PCI 資料安全標準：關鍵要求指南

什麼是 PCI Data Security Standard (PCI DDS)？

PCI Data Security Standard (PCI DSS) 是一套在持卡人資料整個生命週期中保護該資料的安全要求。PCI Security Standards Council 包括 Visa、Mastercard、American Express、Discover 和 JCB，制定了明確定義您應如何保護支付卡資訊的標準。

當您接受、傳輸或儲存支付卡資訊時，必須遵循 PCI DSS。這包括各種規模的商家、支付處理商、服務供應商、金融機構及第三方廠商。無論您每年處理 500 筆交易還是 500 萬筆交易，PCI 合規都決定了您處理付款的能力。

為什麼 PCI DSS 合規很重要？

不合規會立即帶來業務後果。例如，您的收單銀行可能會終止您的商家帳戶，使您完全無法處理信用卡付款。 

當發生資料外洩時，您還將面臨額外成本：高昂的鑑識調查費用、通知受影響持卡人的支出，以及來自受影響客戶和支付品牌的潛在訴訟。

除了財務罰則之外，合規失敗還會損害客戶信任與品牌聲譽。資料外洩會成為公開資訊，影響未來銷售與客戶獲取。事件發生後，監管審查會加劇，因而需要提高合規監督與營運成本。 

PCI DSS 合規可保護您的支付處理能力、限制資料外洩風險，並展現對客戶資料保護的承諾。

什麼是 PCI DSS 合規？

PCI DSS 合規意味著實施可保護持卡人資料的技術與營運要求。您必須使用 PCI DSS v4.0.1，該版本由 PCI SSC 於 2024 年 6 月發布。如果您仍在使用 3.2.1 版，則屬於不合規。PCI SSC 已於 2024 年 3 月 31 日淘汰該版本。

了解您的合規範圍

您的合規範圍不僅限於直接處理卡片的系統。持卡人資料環境 (CDE) 包括所有儲存、處理或傳輸持卡人資料的系統元件，以及任何可能影響 CDE 安全性的系統。網路分段可以縮小範圍，但您必須在評估期間驗證該分段確實將您的 CDE 與範圍外系統隔離。

PCI DSS 合規的關鍵組成部分

PCI DSS 合規透過三個相互關聯且共同運作以保護持卡人資料的組成部分來實現： 

1. 技術安全控制 構成基礎。您會實施 防火牆、加密、反惡意軟體解決方案，以及 存取控制，以實際防止未經授權存取支付資料。這些控制可因應系統在處理、傳輸及儲存期間如何處理持卡人資訊。
2. 營運程序 定義您的組織如何每日管理安全性。您會建立密碼管理、供應商監督、事件回應 及員工訓練的政策，以在各團隊與地點之間維持一致的安全實務。
3. 合規驗證 透過定期評估證明您的控制有效。您會執行弱點掃描、滲透測試 及正式稽核，以驗證要求已正確實施，並且能隨時間持續有效。

這些組成部分建立了一個合規框架，使技術保護措施在文件化程序中運作，而獨立驗證則確認兩者皆能如預期般在您的整個持卡人資料環境中發揮作用。

PCI DSS 的核心目標與要求

PCI DDS 遵循 12 項主要要求，並歸類於六項控制目標之下。

目標 1：建立並維護安全的網路與系統

要求 1：安裝並維護網路安全控制。 您必須實施 防火牆與路由器，以限制不受信任網路與您 CDE 中系統之間的連線。

要求 2：對所有系統元件套用安全組態。 您必須為所有系統元件制定組態標準、停用不必要的服務與通訊協定，並記錄組態如何因應已知弱點。

目標 2：保護帳戶資料

要求 3：保護已儲存的帳戶資料。 如果您儲存持卡人資料，則必須透過強式 密碼學、截斷、權杖化或雜湊，使 PAN 無法被讀取。您必須將保留限制於合法業務需求，並提供文件化的理由。

要求 4：在傳輸期間使用強式密碼學保護持卡人資料。 您必須在透過開放、公共網路傳輸持卡人資料時，使用強式密碼學與安全通訊協定進行加密。

目標 3：維護弱點管理計畫

要求 5：保護所有系統與網路免受惡意軟體侵害。 您必須在所有常受惡意軟體影響的系統上部署反惡意軟體解決方案。

要求 6：開發並維護安全的系統與軟體。 您必須識別安全弱點、評估風險，並依優先順序進行修補。您必須在 30 天內處理重大弱點。您可以使用如下平台：SentinelOne Singularity Platform，以持續掌握您 CDE 中端點與伺服器上可被利用弱點的可視性。

目標 4：實施強式存取控制措施

要求 7：依業務知悉需求限制對系統元件與持卡人資料的存取。 您必須透過適當的存取控制政策，將持卡人資料的存取限制於僅限工作職責需要此類存取的人員。

要求 8：識別使用者並驗證對系統元件的存取。您必須為每位具有存取權限的人員指派唯一 ID，透過密碼（至少 12 個字元）實施強式驗證，並要求 多重要素驗證 用於所有進入 CDE 的存取。

要求 9：限制對持卡人資料的實體存取。 您必須使用設施進入控制、攝影機、存取日誌及安全銷毀程序，將對儲存、處理或傳輸持卡人資料之系統的實體存取限制於授權人員。

目標 5：定期監控與測試網路

要求 10：記錄並監控對系統元件與持卡人資料的所有存取。 您必須記錄對系統元件與持卡人資料的所有存取。要求 10.6.1 規定必須每日審查安全事件。

要求 11：定期測試系統與網路的安全性。 您必須使用核准掃描供應商（ASV）每季執行弱點掃描、每年執行滲透測試，並部署檔案完整性監控。PCI DSS v4.0 已將此擴展為包含付款頁面指令碼管理（要求 11.6.1）—自 2025 年 3 月 31 日起為強制要求。

目標 6：維護資訊安全政策

要求 12：以組織政策與計畫支援資訊安全。 您必須建立、發布、維護並傳達涵蓋所有人員資訊安全的安全政策。

這六項控制目標與 12 項要求構成合規基礎，而驗證方法會依您的商戶等級與交易量而有所不同。

2025 年 3 月 31 日後的強制要求

PCI DSS v4.0 引入了具有未來生效日期的要求，並於 2025 年 3 月 31 日後成為強制要求。組織現在必須在所有合規評估中實施這些控制措施。

• 付款頁面指令碼管理 （要求 11.6.1）要求具備變更與竄改偵測機制，以在付款頁面指令碼遭未授權修改時提醒您。您必須盤點付款頁面上的所有指令碼，確保指令碼皆經授權且用途已有文件記錄，並對變更實施警示。
• 驗證憑證管理審查 （要求 8.3.10.1）要求依據您目標risk analysis 中定義的頻率，定期審查所有應用程式與系統帳戶的存取權限，且管理階層需確認該存取仍屬適當。
• 強化安全監控 （要求 12.10.5）擴展了事件回應要求，納入對未授權無線存取點的偵測，以及對關鍵檔案的變更偵測機制。

這些要求以具體技術控制延伸了 12 項核心目標，以因應新興支付安全威脅與評估方法。

持續 PCI DSS 監控的效益

• 持續監控可將 PCI 合規從年度負擔轉變為持續性的安全改進。對安全事件的即時可視性能讓您立即識別組態漂移，而不是等到年度評估期間才發現合規缺口，屆時修補既緊急又昂貴。
• 自動化監控可減少要求 10.6.1 所需的手動日誌審查工作量。分析師無須手動審查每日數千筆存取事件，行為 AI 會標示出顯示實際安全問題的異常模式。您調查的是真實威脅，而非例行存取事件。
• 持續合規也能全年提供稽核就緒能力。您可依需求向收單銀行、業務夥伴與稽核人員展示目前的合規狀態，而不是在評估期間手忙腳亂地蒐集證據。文件會透過自動化記錄與監控持續累積，而非需要手動彙整。

這種主動式方法可在安全問題演變為合規違規或資料外洩之前加以發現，在維持支付處理能力的同時降低整體合規成本。

合規驗證：商戶等級與評估要求

您的 PCI 合規認證要求取決於您的交易量與組織角色。支付卡品牌將商戶分為四個等級，並將服務供應商分為兩個等級。

商戶分類

交易量決定您的驗證要求，但無論規模大小，安全義務皆保持一致——任何商戶等級發生資料外洩都會危及持卡人資料並損害支付生態系統的信任。

• 第 1 級商戶 （每年超過 600 萬筆交易）必須接受合格安全評估師的年度現場評估。您必須提交合規報告、完成合規證明，並通過 ASV 的季度網路掃描。
• 第 2 級商戶 （每年 100 萬至 600 萬筆交易）必須完成年度自我評估問卷與 ASV 季度掃描。必須提供合規證明。
• 第 3-4 級商戶（每年電子商務交易少於 100 萬筆）需完成年度 SAQ 並通過每季 ASV 掃描，具體要求會依交易量與收單銀行而有所不同。

較低級別的商戶面臨較不嚴格的驗證流程，但攻擊者會特別鎖定小型商戶，因為他們通常缺乏企業級安全資源，卻仍處理有價值的支付資料。

服務供應商驗證

服務供應商為多個商戶處理支付資料，形成集中風險，一旦單一處遭入侵，將影響數百或數千家仰賴其基礎架構安全的下游企業。

• 第 1 級服務供應商（每年超過 300,000 筆交易）必須接受強制性的年度 QSA 評估、提交合規報告、合規證明，以及每季 ASV 掃描。
• 第 2 級服務供應商（少於 300,000 筆交易）必須完成服務供應商年度 SAQ D。

服務供應商遭入侵會在支付生態系中層層擴散——商戶必須每年驗證其服務供應商的合規狀態，因為您的合規性取決於其安全控制。

自我評估問卷類型

您的 SAQ 類型決定驗證負擔。SAQ A 適用於完全外包支付處理的無卡交易商戶。SAQ A-EP 涵蓋部分外包的電子商務。SAQ D 適用於所有其他情境，或儲存持卡人資料的商戶。  PCI Security Standards Council 提供詳細的 SAQ 選擇指引。

了解您的商戶級別與 SAQ 要求，可確保您符合目前 PCI DSS 驗證義務並維持持續合規。

常見的 PCI DSS 實作挑戰

組織在多元技術環境中實作 PCI DSS v4.0 控制時，會面臨數項障礙。

• 策略風險與業務持續性： PCI DSS 合規代表直接的業務持續性風險。稽核失敗會限制支付處理能力。收單銀行透過合約義務強制執行合規。自 2025 年 3 月 31 日起，評估要求支付頁面完整性監控、憑證管理審查及強化安全監控——評估失敗將影響您處理支付的能力。
• 警示管理與調查效率： PCI DSS 要求 10 與 11 在透過傳統 SIEM 與日誌管理工具實作時，會產生調查工作負載，且經常讓分析師不堪負荷。這可透過以下服務加以緩解： SentinelOne Singularity Platform，其透過自動關聯事件的行為式 AI 將警示量降低 88%。
• 範圍評估與變更管理： 要求 12.5.3 規定，當發生重大組織變更時，必須正式進行內部影響評估，以檢視您的 PCI DSS 範圍與已實作且適用的控制。請為範圍審查建立文件化觸發條件，並將 PCI DSS 影響分析納入您的變更管理流程。

遵循 PCI DSS 最佳實務時，也能解決這些挑戰。 

PCI DSS 合規最佳實務

維持持續 PCI DSS 合規的組織，會採取超越最低要求達成的系統化方法。

1. 實施持續合規監控： 部署可持續驗證安全控制的自動化工具，而非僅依賴年度評估。即時監控組態變更、存取模式與安全事件，可讓您在評估前識別合規偏移。 
2. 維護完整文件： 以時間戳記與責任人記錄所有安全控制、組態與修復活動。這些文件可在評估期間證明合規，並為事件調查提供稽核軌跡。請納入顯示 CDE 邊界的網路圖、說明持卡人資料路徑的資料流向圖，以及證明管理階層核准安全程序的政策文件。
3. 定期進行內部評估： 執行每季內部弱點掃描與每月安全控制審查，而非等到年度外部評估。這種主動式方法可及早發現缺口，使修復更簡單且成本更低。內部評估應採用與外部稽核相同的嚴謹程度——測試所有要求、驗證整個 CDE 中的控制，並記錄發現事項與修復時程。
4. 有效進行網路分段： 透過適當的網路分段，將持卡人資料環境與其他系統隔離，以縮小 PCI DSS 範圍。實作多層網路控制，包括防火牆、VLAN 與存取控制清單，以建立清楚的安全邊界。每季透過嘗試從非 CDE 系統突破分段控制的滲透測試，驗證分段成效。
5. 自動化安全流程： 針對 修補程式管理、日誌審查、弱點修復與安全監控實作自動化，以減少人為錯誤並改善回應時間。自動化工作流程可確保一致套用安全控制，並讓分析師能專注於複雜調查。 
6. 持續訓練員工： 在到職時、每年，以及角色變更或出現新威脅時，進行 安全意識訓練。訓練應涵蓋社交工程手法、密碼安全、事件通報程序，以及違反 PCI DSS 的業務影響。請記錄所有訓練課程，包括出席紀錄、測驗結果，以及要求 12 驗證所需的確認簽名。
7. 建立供應商管理流程： 在合作前及其後每年，評估第三方服務供應商的 PCI DSS 合規狀態。確保合約明確定義安全責任、資料處理程序與事件通知要求。維持所有可能影響您持卡人資料環境安全之服務供應商的最新合規證明。
8. 測試事件回應程序： 進行 桌上演練 和模擬事件回應情境，每季執行一次，以驗證您的事件回應計畫成效。這些測試可在真實事件發生前，找出程序缺口、溝通中斷和資源限制。記錄演練結果，根據經驗教訓更新程序，並確保所有 事件回應團隊 成員了解其在支付系統遭入侵期間的具體職責。

實施這些最佳實務可建立持續性的合規框架，將範圍從稽核準備延伸至在您的支付基礎架構中建立真正的安全性改善。

如何準備 PCI DSS 稽核？

稽核準備應從預定評估日期前 90 天開始。 

1. 首先，使用指派給您的 SAQ 或 ROC 要求作為檢查清單，進行內部合規缺口分析。記錄目前已實施的所有控制措施，並找出實作不完整或缺少文件的具體要求。
2. 檢閱並更新所有安全文件，包括顯示 CDE 邊界的網路圖、說明持卡人資料路徑的資料流程圖、安全政策，以及供應商合規證明。確保文件反映您目前的環境，而非先前評估中已過時的組態。
3. 安排必要的技術驗證，包括每季 ASV 掃描、年度滲透測試和弱點評估，且至少在稽核前 45 天完成安排。掃描失敗需要修復並重新掃描，這需要您預留時間。
4. 為將參與稽核員訪談的人員舉辦訓練課程。員工應了解自己在 PCI 合規中的角色，並能說明其如何在日常工作中遵循安全程序。 
5. 最後，使用稽核員將採用的相同評估標準，執行一次模擬稽核演練。

這種系統化的準備方法可降低稽核壓力、加快評估完成速度，並提高您在首次嘗試時即達成合規的可能性，而無需經歷高成本的補救期。

透過 SentinelOne 達成 PCI 合規

SentinelOne 的 Singularity Platform可將自主防護延伸至端點、伺服器與雲端工作負載，以滿足 PCI DSS 的記錄、監控與安全性要求，而無需部署零散的點式解決方案。Behavioral AI 透過模式而非特徵碼偵測惡意活動，對應 Requirement 10.6.1 每日安全事件審查的要求，同時相較於傳統 SIEM 方法將警示量降低 88%。此平台可擷取您 CDE 中所有端點與伺服器的存取事件，並透過 Storyline 技術關聯事件，免除人工分析。

Storyline 技術可重建支付系統中的完整攻擊鏈，精確顯示勒索軟體如何從初始存取一路發展到加密嘗試。您可在單一時間軸中看到憑證遭入侵、橫向移動嘗試，以及自動化遏制措施，無需再手動關聯各種安全工具中的資訊。這種攻擊重建提供 PCI DSS 事件回應程序和評估期間合規驗證所需的鑑識脈絡。

Purple AI透過分析持卡人資料環境事件，並根據觀察到的攻擊行為建議回應動作，加速安全調查。您無需手動跨多個系統查詢日誌，而是檢視 AI 建議的調查步驟，這些步驟反映實際威脅模式。Purple AI 的自然語言介面可讓安全團隊以對話方式查詢與 PCI 相關的事件——「顯示過去 24 小時內所有對持卡人資料的存取嘗試」或「哪些程序修改了付款組態檔」——提供滿足每日日誌審查要求所需的營運可視性。

Singularity Cloud Security透過無代理掃描，在雲端支付處理基礎架構中強制執行一致的安全政策，以探索雲端工作負載及其通訊模式，並結合 DSPM 功能，在所有主要雲端供應商中探索並分類敏感雲端資料。您的安全政策會在支付工作負載於 AWS、Azure、GCP 與混合式基礎架構之間移動時自動跟隨，無需手動重新設定——在動態雲端環境中維持 PCI 合規性。

預約示範 以了解自主防護如何在您的支付基礎架構中建立統一的安全涵蓋範圍，從而在不增加營運複雜性的情況下維持 PCI 合規。

Singularity™ Platform

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

PCI DSS v4.0.1 要求在您的持卡人資料環境中部署全面性的安全控制。滿足 12 項核心要求，需要傳統工具無法提供的統一可視性、行為式 AI 偵測，以及自主回應能力。導入整合式平台以實現反惡意軟體、弱點管理、記錄，以及檔案完整性監控的組織，能在提升合規效率的同時，強化其對支付系統攻擊的實際安全防護態勢。