Komplexní služby pro dosažení a udržení PCI DSS 4.0 compliance. Gap analýza, penetrační testování, ASV scanning a implementace všech 12 požadavků pro bezpečné zpracování platebních karet.
Globální bezpečnostní standard pro ochranu dat platebních karet
PCI DSS (Payment Card Industry Data Security Standard) je soubor bezpečnostních požadavků vytvořený PCI Security Standards Council (PCI SSC), který tvoří společnosti Visa, Mastercard, American Express, Discover a JCB. Standard definuje povinné bezpečnostní kontroly pro všechny organizace, které přijímají, zpracovávají, ukládají nebo přenášejí data platebních karet.
Verze PCI DSS 4.0, která plně nahradila verzi 3.2.1 k 31. březnu 2025, přináší zásadní změny včetně customized approach, rozšířené multi-factor authentication, přísnějších požadavků na e-commerce anti-skimming a targeted risk analysis. Organizace musí nyní plnit všech 64 nových požadavků, které byly dříve označeny jako „future-dated".
Standard se vztahuje na celé Cardholder Data Environment (CDE) – všechny systémy, procesy a osoby, které přicházejí do kontaktu s daty držitelů karet (CHD) nebo citlivými autentizačními daty (SAD). Rozsah compliance závisí na merchant level (Level 1–4), který je určen ročním objemem zpracovaných transakcí.
Payment Card Industry Data Security Standard definuje 12 klíčových požadavků pro bezpečné zpracování platebních karet
Instalace a údržba firewall konfigurace pro ochranu dat držitelů karet
Nepoužívat výchozí hesla a bezpečnostní parametry od dodavatelů
Ochrana uložených dat držitelů karet pomocí šifrování a tokenizace
Šifrování přenosu dat držitelů karet přes otevřené veřejné sítě
Ochrana všech systémů proti malware a pravidelná aktualizace antivirů
Vývoj a údržba bezpečných systémů a aplikací
Omezení přístupu k datům držitelů karet podle business need-to-know
Přiřazení jedinečného ID každému uživateli s přístupem k systémům
Omezení fyzického přístupu k datům držitelů karet
Sledování a monitorování všech přístupů k síťovým prostředkům a datům
Pravidelné testování bezpečnostních systémů a procesů
Udržování politiky řešící informační bezpečnost pro personál
Klíčové změny oproti verzi 3.2.1, které musí organizace implementovat od března 2025
PCI DSS 4.0 zavádí alternativní přístup k plnění požadavků. Organizace mohou implementovat vlastní bezpečnostní kontroly, pokud prokáží, že splňují cíl požadavku – targeted risk analysis nahrazuje rigidní defined approach.
Multi-factor authentication je nově vyžadována pro všechny přístupy do CDE, nejen pro vzdálený přístup. MFA musí splňovat independence of authentication factors a resistance to replay attacks.
Requirement 6.4.3 vyžaduje správu a integritu platebních skriptů na platebních stránkách. Organizace musí implementovat mechanismy pro detekci neoprávněných změn HTTP headers a obsahu platebních stránek.
Minimální délka hesla vzrostla na 12 znaků (dříve 7). Požadavek na complexity je nahrazen délkou a MFA. Automated password management a detekce kompromitovaných hesel jsou nově doporučeny.
Organizace mohou provádět vlastní analýzu rizik pro určení frekvence bezpečnostních kontrol místo pevně stanovených intervalů. Každá TRA musí být dokumentována a schválena managementem.
Rozšířené požadavky na detekci selhání bezpečnostních kontrol, automated log review a incident response. Povinná detekce covert malware communication channels a security alert monitoring.
Všechny organizace zpracovávající platební karty musí být PCI DSS compliant
Všechny online obchody přijímající platební karty musí být PCI DSS compliant. Rozsah compliance závisí na objemu transakcí ročně.
Poskytovatelé platebních služeb, platební brány a acquiring banky podléhají nejpřísnějším požadavkům PCI DSS Level 1.
Software as a Service aplikace, které zpracovávají, ukládají nebo přenášejí data platebních karet.
Kamenné obchody s POS terminály a card-present transakcemi musí zajistit fyzickou i technickou bezpečnost.
PCI DSS compliance není jen regulatorní povinnost – přináší měřitelné obchodní výhody
Zabezpečení platebních dat vašich zákazníků buduje důvěru a loajalitu. Zákazníci preferují obchodníky, kteří prokazatelně chrání jejich finanční údaje.
Data breach průměrně stojí 4,45 mil. USD (IBM 2023). PCI DSS compliance dramaticky snižuje riziko úniku dat a s ním spojené pokuty, soudní spory a ztrátu reputace.
PCI DSS compliance pomáhá splnit i další regulace – GDPR (ochrana osobních údajů), NIS2 (kritická infrastruktura) a DORA (finanční sektor). Synergie mezi frameworky šetří náklady.
PCI DSS certifikace je diferenciátorem na trhu. Velcí korporátní klienti a partneři vyžadují prokázání compliance jako podmínku obchodní spolupráce.
Implementace PCI DSS kontrol systematicky zlepšuje celkovou bezpečnostní pozici organizace – od segmentace sítě přes šifrování po incident response.
Prokazatelná PCI DSS compliance může vést k nižším sazbám cyber pojištění. Pojistitelé oceňují organizace s implementovanými bezpečnostními kontrolami.
Kompletní portfolio služeb pro dosažení a udržení PCI DSS compliance
Komplexní zhodnocení současného stavu compliance s PCI DSS 4.0 požadavky a identifikace mezer
Povinné roční penetrační testování dle Requirement 11 pro prokázání compliance
Čtvrtletní skenování zranitelností prováděné certifikovaným ASV dodavatelem
Komplexní služba zajištění a udržení PCI DSS compliance pro váš e-commerce
Správná architektura a scope reduction techniky dramaticky snižují náklady na compliance
Izolace CDE od zbytku sítě pomocí firewallů a VLAN. Správná segmentace může redukovat scope o 60-80 % a výrazně snížit náklady na compliance.
Nahrazení PAN tokenem bez kryptografického vztahu k původním datům. Systémy pracující pouze s tokeny jsou mimo PCI DSS scope.
PCI SSC validované P2PE řešení šifrují data od POS terminálu po dekryptovací bod. Merchants s P2PE mohou použít zjednodušený SAQ P2PE.
Přesměrování platebního procesu na PCI DSS compliant třetí stranu (iframe, redirect). Minimalizuje kontakt s CHD a umožňuje SAQ A nebo SAQ A-EP.
Containerizace, serverless functions a managed services redukují infrastrukturu v scope. Shared responsibility model přenáší část odpovědnosti na cloud providera.
Ukládejte pouze data, která skutečně potřebujete. Kratší retenční periody, automatické mazání a eliminace zbytečných datových toků snižují riziko i scope.
Typický timeline pro dosažení plné compliance
Zhodnocení současného stavu a identifikace mezer v compliance
Implementace bezpečnostních kontrol a nápravných opatření
Roční penetrační testování podle Requirement 11
Čtvrtletní vulnerability scanning certifikovaným ASV
SAQ vyplnění nebo QSA audit podle level compliance
PCI DSS compliance se prolíná s dalšími bezpečnostními a regulatorními frameworky
Požadavky na řízení rizik, incident response a supply chain security se překrývají s PCI DSS Requirements 1, 5, 6, 10, 11 a 12.
PCI DSS chrání data platebních karet, která jsou zároveň osobními údaji dle GDPR. Synergie v oblasti šifrování, access control a breach notification.
PCI DSS kontrol mapuje na ISO 27001 Annex A. Organizace s ISMS mohou efektivně rozšířit scope na PCI DSS s minimálním úsilím.
Finanční instituce podléhající DORA benefit z PCI DSS compliance v oblastech ICT risk management, incident reporting a digital resilience testing.
Odpovědi na nejčastější dotazy o PCI DSS compliance
PCI DSS (Payment Card Industry Data Security Standard) je globální bezpečnostní standard pro všechny organizace, které přijímají, zpracovávají, ukládají nebo přenášejí data platebních karet. Compliance je povinná pro všechny obchodníky a service providery bez ohledu na velikost nebo počet transakcí.
Pokuty za non-compliance se pohybují od 5 000 USD do 100 000 USD měsíčně podle závažnosti a délky porušení. V případě data breach můžete čelit dodatečným pokutám 50-90 USD za každý kompromitovaný záznam karty, plus legal costs a reputational damage. Navíc může být pozastaveno vaše oprávnění přijímat platební karty.
Typicky 2-6 měsíců v závislosti na současném stavu bezpečnosti a rozsahu CDE (Cardholder Data Environment). Level 1 merchants s velkým CDE mohou potřebovat až 12 měsíců. Naše služby urychlují proces díky zkušenostem a best practices.
SAQ (Self-Assessment Questionnaire) je self-assessment dotazník pro menší merchants (Level 2-4). QSA (Qualified Security Assessor) audit je povinný pro Level 1 merchants (6M+ transakcí ročně) a je prováděn certifikovaným external auditorem. Oba vyžadují supporting evidence včetně penetračních testů.
ASV (Approved Scanning Vendor) scanning je čtvrtletní vulnerability scanning vnějších IP adres prováděné PCI SSC certifikovaným dodavatelem. Je povinný pro všechny Level 1-4 merchants. Musíte dosáhnout 'passing scan' výsledku nejméně jednou za čtvrtletí.
PCI DSS vyžaduje šifrování primary account number (PAN) při ukládání (Requirement 3) a při přenosu přes otevřené veřejné sítě (Requirement 4). Nikdy nesmíte ukládat CVV2/CVC2 security code, ani po autorizaci transakce. Doporučujeme tokenizaci pro minimalizaci scope.
Requirement 11.4 vyžaduje roční penetrační testování všech systémů v CDE a network segmentation testing. Test musí zahrnovat external penetration testing, internal penetration testing, application-layer testing a network-layer testing. Po významných změnách musí být test opakován.
Scope reduction se dosahuje network segmentation, outsourcingem payment processing (iframe/redirect metody), tokenizací a point-to-point encryption (P2PE). Čím méně systémů v CDE, tím nižší náklady na compliance. Pomůžeme vám optimalizovat architekturu.
PCI DSS 4.0 přináší customized approach jako alternativu k defined approach, rozšířené požadavky na multi-factor authentication (MFA), přísnější požadavky na password security (min. 12 znaků), targeted risk analysis pro flexibilní frekvence kontrol a nové požadavky na e-commerce (anti-skimming skripty). Přechodné období skončilo 31. března 2025.
Cloud prostředí spadají pod PCI DSS scope pokud zpracovávají, ukládají nebo přenášejí CHD. Odpovědnost je sdílená mezi cloud providerem (IaaS/PaaS/SaaS) a klientem. Je nutné mít dokumentovanou shared responsibility matrix a ověřit PCI DSS compliance poskytovatele (AOC). Doporučujeme containerizaci a micro-segmentaci pro scope reduction.
Máte další otázky o PCI DSS compliance?
Kontaktujte nás pro konzultaciZískejte nezávaznou konzultaci a zjistěte, jak rychle a efektivně můžeme pomoci vašemu e-commerce dosáhnout a udržet PCI DSS compliance.