PCI DSS

什麼是 PCI DSS 資料安全標準？

Payment Card Industry Data Security Standards（簡稱 PCI DSS）是多家主要的國際信用卡組織針對處理其品牌的持卡人資料安全所訂定的共同產業標準，適用於儲存、處理或傳輸持卡人資料的所有機構。接觸這些品牌支付卡的特約商店（Merchant）或服務提供商（Service Provider），無論其規模大小或交易量多寡，都須依據 PCI DSS 安全標準對持卡人資料進行安全保護。

PCI DSS 標準由 PCI SSC（Payment Card Industry Security Standards Council）委員會負責制訂及管理。委員會由 American Express、Discover Financial Services、JCB、MasterCard 和 Visa Inc. 為創始成員，因此這些標準適用於此五大卡組織相關的所有持卡人資料。

PCI DSS 標準是目前各類安全標準中最嚴格的安全標準之一，它在 6 個安全原則下建立了 12 項安全領域要求：

持卡人資料

PCI DSS 的目標在於保護持卡人資料。所有卡片交易可分為 Card Present（卡片出示交易）與 Card Not Present（無卡交易）：Card Present 交易指實體商店面對面的交易方式，Card Not Present 則通常指網路支付或電子商務交易。

不同類型的支付交易碰觸到的持卡人資料不同。Card Present 交易會處理儲存於磁條或晶片內的敏感資料，而 Card Not Present 交易則僅使用卡號、到期日及安全碼。

卡號（Primary Account Number）在儲存時應加密或使其不可讀，且敏感性驗證資料（SAD）在整個流程中均不得儲存。以下是 PCI DSS 對於持卡人資料的安全要求規定：

PCI DSS 的實施可分為四個工作階段：準備階段、盤點清查階段、建置階段及合規審查階段，主要工作任務如下。