Dane posiadaczy kart (Cardholder Data, CHD) i wrażliwe dane uwierzytelniające (Sensitive Authentication Data, SAD) są centralnymi pojęciami PCI DSS. Zrozumienie, które dane wchodzą w zakres ochrony, jak długo można je przechowywać i jakie mechanizmy ochrony są wymagane, jest fundamentem każdego programu compliance. Najlepsza strategia ochrony to eliminacja danych u źródła – zanim trafią do Twoich systemów.
Kategorie chronionych danych w PCI DSS
PCI DSS chroni dwie kategorie danych. Cardholder Data (CHD): numer PAN (Primary Account Number) – 16-cyfrowy numer karty, imię i nazwisko posiadacza karty, data ważności, kod usługi (service code z pola 3 ścieżki magnetycznej). Sensitive Authentication Data (SAD): pełna treść ścieżki magnetycznej, chip lub PIN (track data), kody weryfikacyjne kart (CVV, CVC, CID, CAV), bloki PIN. SAD jest absolutnie zakazane do przechowywania po autoryzacji transakcji – bez wyjątków.
Zasady przechowywania danych kart
PCI DSS określa następujące zasady przechowywania CHD: PAN może być przechowywany wyłącznie jeśli jest niezbędny dla celów biznesowych i w zaszyfrowanej formie (silne szyfrowanie z zarządzaniem kluczami przez HSM). Imię, data ważności i kod usługi mogą być przechowywane, jeśli niezbędne, z odpowiednią ochroną. SAD (CVV, ścieżka magnetyczna, PIN) nie mogą być przechowywane po autoryzacji w żadnej formie, nawet zaszyfrowanej. Zasady retencji: dane kart powinny być usuwane po minimalnym niezbędnym czasie.
Szyfrowanie danych kart: wymagania techniczne
Jeśli PAN musi być przechowywany, PCI DSS wymaga silnego szyfrowania. Akceptowane algorytmy: AES-256 dla szyfrowania symetrycznego, RSA-2048+ dla kryptografii asymetrycznej. Zarządzanie kluczami: klucze szyfrujące muszą być chronione przez HSM certyfikowany FIPS 140-2 Level 3, procedury key rotation, dual control i split knowledge. Szyfrowanie transmisji: TLS 1.2 minimum (TLS 1.3 zalecany) dla wszystkich połączeń przesyłających CHD. Te wymagania są kosztowne w implementacji i utrzymaniu.
Maskowanie PAN: kiedy i jak stosować
Maskowanie PAN oznacza wyświetlanie tylko części numeru karty – np. ostatnich 4 cyfr: '**** **** **** 1234'. PCI DSS wymaga maskowania PAN w raportach, logach, interfejsach agentów i wszędzie tam, gdzie pełny PAN nie jest konieczny. Maskowanie chroni przed nieautoryzowanym dostępem do pełnych numerów kart, ale nie eliminuje konieczności przechowywania zaszyfrowanego PAN w bazie danych – to tokenizacja całkowicie eliminuje PAN ze środowiska.
Tokenizacja jako ultimatum rozwiązanie ochrony danych kart
Tokenizacja eliminuje problem ochrony danych kart u źródła: jeśli PAN nigdy nie trafia do systemów sprzedawcy, nie ma danych do szyfrowania, zabezpieczania, audytu i retencji. Sprzedawca operuje na tokenach – losowych identyfikatorach bez wewnętrznej wartości. Naruszenie bazy danych sprzedawcy zawierającej tokeny nie stanowi naruszenia danych kart (PAN jest bezpieczny w vault PCI Proxy EU). To fundamentalna zmiana modelu ryzyka: z reaktywnej ochrony danych na prewencyjną eliminację ryzyka.
Eliminuj dane kart u źródła z PCI Proxy EU
Tokenizacja to najbezpieczniejsza metoda ochrony danych posiadaczy kart. Skontaktuj się z nami.
Porozmawiaj z ekspertem