PCI DSS 合規流程與要求

PCI DSS 標準

支付卡產業資料安全標準（簡稱 PCI DSS）是由國際主要信用卡組織就其網路中流動的持卡人資訊安全所訂定的全球產業標準。所有接受國際主要卡組織支付，或儲存、處理與傳輸其卡片資料的組織——無論是特約商店或服務供應商——均須採用 PCI DSS，並依安全標準保護持卡人資訊。

PCI DSS 由 PCI SSC（支付卡產業安全標準委員會）制定與管理，其成員包括 VISA Inc.、MasterCard、JCB、American Express 與 Discover。

PCI DSS 合規等級

取得 PCI DSS 合規狀態的方式通常是透過 PCI DSS 評估。特約商店與服務供應商各有不同的等級（依 VISA 所提供的規定）。

當特約商店或服務供應商被列為等級 1 時，需委請合格安全評估機構（QSA）——即經核准的 PCI DSS 稽核機構——提供服務。QSA 須為該組織執行現場稽核，並於審查後提出報告。

等級 2-4 的特約商店或等級 2 的服務供應商須填寫 PCI DSS SAQ（自我評估問卷），亦可由 QSA 協助。若需確認您適用的等級與 SAQ 類型，請聯繫您的收單機構。

PCI DSS 稽核流程

一般而言，PCI DSS 稽核可分為數個階段。初期的準備與輔導階段可能需要 3-5 個月，視受審組織的準備程度及其系統與流程的複雜度而定。

1. 準備與輔導 — 範圍界定 · 差距分析 · 委請 QSA
2. 整改與證據 — 政策 · 控制措施 · 文件
3. QSA 現場稽核 — 現場 3–5 天
4. 報告 — 提交 ROC · AOC

審查期間與審查後的 PCI DSS 相關成本

1. 系統相關成本

由於 PCI DSS 要求落實強固的安全防護，例如「每台伺服器單一主要功能」（要求 2.2.1），若 Web Server、Application Server 與 DB Server 先前置於同一位置，將須彼此隔離。同樣地，主機設備需求可能因此提高（可使用虛擬伺服器）。此外，PCI DSS 要求建置 DNS Server、NTP Server、FIM Server（檔案完整性管理）、Log Server 等安全服務元件，因此組織可能需比過去添置更多設備以符合合規要求。

2. 安全設備成本

可能需加購額外的安全設備（如防火牆、IPS、IDS、WAF）。

3. 資料加密成本

PCI DSS 要求卡片資料加密。組織通常會使用 HSM（硬體安全模組）硬體加密，以確保所儲存持卡人資料的安全。

4. 教育訓練成本

PCI DSS 要求員工接受安全意識訓練、安全程式開發訓練與 IRP（事件回應計劃）演練。此外，為執行弱點掃描與滲透測試，您的人員也可能需接受充分的技術訓練以操作這些工具。

5. 技術稽核成本

PCI DSS 強制要求多項技術稽核，包括：

• 卡號掃描
• 程式碼審查
• 內部弱點掃描
• ASV 外部弱點掃描
• 內部滲透測試
• 外部滲透測試
• 無線網路掃描

6. 其他成本

若您的組織被定義為服務供應商，則需完成註冊，例如 VISA 的 Registry 或 MasterCard 的 Service Provider Registration。

PCI DSS 合規費用

除上述可能的成本外，PCI DSS 合規費用與 QSA 完成稽核所需的時間，亦取決於以下因素：

• 系統複雜度：主機數量、系統使用的作業系統類型、系統上安裝的元件數量、是否同時使用多種作業系統、是否有多組安全組態。
• 安全設備與網段：安全設備的數量，如防火牆、IPS、IDS、WAF、Switch、Router、SIEM、DRP 等。這些設備均須配置並更新適當的存取控制與日誌；數量越多、網段越複雜，稽核時間也隨之增加。
• 介接的收單機構與服務供應商數量：收單機構越多，系統的資料流越複雜。
• 資料庫與卡片資料的保存與加密：卡片資料流與儲存型態越多元，加密與安全防護的要求就越多，稽核項目也隨之增加。
• 營運單位數量：店面、機房與辦公室的數量會增加審查天數。儲存卡片資料的備援機房亦列入審查範圍。

PCI DSS 稽核成本亦因地區而異，因 PCI SSC 對各地區有不同的年度費用，QSA 費用也因地區而有差異。例如，東南亞一家中小型服務供應商約需 3-5 天的現場評估與約一週的報告製作。不含交通成本，首次 PCI DSS 認證費用約介於 15,000 美元至 25,000 美元之間。實際價格須依上述變數估算。