支付卡产业资料安全标准PCIDSS.PDFVIP

資訊分享 │支付卡產業資料安全標準（PCI DSS ）之探討及實地查核分享 支付卡產業資料安全標準（ ） PCI DSS 之探討及實地查核分享 蘇偉慶∕財金公司安控部資訊安全組組長 詹永新∕財金公司安控部資訊安全組高級工程師 相關作業，相繼提出計畫，建立相關安全標準 一、前言 與規範；而PCI DSS 即源自以下五個支付卡組 織的計畫： 為了保護支付卡片持卡人相關資料安全， (一) Visa ：Card Information Security Program 支付卡產業安全標準協會（Payment Card （以下簡稱CISP ） Industry Security Standards Council ，以下簡 (二) MasterCard ：Site Data Protection （以下 稱PCI SSC ）分別從技術面及作業面制定了一 簡稱SDP ） 系列的安全標準，除了與儲存、處理或傳送持 (三) American Express ：Data Security Operating 卡人資料的單位息息相關外，部分安全標準也 Policy 與資料處理過程所使用的設備或應用程式的開 (四) Discover ：Information and Compliance 發廠商有關。 (五) JCB ：Data Security Program 本文探討的主題是與服務供應商（Service Provider ）及商店（Merchant ）作業相關的「支 這些支付卡組織於西元 2004 年共同推出 付卡產業資料安全標準」（PCI Data Security 第一版 PCI DSS ，2006 年共組專責支付卡產 Standards ，以下簡稱PCI DSS ）。經由PCI 業安全標準發展與管理的PCI SSC ，除了PCI SSC 認可之合格安全評估機構（Qualified DSS 外，還訂有規範應用程式安全的「支付應 Security Assessors ，以下簡稱QSA ）進行實 用程式資料安全標準（Payment Application 地查核，是確認支付卡作業或服務相關單位符 Data Security Standard ，簡稱PA-DSS ）」及 合PCI DSS 安全要求最全面而客觀的方式。以 規範密碼輸入設備安全的「密碼交易安全」 下各節將依序介紹PCI DSS 的發展過程、安全 （PIN Transaction Security ，簡稱PTS ）。 要求內容、引用方式及實地查核作業流程。 為確保 PCI DSS 及 PA-DSS 之正確及適 用，PCI SSC 持續檢討標準的實作狀況，並依 二、PCI DSS 沿革 據資訊技術發展及安全趨勢，調整相關要求項 目，每2 至3 年進行版本更新，以符合實務需 為了保護持卡人資料及交易的安全，各支 求。PCI DSS 的最新版本為2010 年 10 月發 付卡組織對於支付卡資料的儲存、處理與交換 布的第2.0 版。 68 財金資訊季刊∕No.74 ∕2013.04 支付卡產業資料安全標準（PCI DSS ）之探討及實地查核分享│資訊分享 三、PCI DSS 安全要求 (三) 維護漏洞管理程式 PCI DS