文章

acceptable formats for truncation of primary account numbers pci dss 2021

2022 年 4 月開始 BIN 改成前8碼，你準備好系統的調整了嗎?

/在： , /通過：

2022年四月起，國際卡組織已陸續要求各支付機構、系統必須支持新的 8 碼 BIN (銀行識別碼 Bank Identification Number, 簡稱 BIN ), 支付卡交易相關的上下游公司應該已經收到銀行的通知，要求對系統、交易資料處理甚至簽帳單上的卡號列印格式做好調整。

 

卡組織支持新的BIN 格式後，使用信用卡支付的產業會有哪一些改變呢?

首先，原來已發出的 6 碼 BIN可以繼續使用，但從這個月 (2022 年 4 月) 後新發的 BIN 將以 8 碼為主；目前看起來卡組織還是維持原來的 16 碼卡號 (AE、Discover 才有 15 或低於 15 碼)，所以對發卡單位、產製卡系統應該沒有太多的困擾產生。但原來使用卡號第七碼、第八碼做卡片等級、種類等利用模式，就需要重新調整對於 8 碼 BIN 的作業。

但由於 6 碼、8 碼 BIN 是會並存於交易系統及網路中。使用 BIN 來進行繞行 (Routing，透過 BIN 識別發卡行) 的系統如：ATM 系統、交易系統、收單系統，或是支付公司目前用來做自行卡交易繞行 (Routing，依據 BIN 送到自行卡的收單機制) 的功能，必須做好支援 8 碼 BIN 的格式，以避免在 6 碼、8 碼並存的階段發生錯誤。

 

其次對於儲存信用卡資料並使用截斷 (Truncation) 技術作為信用卡資料的保護措施者，在今年 的 1 月，PCI SSC (支付卡產業安全標準委員會 Payment Card Industry Security Standards Council) 有正式發表針各卡組織可接受的新截斷格式，應該也是大家關心的議題。

 

新的 BIN 出來後，必須改變儲存的方式，並考慮到 6 碼、 8 碼並存的情形，那螢幕顯示及儲存截斷後卡號又該如何配置呢？

PCI SSC在 2021 年 2 月發布了 “如果開始用8碼 BIN，要如何滿足 PCI DSS 對支付卡號 (Primary Account Number, PAN) 遮罩及截斷要求” 的 FAQ (請參考 https://www.pcisecuritystandards.org/faqs FAQ #1492)，簡述如下：

  1. 遮罩：依據 PCI DSS 要求 3.3，在一般狀況下，針對支付卡僅能顯示前 6 碼及後 4 碼。
    若要超出，如顯示前 8 碼及後 4 碼，則需要有合理的商業考量，並且有文件化的書面文件，內容包含什麼人(或角色)、因為什麼理由而能檢視超過前 6 後 4 的卡號，並需要由該公司高階管理階層核可。
  1. 截斷：依據 PCI DSS 要求 3.4，支付卡號要儲存的時候，必須先將卡號變為不可讀 (Rendered Unreadable)，其中一種做法就是卡號截斷 (Truncation)。雖然在 PCI DSS 的 Guidance 中描述一般截斷的格式為前 6 碼 + 後 4 碼，但因為各家卡組織對於截斷方式有不同的規定，因此該文章 (FAQ #1492) 內也附上了另一個 FAQ 編號 1091 “什麼是可接受的卡號截斷格式” 的文章來補充說明 (更新於 2022年1月)。

所以今年 1 月起，可接受的截斷格式正式修改如下：

資料來源： https://www.pcisecuritystandards.org/faqs (FAQ 編號 1091)

 

需注意這次的更新，已不再針對 6 或 8 碼 BIN 區分不同的格式。整體來說：

  1. VISA, Mastercard, JCB, Discover 以及 UnionPay 對於 16 碼卡號都可接受前 8 碼 + 其他任意 4 碼的格式。
  2. American Express 僅接受前 6 碼 + 後 4 碼。
  3. 小於 15 碼的 Discover 不論移除幾碼，都是接受前 6 碼 + 其他任意 4 碼的格式。

同時卡組織也說明，雖然這些是 “可接受” 的截斷格式，但大家還是要以 “最少保存需求” 的角度來考量，不用因為格式異動，就馬上修改自己的系統。

 

另外提醒與截斷有關的安全保護事項：

  1. 依據 PCI DSS 規範，對於同時會使用 SHA 雜湊方式的系統，保留前 6 後 4，或前 8 後4 都需要注意，對於同時存取到截斷格式跟 SHA 格式後的風險，尤其前 8 後 4 的格式僅移除了 4 碼，所以與 SHA 並存時被測試出正確卡號的機率就會更大。
  2. 對於使用前 8 碼 + 其他任意 4 碼的截斷格式，僅剩下 1000 筆的資料會符合 MOD-10 公式，也就是說這 1000 筆中至少會有一筆是真實卡號，故對於資料庫存取的管制，就需要有更進一步的管制措施或內容檢視的要求，以降低卡號被重新建立、計算出來的風險。

參考資料：https://www.pcisecuritystandards.org/faqs

  • FAQ No. 1492: How can an entity meet PCI DSS requirements for PAN masking and truncation if it has migrated to 8-digit BINs? (by Feb. 2021)
  • FAQ No. 1091: What are acceptable formats for truncation of primary account numbers? (by Jan. 2022)

Bryan Cheng

安律信息技術公司 PCI 資深合規 QSA 與 顧問 - PCI QSA and Senior Consultant
  • Payment Card Industry Security, IT Security Management, Cloud Service Management
  • 專業認證：PCI DSS QSA, CISSP, ISO27001 LA, BS10012 LA, MCSE, MCITP, TUViT Privacy Protection Consultant

安律信息技術有限公司 Secure Vectors Information Technologies Inc., 是一個專門從事支付產業安全管理服務的公司，包含技術檢測、顧問諮詢以即合規審查服務。 我們的服務範圍包含 PCI DSS 、PCI 3DS、PCI PIN Security 等支付卡產業安全標準並提供個人資料保護及 GDPR 適法性查檢與顧問服務。 安律信息技術在美國、中國、新加坡、越南、台灣等地設有服務據點，提供完整的服務。 與合規相關的產品包含認證服務(合規審查)、合規安全代管以及合規管理平台等服務。

你可能會喜歡看

acceptable formats for truncation of primary account numbers pci dss 2021

2022 年 4 月開始 BIN 改成前8碼，你準備好系統的調整了嗎?

2022年四月起，國際卡組織已陸續要求各支付機構、系統必須支持新的…

支付產業合規新挑戰-研討會簡報檔案

PCI DSS V4.0 您準備好了嗎？-研討會簡報檔案

如何準備PCI DSS 認證 PART I | 第一次通過 PCI DSS

0 評論
/
PCI 3DS 驗證 3 步驟_Max

PCI DSS 認證的流程以及合規費用說明

0 評論
/
本文提供您 2021 年最新 PCI DSS 認證的標準流程,…

Sequoia 漏洞 (CVE-2021-33909)，聽聽 PCI DSS 專家怎麼說？

0 評論
/
本次的 Linux 漏洞涉及所有 Linux Kernel 的作業系統，該漏洞利用…

即刻因應: Windows 10/11 (CVE-2021-36934) 提權安全漏洞

0 評論
/
Microsoft 於 2021/07/23 更新了一個 CVSS 超過 7 分的高風險安全漏洞…
PCI 3DS 驗證 3 步驟_Max

PCI 3DS 驗證 3 步驟

3D 驗證 (3-D Secure) 消費者 (Consumer) 在商戶…

PCI DSS 之 Incident Response Plan

acceptable formats for truncation of primary account numbers pci dss 2021

2022 年 4 月開始 BIN 改成前8碼，你準備好系統的調整了嗎?

2022年四月起，國際卡組織已陸續要求各支付機構、系統必須支持新的…

即刻因應: Windows 10/11 (CVE-2021-36934) 提權安全漏洞

0 評論
/
Microsoft 於 2021/07/23 更新了一個 CVSS 超過 7 分的高風險安全漏洞…
因應信用卡資料保護的八大祕訣分享 (中小型商店適用)

八大祕訣讓中小企業在疫情中保護信用卡資料

由於新冠肺炎 (COVID-19) 的衝擊導致商業模式改變，中小型商店原來接受面對面交易的，紛紛移向線上電子商務的交易，因而產生信用卡資料安全保護的需求。…

誰需要通過 PCI DSS 的審查呢 ? Part 2

在 PCI SSC 定義的特約商店，是「接受消費者使用 PCI SSC 五大品牌的信用卡來提供商品或服務的付款」，所以針對特約商店的合規性，就會有相對應的規範了。以下針對特約商店的等級及相關要求 (以 VISA 為例) 進行說明：

智慧型手機被盜刷，mPOS的安全性?

『 智慧型手機被盜刷！！！ 』 規模較小的公司與商店都開始設計及導入…
acceptable formats for truncation of primary account numbers pci dss 2021

支付卡營運標準的安全管理層次與精神

大部分初接觸 PCI DSS 支付卡產業資料安全標準的朋友們，在閱讀標準的過程中，很大一部份的思維會落入 "這個標準只看技術實施和落實” 這樣的情境。原因無他，PCI DSS 的第一個 Requirement 就是網路基礎建設的安全管控機制 (如下圖)。
攻擊增加了 475%

SamSam 勒索軟體賺很大! 3年內成功敲詐近 600 萬美元

各種系統的漏洞未及時更新，常常是駭客利用各式工具掃描進而入侵的管道之一。一旦入侵成功，再進一步搜尋不安全的，或是破解服務安裝，

Reddit 遭駭了，Two Factor 被破解!

由於長期以來駭客攻擊或資料洩漏的原因，過半是透過釣魚、竊取自其他來源先取得 Credential 後，才攻入目標的網站或主機，因此過去我們都稱 Two Factor Authentication 應該是防禦駭客最便宜的解決方案， 在以信用卡交易安全為標的的 PCI DSS 標準中...

*如想了解更多合規服務，歡迎與我們聯繫 service@securevectors.com

我們會儘快回覆您的任何問題！

    請輸入右方所示文字 captcha

    acceptable formats for truncation of primary account numbers pci dss 2021

    2022 年 4 月開始 BIN 改成前8碼，你準備好系統的調整了嗎?

    /在： , /通過：

    2022年四月起，國際卡組織已陸續要求各支付機構、系統必須支持新的 8 碼 BIN (銀行識別碼 Bank Identification Number, 簡稱 BIN ), 支付卡交易相關的上下游公司應該已經收到銀行的通知，要求對系統、交易資料處理甚至簽帳單上的卡號列印格式做好調整。

     

    卡組織支持新的BIN 格式後，使用信用卡支付的產業會有哪一些改變呢?

    首先，原來已發出的 6 碼 BIN可以繼續使用，但從這個月 (2022 年 4 月) 後新發的 BIN 將以 8 碼為主；目前看起來卡組織還是維持原來的 16 碼卡號 (AE、Discover 才有 15 或低於 15 碼)，所以對發卡單位、產製卡系統應該沒有太多的困擾產生。但原來使用卡號第七碼、第八碼做卡片等級、種類等利用模式，就需要重新調整對於 8 碼 BIN 的作業。

    但由於 6 碼、8 碼 BIN 是會並存於交易系統及網路中。使用 BIN 來進行繞行 (Routing，透過 BIN 識別發卡行) 的系統如：ATM 系統、交易系統、收單系統，或是支付公司目前用來做自行卡交易繞行 (Routing，依據 BIN 送到自行卡的收單機制) 的功能，必須做好支援 8 碼 BIN 的格式，以避免在 6 碼、8 碼並存的階段發生錯誤。

     

    其次對於儲存信用卡資料並使用截斷 (Truncation) 技術作為信用卡資料的保護措施者，在今年 的 1 月，PCI SSC (支付卡產業安全標準委員會 Payment Card Industry Security Standards Council) 有正式發表針各卡組織可接受的新截斷格式，應該也是大家關心的議題。

     

    新的 BIN 出來後，必須改變儲存的方式，並考慮到 6 碼、 8 碼並存的情形，那螢幕顯示及儲存截斷後卡號又該如何配置呢？

    PCI SSC在 2021 年 2 月發布了 “如果開始用8碼 BIN，要如何滿足 PCI DSS 對支付卡號 (Primary Account Number, PAN) 遮罩及截斷要求” 的 FAQ (請參考 https://www.pcisecuritystandards.org/faqs FAQ #1492)，簡述如下：

    1. 遮罩：依據 PCI DSS 要求 3.3，在一般狀況下，針對支付卡僅能顯示前 6 碼及後 4 碼。
      若要超出，如顯示前 8 碼及後 4 碼，則需要有合理的商業考量，並且有文件化的書面文件，內容包含什麼人(或角色)、因為什麼理由而能檢視超過前 6 後 4 的卡號，並需要由該公司高階管理階層核可。
    1. 截斷：依據 PCI DSS 要求 3.4，支付卡號要儲存的時候，必須先將卡號變為不可讀 (Rendered Unreadable)，其中一種做法就是卡號截斷 (Truncation)。雖然在 PCI DSS 的 Guidance 中描述一般截斷的格式為前 6 碼 + 後 4 碼，但因為各家卡組織對於截斷方式有不同的規定，因此該文章 (FAQ #1492) 內也附上了另一個 FAQ 編號 1091 “什麼是可接受的卡號截斷格式” 的文章來補充說明 (更新於 2022年1月)。

    所以今年 1 月起，可接受的截斷格式正式修改如下：

    資料來源： https://www.pcisecuritystandards.org/faqs (FAQ 編號 1091)

     

    需注意這次的更新，已不再針對 6 或 8 碼 BIN 區分不同的格式。整體來說：

    1. VISA, Mastercard, JCB, Discover 以及 UnionPay 對於 16 碼卡號都可接受前 8 碼 + 其他任意 4 碼的格式。
    2. American Express 僅接受前 6 碼 + 後 4 碼。
    3. 小於 15 碼的 Discover 不論移除幾碼，都是接受前 6 碼 + 其他任意 4 碼的格式。

    同時卡組織也說明，雖然這些是 “可接受” 的截斷格式，但大家還是要以 “最少保存需求” 的角度來考量，不用因為格式異動，就馬上修改自己的系統。

     

    另外提醒與截斷有關的安全保護事項：

    1. 依據 PCI DSS 規範，對於同時會使用 SHA 雜湊方式的系統，保留前 6 後 4，或前 8 後4 都需要注意，對於同時存取到截斷格式跟 SHA 格式後的風險，尤其前 8 後 4 的格式僅移除了 4 碼，所以與 SHA 並存時被測試出正確卡號的機率就會更大。
    2. 對於使用前 8 碼 + 其他任意 4 碼的截斷格式，僅剩下 1000 筆的資料會符合 MOD-10 公式，也就是說這 1000 筆中至少會有一筆是真實卡號，故對於資料庫存取的管制，就需要有更進一步的管制措施或內容檢視的要求，以降低卡號被重新建立、計算出來的風險。

    參考資料：https://www.pcisecuritystandards.org/faqs

    • FAQ No. 1492: How can an entity meet PCI DSS requirements for PAN masking and truncation if it has migrated to 8-digit BINs? (by Feb. 2021)
    • FAQ No. 1091: What are acceptable formats for truncation of primary account numbers? (by Jan. 2022)

    Bryan Cheng

    安律信息技術公司 PCI 資深合規 QSA 與 顧問 - PCI QSA and Senior Consultant
    • Payment Card Industry Security, IT Security Management, Cloud Service Management
    • 專業認證：PCI DSS QSA, CISSP, ISO27001 LA, BS10012 LA, MCSE, MCITP, TUViT Privacy Protection Consultant

    安律信息技術有限公司 Secure Vectors Information Technologies Inc., 是一個專門從事支付產業安全管理服務的公司，包含技術檢測、顧問諮詢以即合規審查服務。 我們的服務範圍包含 PCI DSS 、PCI 3DS、PCI PIN Security 等支付卡產業安全標準並提供個人資料保護及 GDPR 適法性查檢與顧問服務。 安律信息技術在美國、中國、新加坡、越南、台灣等地設有服務據點，提供完整的服務。 與合規相關的產品包含認證服務(合規審查)、合規安全代管以及合規管理平台等服務。

    你可能會喜歡看

    acceptable formats for truncation of primary account numbers pci dss 2021

    2022 年 4 月開始 BIN 改成前8碼，你準備好系統的調整了嗎?

    2022年四月起，國際卡組織已陸續要求各支付機構、系統必須支持新的…

    支付產業合規新挑戰-研討會簡報檔案

    PCI DSS V4.0 您準備好了嗎？-研討會簡報檔案

    如何準備PCI DSS 認證 PART I | 第一次通過 PCI DSS

    0 評論
    /
    PCI 3DS 驗證 3 步驟_Max

    PCI DSS 認證的流程以及合規費用說明

    0 評論
    /
    本文提供您 2021 年最新 PCI DSS 認證的標準流程,…

    Sequoia 漏洞 (CVE-2021-33909)，聽聽 PCI DSS 專家怎麼說？

    0 評論
    /
    本次的 Linux 漏洞涉及所有 Linux Kernel 的作業系統，該漏洞利用…

    即刻因應: Windows 10/11 (CVE-2021-36934) 提權安全漏洞

    0 評論
    /
    Microsoft 於 2021/07/23 更新了一個 CVSS 超過 7 分的高風險安全漏洞…
    PCI 3DS 驗證 3 步驟_Max

    PCI 3DS 驗證 3 步驟

    3D 驗證 (3-D Secure) 消費者 (Consumer) 在商戶…

    PCI DSS 之 Incident Response Plan

    acceptable formats for truncation of primary account numbers pci dss 2021

    2022 年 4 月開始 BIN 改成前8碼，你準備好系統的調整了嗎?

    2022年四月起，國際卡組織已陸續要求各支付機構、系統必須支持新的…

    即刻因應: Windows 10/11 (CVE-2021-36934) 提權安全漏洞

    0 評論
    /
    Microsoft 於 2021/07/23 更新了一個 CVSS 超過 7 分的高風險安全漏洞…
    因應信用卡資料保護的八大祕訣分享 (中小型商店適用)

    八大祕訣讓中小企業在疫情中保護信用卡資料

    由於新冠肺炎 (COVID-19) 的衝擊導致商業模式改變，中小型商店原來接受面對面交易的，紛紛移向線上電子商務的交易，因而產生信用卡資料安全保護的需求。…

    誰需要通過 PCI DSS 的審查呢 ? Part 2

    在 PCI SSC 定義的特約商店，是「接受消費者使用 PCI SSC 五大品牌的信用卡來提供商品或服務的付款」，所以針對特約商店的合規性，就會有相對應的規範了。以下針對特約商店的等級及相關要求 (以 VISA 為例) 進行說明：

    智慧型手機被盜刷，mPOS的安全性?

    『 智慧型手機被盜刷！！！ 』 規模較小的公司與商店都開始設計及導入…
    acceptable formats for truncation of primary account numbers pci dss 2021

    支付卡營運標準的安全管理層次與精神

    大部分初接觸 PCI DSS 支付卡產業資料安全標準的朋友們，在閱讀標準的過程中，很大一部份的思維會落入 "這個標準只看技術實施和落實” 這樣的情境。原因無他，PCI DSS 的第一個 Requirement 就是網路基礎建設的安全管控機制 (如下圖)。
    攻擊增加了 475%

    SamSam 勒索軟體賺很大! 3年內成功敲詐近 600 萬美元

    各種系統的漏洞未及時更新，常常是駭客利用各式工具掃描進而入侵的管道之一。一旦入侵成功，再進一步搜尋不安全的，或是破解服務安裝，

    Reddit 遭駭了，Two Factor 被破解!

    由於長期以來駭客攻擊或資料洩漏的原因，過半是透過釣魚、竊取自其他來源先取得 Credential 後，才攻入目標的網站或主機，因此過去我們都稱 Two Factor Authentication 應該是防禦駭客最便宜的解決方案， 在以信用卡交易安全為標的的 PCI DSS 標準中...

    *如想了解更多合規服務，歡迎與我們聯繫 service@securevectors.com

    我們會儘快回覆您的任何問題！

      請輸入右方所示文字 captcha