PCI PIN Security

何謂 PCI PIN Security？

一般而言，提供 ATM, POS 進行 PIN 交易的機構及其協助機構都需要遵循此標準，包含提供 ATM, POS 的收單機構，發卡機構，以及中間的交易網路 (Switch, Network)，卡組織網路等。

另外提供 Key Injection (注入金鑰) 服務的 KIF, 憑證 (Certification Authority) 服務的單位，程度上依據各卡組織的規定，可能有自我評估 (Self-assessment Questionnaire) 或者由 PCI SSC 核可的 QPA (Qualified PIN Security Assessor) 來進行審查。所有負責處理 PIN 交易的收單機構及其代理機構（例如金鑰注入設施及憑證處理機構），皆須依規定完成自我評估問卷，或由 PCI SSC 授權的 QPA (Qualified PIN Security Assessor) 完成審查。

要做到 PCI PIN Security 合規的必要工作大約分為以下幾項

PCI PIN Security 分為七大控制目標 (Control Objectives)，每一個控制目標都要求管理安全政策及程序，包含各類 POI – Point of Interaction (ATM, POS) 的管理程序，HSM 的管理程序，但更重要的是金鑰管理 (Key Management) 的相關程序，從 Key 的產生、傳輸、更新、廢止、銷毀，與其他機構各類交換的管理程序，PIN Block 及 Key Block 的使用，到設備的實體安全等。

PIN Security 的相關設備包含 POI (ATM, POS) 設備，HSM 金鑰、加密設備，金鑰載入設備 (Key Loading Device)，主機及其 Host Software 等均需要進行盤點及進行管理，POI 的數量通常較多，將 Key 載入設備也是一個需要嚴格、精確管理的步驟，機構內部使用的 Key、HSM，以及交易的參與機構、交換機構等，最後還要注意對於委外服務商的盤點及管理。

對於各類設備 POI (ATM, POS), HSM, 主機，Key Loading Device 的使用、紀錄、檢視的管理，必須依據程序的規定運行並留下適當的紀錄。Key 交換、載入 (Key Loading)、產生等都需要做到規定的 Dual Control、Split Knowledge 以及監督 (Monitoring)，相關紀錄並需要有對應的監督跟審查。

I. 差距分析

差距分析 (Gap analysis) 開始，來確定現有的環境、設備、運行管理與 PCI PIN Security 的標準尚有哪些差距，需要完成的工作。

II. 顧問階段

由專業的 PCI PIN Security 顧問，按照標準的要求，提供各項技術、管理的建議，並協助受審查機構實施並達到合規。

III. 現場審查

由 PCI QPA 進行對受審查單位的實施狀況進行審查，依據 PCI PIN Security 審查的規定，以及卡組織規範的審查頻率、產出審查的結果。

IV. 修復

審查可能發現實施現況與標準不符合的事項 (Non-compliance)，須由受審查單位進行修復、矯正的作業，或者進行技術的補強、流程的修正等，待修復完成、產出適當的實施紀錄後，可以讓 PCI QPA 進行再次的檢查或透過證據審查來確認合規。

V. 完成審查

ROC 實質上是評估人員工作底稿所彙整的證據摘要，用以說明評估人員如何執行驗證作業，以及如何得出審查結果。整體而言，ROC 針對 PCI PIN Security 要求與測試程序，提供審查期間所執行測試作業及所蒐集資訊的完整摘要。當所有不符合事項都已完成修復並經確認後，PCI QPA 將產出審查的報告，包含 ROC (Report on Compliance), AOC (Attestation of Compliance)，並由受審查單位簽署了 AOC 的報告後，審查就算完成。