การรับรองมาตรฐานความปลอดภัยข้อมูลอุตสาหกรรมบัตรชำระเงิน (PCI DSS)

PCI DSS คือชุดข้อกำหนดที่อธิบายวิธีการปกป้องคุณและลูกค้าของคุณเมื่อรับชำระเงินด้วยบัตร ข้อกำหนดเหล่านี้เป็นมาตรฐานที่ใช้ร่วมกันในทุกกลุ่มอุตสาหกรรม ดังนั้นผู้ให้บริการทุกรายที่รับชำระเงินจึงควรให้ความสำคัญกับ PCI DSS อย่างจริงจัง

มาตรฐาน PCI DSS ได้รับการจัดทำขึ้นในปี ค.ศ. 2004 โดยบริษัทผู้ออกบัตรชั้นนำ ได้แก่ Visa, MasterCard, Discover Financial Services, JCB International และ American Express

1. ความมั่นคงปลอดภัยของเครือข่าย (Secure Network)

1. ต้องติดตั้งและดูแลรักษาไฟร์วอลล์อย่างเหมาะสม
2. รหัสผ่านของระบบต้องเป็นรหัสที่องค์กรกำหนดเอง ไม่ใช้รหัสผ่านเริ่มต้นจากผู้ผลิต

2. การปกป้องข้อมูลผู้ถือบัตร (Secure Cardholder Data)

3. ต้องมีมาตรการปกป้องข้อมูลผู้ถือบัตรที่จัดเก็บไว้
4. การส่งข้อมูลผู้ถือบัตรผ่านเครือข่ายสาธารณะต้องได้รับการเข้ารหัส

3. การจัดการช่องโหว่ (Vulnerability Management)

5. ต้องติดตั้งและอัปเดตโปรแกรมป้องกันไวรัสอย่างสม่ำเสมอ
6. ต้องพัฒนาและดูแลรักษาระบบ รวมถึงแอปพลิเคชัน ให้มีความปลอดภัย

4. การควบคุมการเข้าถึง (Access Control)

7. จำกัดการเข้าถึงข้อมูลผู้ถือบัตรเฉพาะผู้ที่จำเป็นต้องใช้งานเท่านั้น
8. ผู้ใช้งานระบบทุกคนต้องมีรหัสประจำตัว (User ID) เฉพาะบุคคล
9. ต้องจำกัดการเข้าถึงทางกายภาพต่อข้อมูลผู้ถือบัตร

5. การติดตามและทดสอบเครือข่าย (Network Monitoring and Testing)

10. ต้องมีการบันทึก ติดตาม และเฝ้าระวังการเข้าถึงข้อมูลผู้ถือบัตรและทรัพยากรเครือข่าย
11. ต้องมีการทดสอบระบบและกระบวนการด้านความปลอดภัยอย่างสม่ำเสมอ

6. ความมั่นคงปลอดภัยสารสนเทศ (Information Security)

12. ต้องจัดทำและคงไว้ซึ่งนโยบายด้านความมั่นคงปลอดภัยสารสนเทศ

ระดับการปฏิบัติตามข้อกำหนดของ PCI DSS จะพิจารณาจาก จำนวนธุรกรรมการชำระเงินด้วยบัตรเครดิต/เดบิตต่อปี ที่องค์กรดำเนินการ โดยแต่ละระดับจะกำหนดแนวทางและข้อกำหนดที่องค์กรต้องปฏิบัติเพื่อรักษาความสอดคล้องตามมาตรฐาน

ระดับ 1: ธุรกรรมมากกว่า 6 ล้านรายการต่อปี
ระดับ 2: ธุรกรรม 1-6 ล้านรายการต่อปี
ระดับ 3: ธุรกรรม 20,000-1 ล้านรายการต่อปี
ระดับ 4: ธุรกรรมน้อยกว่า 20,000 รายการต่อปี

องค์กรที่เริ่มรับชำระเงินด้วยบัตรจะมีระยะเวลา 90 วัน ในการดำเนินการให้เป็นไปตามข้อกำหนดของมาตรฐาน PCI DSS หลังจากนั้น องค์กรจะต้อง รักษาความสอดคล้องของระบบอย่างต่อเนื่อง และสามารถแสดงหลักฐานการปฏิบัติตามมาตรฐานได้ อย่างน้อยปีละ 1 ครั้ง

1. ทำความเข้าใจข้อกำหนด: ศึกษาและทำความเข้าใจข้อกำหนดการรับรองทั้ง 12 ข้อของ PCI DSS
2. ระบุความต้องการขององค์กร: กำหนดข้อกำหนดที่เกี่ยวข้องกับองค์กร โดยพิจารณาจากระดับการปฏิบัติตามข้อกำหนดทั้ง 4 ระดับ
3. ระบุและจัดทำแผนผังการเคลื่อนไหวของข้อมูลบัตรชำระเงิน: จัดทำ Data Map ที่แสดงระบบรักษาความปลอดภัย การเข้าถึงทรัพยากรเครือข่ายทางกายภาพ และแอปพลิเคชันที่เกี่ยวข้องกับข้อมูลบัตรชำระเงิน พร้อมระบุจุดที่เชื่อมโยงกับลูกค้า รวมถึงเส้นทางการไหลของข้อมูลและช่องโหว่ที่อาจเกิดขึ้น
4. จัดทำแบบประเมินตนเอง (SAQ) หรือรายงานการปฏิบัติตามข้อกำหนด (ROC): แบบสอบถาม SAQ จะช่วยคุณตรวจทานคำตอบในการประเมินตนเองอีกครั้ง รายงานการปฏิบัติตามข้อกำหนด (ROC) มีไว้สำหรับบริษัทระดับ 1 ที่ต้องเข้ารับการตรวจสอบด้านความปลอดภัย โดยมีอายุการใช้งาน 1 ปี
5. ตรวจสอบมาตรการควบคุมและกระบวนการรักษาความปลอดภัย: เพื่อให้มั่นใจการกำหนดการตั้งค่าระบบและมาตรการด้านความปลอดภัยเป็นไปอย่างถูกต้องและเหมาะสม
6. ดำเนินการตรวจสอบระบบทุกไตรมาส: ตรวจสอบระบบและกระบวนการทำงานอย่างสม่ำเสมอเพื่อรักษาความสอดคล้องตามมาตรฐาน โดยผู้ให้บริการสแกนที่ได้รับการรับรอง (Approved Scanning Vendor: ASV) จะช่วยให้การสแกนเป็นไปตามแนวทางของ PCI
7. ประเมินความเสี่ยง / การตรวจประเมิน / ความมั่นคงปลอดภัย: ดำเนินการประเมินความเสี่ยงอย่างละเอียดในสภาพแวดล้อมการชำระเงิน เพื่อวิเคราะห์กระบวนการและเส้นทางการชำระเงินที่มีความซับซ้อน
8. ดำเนินการวิเคราะห์ช่องว่าง (Gap Analysis): ตรวจสอบข้อกำหนด PCI DSS เพื่อหาช่องโหว่ก่อนจัดทำแผนการแก้ไขปรับปรุงเพื่อจัดการกับช่องโหว่เหล่านั้นอย่างมีประสิทธิภาพ
9. ดำเนินการตรวจสอบ PCI DSS ภายในองค์กร: ให้ผู้เชี่ยวชาญภายในหรือผู้ตรวจประเมินจากภายนอกตรวจสอบการทำงานของระบบด้านความปลอดภัย ทบทวนเอกสาร และระบุประเด็นที่ยังไม่สอดคล้องกับข้อกำหนด
10. ติดตามและเฝ้าระวังระบบอย่างต่อเนื่อง: เนื่องจาก PCI DSS เป็นกระบวนการต่อเนื่อง คุณจึงต้องทบทวนแผนและระบบอย่างสม่ำเสมอ พิจารณารายงานเพิ่มเติม และดึงบุคคลที่เกี่ยวข้องเข้ามามีส่วนร่วม
11. เตรียมความพร้อมสำหรับการรับรองมาตรฐาน PCI DSS: เลือกผู้ประเมินความปลอดภัยที่มีคุณสมบัติเหมาะสมจากภายนอก (Qualified Security Assessor หรือ QSA) และกำหนดสิ่งที่จะต้องเข้ารับการประเมิน การตรวจสอบจะประเมินการควบคุมความปลอดภัยของคุณเทียบกับข้อกำหนดที่เกี่ยวข้องในสภาพแวดล้อมข้อมูลของคุณ รวมถึงอุปกรณ์ เครือข่ายสาธารณะ และแอปพลิเคชันที่จัดการข้อมูลผู้ถือบัตร นอกจากนี้ ผู้ตรวจสอบยังทบทวนภาพรวมข้อกำหนดด้านความปลอดภัยก่อนจัดทำรายงานผลการตรวจประเมินอย่างละเอียด

เนื่องจากแต่ละองค์กรมีความแตกต่างกัน ไม่ว่าจะเป็นขนาด ประเภทธุรกิจ รวมถึงมาตรการด้านความมั่นคงปลอดภัยของข้อมูลและไซเบอร์ ดังนั้นการประเมินตามมาตรฐาน PCI DSS จึงดำเนินการเป็นรายองค์กร โดยแนวทางและข้อกำหนดที่ต้องปฏิบัติให้เป็นไปตามมาตรฐานจะขึ้นอยู่กับ ระดับความเสี่ยงด้านความปลอดภัยของแต่ละองค์กร เป็นสำคัญ

1. หากองค์กรไม่สามารถแสดงหลักฐานได้ว่ามีมาตรการปกป้องข้อมูลผู้ถือบัตรของลูกค้าอย่างเหมาะสม อาจก่อให้เกิดผลกระทบร้ายแรงต่อทั้งองค์กรและลูกค้า ซึ่งรวมถึง:

   • การถูกฟ้องร้องทางกฎหมาย
   • การถูกปรับหรือบทลงโทษทางการเงิน
   • ความเสียหายต่อชื่อเสียงและภาพลักษณ์ขององค์กร
   • การสูญเสียความเชื่อมั่นและความไว้วางใจจากลูกค้า
   • การโจรกรรมเงินและข้อมูลประจำตัวของลูกค้า