隨著電商、遠距工作及外送平台等消費型態持續蓬勃成長，加速了跨境交易和線上支付的使用率，支付卡資訊安全變得日益重要。為保護持卡人個人資訊，支付卡產業安全標準委員會（PCI SSC）要求所有儲存、處理或傳輸持卡人資料的機構，皆必須遵守 PCI DSS 合規要求。
什麼是 PCI DSS？
PCI DSS 是 Payment Card Industry Data Security Standards（支付卡產業資料安全標準）的縮寫，由國際組織 Payment Card Industry Security Standard Council（PCI SSC）制定並管理，這套標準專為保護支付卡資料免於未經授權的存取與濫用而設計。PCI SSC 由全球主要信用卡組織組成，包括 American Express、Discover Financial Services、JCB、MasterCard、Visa Inc. 及中國銀聯。
PCI DSS 標準是一套聚焦於保護上述品牌持卡人資訊的產業通用準則，適用於所有儲存、處理或傳輸持卡人資料的機構——凡處理這些品牌支付卡的特約商店或服務供應商，無論其規模或交易量大小，皆須遵守。
誰需要 PCI DSS 認證？
凡儲存、處理或傳輸持卡人資料的所有機構，都必須遵守 PCI DSS 合規要求。第一步：先確認機構屬於特約商店（Merchant）或服務供應商（Service Provider）。
特約商店
接受支付卡付款以換取產品或服務的組織——包括實體商店、線上商店，以及提供可下載虛擬商品或服務的業者。
服務供應商
在其提供的服務中傳輸、處理或儲存支付卡持卡人資料，或能控制或影響持卡人資料安全的機構——包括第三方支付處理業者、金流閘道服務商、電子錢包服務商及線上交易平台。提供虛擬主機服務的資料中心與雲端服務供應商也屬於此類。
第二步：確認 PCI DSS 等級。等級一的特約商店與服務供應商，須由合格安全評估員（QSA）進行現場審查；等級二至四的特約商店與等級二的服務供應商，可使用 PCI DSS 自我評估問卷（SAQ）進行自我評估，或尋求 QSA 協助，以更快速且準確地完成評估。
誰可以協助 PCI DSS 認證？
QSA（Qualified Security Assessor，合格安全評估員）
由 PCI SSC 授權的專業人員，經過訓練與認證，可執行 PCI DSS 評估並出具合規報告（ROC）與合規證明（AOC）。QSA 必須定期更新其認證，以掌握最新版本的 PCI DSS。若您的機構屬於等級一的特約商店或服務供應商，則必須由 QSA 進行現場審查。
QSAC（Qualified Security Assessor Company，合格安全評估機構）
聘僱 QSA 並提供專業評估與顧問服務的公司。QSAC 可協助您了解 PCI DSS 的具體要求，並引導您建立安全的支付環境。
如何選擇 QSA 與 QSAC？
- 造訪 PCI 安全標準委員會官方網站，查證通過認證的 QSA 與 QSAC
- 向已完成 PCI DSS 評估的同業或合作夥伴詢問其經驗與推薦
- 檢視候選 QSA 與 QSAC 的客戶評價與案例，確認其經驗與專業能力
- 與多家 QSA 或 QSAC 進行初步諮詢，了解其服務範圍、費用與工作流程
該怎麼做？
PCI DSS 合規評估通常包含四個主要階段：
1. 準備階段
範圍確認與顧問輔導階段——初步評估現有安全措施以找出差異，界定評估範圍（系統、網路與應用程式），聘請顧問或 QSA，並為員工提供資安教育訓練。
2. 資料準備階段
準備與實施必要的控制措施——制定並更新安全政策與作業程序，蒐集並整理所有證明合規所需的文件與證據。
3. 審查階段
由 QSA 進行現場審查——正式審查前先進行內部檢視，確保所有問題皆已處理，再由 QSA 主導現場審查，驗證實際作業與文件記載的一致性。
4. 報告階段
QSA 撰寫合規報告（ROC）與合規證明（AOC）；您將報告提交給支付卡組織或收單機構，並取得 QSAC 頒發的合規認證。
需要多久時間？
從初期環境驗證到提供最終報告，取得 PCI DSS 合規認證的整體時程約為三至五個月：
- 準備階段（1–2 個月）：環境驗證確認與顧問諮詢階段
- 資料準備階段（1 個月）：準備和實施必要的控制措施
- 審查階段（5–7 天）：由 QSA 進行現場審查
- 報告階段（0.5–1 個月）：QSA 撰寫並提交合規報告與認證
實際時程可能因準備程度、系統與作業的複雜度，以及投入的資源（人力、時間與預算）而有所不同。為確保流程順利有效率：請盡早開始準備、與您的 QSA 保持密切溝通，並在取得認證後持續維護與改善安全措施，以維持長期合規。
費用多少？
首次導入 PCI DSS 合規的預估額外費用：
A. 系統
由於 PCI DSS 的高安全要求，部分系統可能需要分離，以符合每個系統元件僅能有一個主要功能等要求（Req. 2.2.3）。原本在同一台主機上的 Web Server、Application Server 與 DB Server 等功能可能需要拆分，因此可能需要額外的伺服器設備（可使用虛擬伺服器）。此外，也可能需要 NTP Server、FIM Server（檔案完整性管理）與 Log Server 等安全元件。
B. 安全設備
為符合 PCI DSS 安全要求，可能需要添購額外的安全設備，例如防火牆等網路安全控制設備（NSCs）、入侵防禦系統（IPS）、入侵偵測系統（IDS）及網頁應用程式防火牆（WAF）。
C. 資料加密設備
視您的環境而定，可能需要資料加密設備及相關控制措施，以保護儲存的持卡人資料。歡迎聯絡我們的顧問，為您的環境提供詳細評估報價。
D. Personal Training
PPCI DSS mandates training for personnel including awareness training, secure coding training, and conducting drills for Incident Response Plans (IRP). If staff perform Vulnerability Scans or Penetration Tests, they will also require adequate security training, potentially increasing training costs.
E. Technical Test
PCI DSS requires various periodic technical tests including Internal Vulnerability Scans, External Vulnerability Scans (ASV), Internal and External Penetration Tests, Wireless Scans, Card Number Scans, and Code Reviews. This section typically incurs additional expenses.
F. Other
If you are a service provider, acquiring institutions or card organizations may require registration in their service provider registries like VISA Registry or MasterCard SDP (Service Provider Registration).
For a small to medium-sized Service Provider without prior PCI DSS compliance experience, the estimated additional expenses might include as listed below:
PCI DSS Certification Costs?
In addition to the potential additional costs mentioned above, the cost of PCI DSS Assessment can be varied with the time required by PCI DSS QSAs to complete the Assessment and Report.
The estimated assessment time depends on the following factors:
1. System Complexity: The number of hosts, types of operating systems used, components installed on systems, multiple OS configurations, and security configurations all affect the sampling required during audits and increase audit time.
2. Security Equipment and Networks: The number of security devices within the assessment scope such as Firewalls, IPS, IDS, WAF, Switches, Routers, SIEM, DRP, etc., requires configuration, updates, access control checks, logging, and more, thereby increasing assessment time with more devices and complex network planning.
3. Connections to Acquiring Institutions and Service Providers: More connections to acquiring institutions and service providers form more complex data flows (Dataflows), necessitating additional time for inspection.
4. Database and Card Data Storage and Encryption Methods: Diverse card data flows and storage methods require more encryption or security measures, resulting in additional inspection items.
5. Number of Operational Units: The number of stores, data centers, and operational offices increases the days required for Assessment, e.g., banks, telecom companies, and businesses with numerous stores and offices with extensive sampling. Moreover, backup data centers storing card data are also included in the scope.
Generally speaking, PCI DSS Assessment costs vary by region due to different annual fees set by the PCI SSC and varying salaries for QSAs in different regions. In Southeast Asia, e.g., a small to medium-sized service provider requires 3-5 days for on-site Assessment and around a week for report compilation. Excluding travel costs, PCI DSS certification costs typically range between NT$400,000 to NT$600,000.
However, an actual quotation depends on the complexity factors mentioned above.
Whether you are a cross-border e-commerce business, a third-party payment platform, or a service provider, adhering to PCI DSS compliance requirements is crucial. Implementing these compliance measures not only provides your acquiring bank and regulatory authorities with a certificate of compliance but also directly helps your business reduce the risk of data breaches and theft while enhancing consumer confidence in the security of their transactions.
PCI DSS compliance consists of over 400 requirements, covering everything from understanding and interpreting the standards, providing evidence, and obtaining certification, to maintaining compliance in the future. How do you ensure ongoing compliance?
It is recommended to consider hiring a QSAC (Qualified Security Assessor Company) to help you quickly and effectively achieve compliance in a short time.
After certification, you can utilize a compliance management system offering features such as automated monitoring, alerts, regular data submission, and real-time visual status updates. This ensures that your business remains compliant and secure at all times.