singularity Platform biedt autonome bescherming voor endpoints, servers en cloudworkloads om te voldoen aan PCI DSS-logging, monitoring en beveiligingseisen zonder gefragmenteerde point solutions te implementeren. Gedrags-AI detecteert kwaadaardige activiteiten op basis van patronen in plaats van signatures, waarmee wordt voldaan aan de dagelijkse beoordeling van beveiligingsgebeurtenissen volgens Vereiste 10.6.1 en het aantal meldingen met 88% wordt verminderd ten opzichte van traditionele SIEM-benaderingen. Het platform registreert toegangsevenementen op alle endpoints en servers in uw CDE en correleert gebeurtenissen via Storyline-technologie die handmatige analyse overbodig maakt.

Storyline-technologie reconstrueert volledige aanvalsketens binnen betaalsystemen, zodat u precies ziet hoe ransomware zich ontwikkelde van initiële toegang tot en met versleutelingspogingen. U ziet het credential-compromis, laterale bewegingen en geautomatiseerde containment—alles in één tijdlijn die handmatige correlatie tussen beveiligingstools overbodig maakt. Deze aanvalreconstructie biedt de forensische context die nodig is voor PCI DSS-incidentresponsprocedures en nalevingsvalidatie tijdens assessments.

Purple AI versnelt beveiligingsonderzoeken door gebeurtenissen in de kaarthouderdataomgeving te analyseren en responsacties aan te bevelen op basis van waargenomen aanvalsgedrag. In plaats van handmatig logs op meerdere systemen te doorzoeken, bekijkt u door AI aanbevolen onderzoekstappen die echte dreigingspatronen weerspiegelen. De natuurlijke taalinterface van Purple AI stelt beveiligingsteams in staat PCI-relevante gebeurtenissen conversatiegericht te bevragen—"toon alle toegangspogingen tot kaarthoudergegevens in de afgelopen 24 uur" of "welke processen hebben betalingsconfiguratiebestanden gewijzigd"—en biedt de operationele zichtbaarheid die nodig is voor dagelijkse logboekbeoordeling.

Singularity Cloud Security handhaaft consistente beveiligingsbeleid in cloud-betaalinfrastructuren met agentloze scanning die cloudworkloads en hun communicatiepatronen ontdekt, samen met DSPM-mogelijkheden om gevoelige cloudgegevens te ontdekken en classificeren bij alle grote cloudproviders. Uw beveiligingsbeleid volgt betalingsworkloads automatisch wanneer deze zich verplaatsen tussen AWS, Azure, GCP en hybride infrastructuren zonder handmatige herconfiguratie—waardoor PCI-naleving behouden blijft in dynamische cloudomgevingen.

Boek een demo om te zien hoe autonome bescherming zorgt voor geïntegreerde beveiliging van uw betalingsinfrastructuur en PCI-naleving behoudt zonder operationele complexiteit.

Conclusie

PCI DSS v4.0.1 vereist uitgebreide beveiligingsmaatregelen in uw kaarthouderdataomgeving. Het voldoen aan de 12 kernvereisten vraagt om geïntegreerd inzicht, gedrags-AI-detectie en autonome responsmogelijkheden die traditionele tools niet bieden. Organisaties die geconsolideerde platforms implementeren voor anti-malware, kwetsbaarheidsbeheer, logging en file integrity monitoring behalen efficiëntie in naleving en versterken hun daadwerkelijke beveiligingspositie tegen aanvallen op betaalsystemen.

Veelgestelde vragen

Wat is de PCI DSS?

De PCI DSS is een set beveiligingsvereisten opgesteld door grote betaalkaartmerken om kaarthoudergegevens gedurende de gehele levenscyclus te beschermen. Organisaties die betaalkaartgegevens accepteren, verzenden of opslaan, moeten technische en operationele controles implementeren zoals gedefinieerd in PCI DSS v4.0.1.

Wie moet PCI DSS volgen?

Elke organisatie die betaalkaartgegevens accepteert, verzendt of opslaat, moet PCI DSS volgen. Dit omvat handelaren van alle groottes, betalingsverwerkers, dienstverleners, financiële instellingen en externe leveranciers—met specifieke compliance-vereisten op basis van het transactievolume.

Hoe beschermt PCI DSS kaarthoudergegevens?

PCI DSS beschermt kaarthoudergegevens met gelaagde beveiligingsmaatregelen die ongeautoriseerde toegang in elke fase voorkomen. Versleuteling maakt gegevens onleesbaar tijdens overdracht en opslag. Netwerksegmentatie isoleert betalingssysteem van andere infrastructuur. 

Toegangscontroles beperken wie gevoelige informatie kan inzien op basis van functievereisten. Continue monitoring detecteert verdachte activiteiten voordat er inbreuken plaatsvinden, terwijl bestandsintegriteitsbewaking u waarschuwt voor ongeautoriseerde systeemwijzigingen.

Wat zijn de PCI DSS-nalevingsniveaus?

PCI DSS definieert vier handelarniveaus en twee dienstverlenerniveaus op basis van het jaarlijkse transactievolume. Niveau 1-handelaren verwerken meer dan 6 miljoen transacties en vereisen onsite QSA-beoordelingen. Niveaus 2-4 verwerken minder transacties met verminderde validatievereisten, maar behouden identieke beveiligingsverplichtingen. 

Dienstverleners volgen een aparte classificatie waarbij niveau 1 meer dan 300.000 transacties per jaar verwerkt en verplichte QSA-audits vereist zijn.

Wat zijn de kernvereisten van PCI DSS?

PCI DSS omvat 12 hoofdvereisten, georganiseerd onder zes controle-objectieven: bouw veilige netwerken, bescherm accountgegevens, onderhoud vulnerability management-programma's, implementeer toegangscontroles, monitor en test netwerken regelmatig, en onderhoud informatiebeveiligingsbeleid.

Wanneer moet ik de Customized Approach gebruiken in plaats van de standaardvereisten te volgen?

De Customized Approach is geschikt voor legacy-systemen die niet aan prescriptieve controles kunnen voldoen, maar de beveiligingsdoelstellingen bereiken via alternatieve implementaties. De documentatielast is echter aanzienlijk hoger.

Hoe bepaal ik welk SAQ-type van toepassing is op mijn betaalomgeving?

Uw SAQ-type hangt af van hoe u kaarthoudergegevens verwerkt, verzendt en opslaat. SAQ A is van toepassing als u de betalingsverwerking volledig uitbesteedt, SAQ A-EP geldt voor e-commerce met gehoste betaalpagina's, en SAQ D is van toepassing op handelaren die kaarthoudergegevens opslaan.

Wat is het verschil tussen ASV-scans en penetratietesten?

ASV-scans zijn geautomatiseerde, kwartaalgewijze kwetsbaarheidsscans van systemen met internettoegang. Penetratietesten zijn jaarlijkse handmatige testen die echte aanvallen simuleren. Beide zijn vereist voor de meeste compliance-niveaus, maar dienen verschillende validatiedoeleinden.

Moet ik PCI-compliant zijn als ik geen kaarthoudergegevens opsla?

PCI DSS is van toepassing op elke organisatie die kaarthoudergegevens opslaat, verwerkt of verzendt: zelfs tijdelijk. Als betalingsgegevens tijdens de transactieautorisatie door uw systemen gaan, moet u voldoen aan de toepasselijke PCI-vereisten.