چرا بسیاری از شرکت های فین تک نمی توانند به اولین سوال حسابرس خود پاسخ دهند؟

کلیدهای خانه

• پاسخ “جزئیات دارنده کارت کجا هستند؟” نباید به اقدامات تشخیصی نیاز داشته باشد. فین‌تک‌ها باید به روشنی به این سوال پاسخ دهند تا از هزینه‌کردن بیش از حد بودجه خود جلوگیری کنند.
• گواهی انطباق PCI (AoC) یک فروشنده فقط نیاز 9 PCI DSS را پوشش می دهد. بقیه به عهده سازمان مشتری است.
• کاهش دامنه ساده ترین راه برای کاهش هزینه های انطباق است. فین‌تک‌هایی که CDE را از طریق توکن‌سازی و صفحات پرداخت میزبانی شده کاهش می‌دهند، دامنه ممیزی PCI را محدود می‌کنند.

این را تصور کنید: شما سه هفته از ارزیابی PCI خود می گذرانید و ضرب الاجل ها از بین می روند. QSA هنوز در تلاش است تا محدوده محیط داده دارندگان کارت (CDE) را ایجاد کند. تیم‌ها برای دریافت پاسخ‌ها تلاش می‌کنند، که بودجه‌ای را که ندارید مصرف می‌کند. هر گردش کار به دنبال پاسخ دادن به همان سؤالی است که باید قبلاً شناخته شده باشد: “اطلاعات دارنده کارت کجا ذخیره می شود؟”

تیم عملیات در تلاش است تا دامنه محیط را باز کند – چگونه به آنجا رسیده است، کدام سرورها، بخش‌های شبکه و مرزها وجود دارند، چه کنترل‌هایی در محل هستند و در چه امکاناتی اجرا می‌شوند. ارزیابی صرفاً برای درک محدوده محیط به تلاشی قابل توجه تبدیل شده است. به نظر می رسد همه سؤالات به سؤالات جدیدی منجر می شوند و مشکل را پیچیده می کنند.

چرا اولین سوال در ممیزی PCI همه چیز را تعیین می کند

“اطلاعات دارنده کارت کجاست؟” یک سوال به ظاهر ساده است که پاسخ دادن به آن باید آسان باشد. اما این تنها در صورتی امکان پذیر است که شما یک محدوده تعریف شده، یک معماری جریان داده پشتیبانی شده، یک سند محدوده فعلی و یک تیم مجرب داشته باشید.

اشتباه مهمی که بسیاری از سازمان‌ها مرتکب می‌شوند این است که با گواهی‌نامه ارائه‌دهنده میزبانی به‌گونه‌ای برخورد می‌کنند که گویی جایگاه انطباق خود شرکت است. وقتی این اتفاق می‌افتد و پاسخ آن چیزی نیست که فکر می‌کردید، ممیزی رشد نامشخص با سطوح مختلف پیچیدگی را نشان می‌دهد که گره‌گشایی و رفع آن پرهزینه است.

آنچه گواهی انطباق PCI در واقع پوشش می دهد

گواهی انطباق در سطح تسهیلات (AoC) یک سند رسمی است که پس از ارزیابی PCI DSS صادر می شود. در مجموع 12 الزامات اصلی در 6 هدف کنترل وجود دارد. QSA مشتری معمولاً ارزیابی را انجام می‌دهد و بیانیه‌ای صادر می‌کند که محیط تمام ۱۲ مورد از الزامات PCI DSS قابل اجرا را برآورده می‌کند.

ارائه‌دهنده هم‌محل یا میزبانی می‌تواند شواهدی را ارائه دهد که گواهی می‌دهد ساختمان فیزیکی و کنترل‌های محیطی مطابق با نیاز 9 PCI DSS هستند. این شامل حوزه‌هایی مانند کنترل دسترسی فیزیکی، سیستم‌های نظارت، مدیریت بازدیدکنندگان و حفاظت از محیط‌زیست می‌شود.

تمایز مهم این است که در حالی که فروشنده ممکن است الزام 9 را ارائه دهد و QSA ممکن است به این موضوع اشاره کند، همه اهداف کنترلی دیگر و الزامات آنها در محدوده CDE مشتری است، از جمله تقسیم‌بندی شبکه، سخت‌سازی سرور، رمزگذاری و مدیریت کلید، کنترل دسترسی، ورود به سیستم، مدیریت آسیب‌پذیری و کنترل‌های لایه برنامه.

چرا “میزبان سازگار با PCI” مشکلات حسابرسی ایجاد می کند

همه ما عبارت «میزبانی سازگار با PCI» را شنیده‌ایم، که به این معنی است که بارهای کاری انطباق را به ارث می‌برند. اما آنها این کار را نمی کنند. بار کاری و هر چیزی خارج از محدوده PCI DSS Requirement 9 بر عهده مشتری است.

به عنوان مثال Hivelocity دارای AoC در سطح تسهیلات برای PCI DSS 4.0 است و کار فعالی در حال انجام است تا ردپای تاسیسات تایید شده خود را گسترش دهد. این گواهینامه ها برای محیط تاسیسات اعمال می شود. یک CDE ساخته شده بر روی این پایه، تابع ارزیابی PCI DSS خود مشتری است.

چرا PCI Scope بزرگترین محرک هزینه برای انطباق است

اگر محدودیت دامنه CDE زیاد باشد، باید کنترل‌ها و استانداردهای امنیتی بیشتری در ارزیابی گنجانده شود. محدوده کوچکتر برای ارزیابی به معنای کنترل های کمتر، وابستگی های کمتر، سطح حمله کوچکتر و موارد کمتر در چک لیست QSA است.

یک ارزیابی طولانی و مداوم برای سطح 1 (معمولاً تاجری که بیش از 6 میلیون دلار تراکنش سالانه انجام می دهد) گواهینامه PCI DSS از 45000 دلار شروع می شود و می تواند برای محیط های بزرگ و پیچیده از جمله بازیابی و ارتقاء عیب یابی بیش از 200000 دلار باشد.¹

یک سوال PCI که هر سازمانی باید به آن پاسخ دهد

پاسخ دادن به مهمترین سوال – که داده های دارنده کارت واقعاً در کجا قرار دارند – نباید دشوار باشد. یک CDE کاملاً تعریف شده، مبنایی آماده برای ارزیابی دارد: سیستم‌های قابل شناسایی، جریان‌های داده‌های مستند، مالکیت کنترل تثبیت‌شده، و مرزهای روشن بین مسئولیت‌های تأمین‌کننده و مشتری.

مرز مبهم به این معنی است که حسابرسی باید از کنترل های اعتبارسنجی به تعیین محدوده واقعی تغییر کند. این به تلاش های مهندسی، تغییرات امنیتی و اختلالات عملیاتی نیاز دارد زیرا تیم ها برای ایجاد پاسخ های مورد نیاز ارزیابی تلاش می کنند.

سوالات متداول

س: تفاوت بین PCI DSS و تأیید انطباق (AoC) چیست؟
پاسخ: PCI DSS استاندارد امنیتی است که سازمان ها باید هنگام ذخیره، پردازش یا انتقال داده های دارنده کارت رعایت کنند. گواهی انطباق یک سند رسمی است که نشان می دهد یک محیط ارزیابی شده خاص، الزامات PCI DSS قابل اجرا را در یک محدوده مشخص برآورده می کند.

س: PCI AoC در سطح تسهیلات چه چیزی را پوشش می دهد؟
پاسخ: PCI AoC در سطح تسهیلات معمولاً کنترل‌های امنیتی فیزیکی را به ازای نیاز 9 PCI DSS، از جمله کنترل دسترسی، سیستم‌های نظارت، مدیریت بازدیدکنندگان، و حفاظت از محیط زیست در مرکز ارزیابی‌شده پوشش می‌دهد.

س: چه کسی مسئول تعیین محدوده PCI DSS است؟
پاسخ: سازمانی که داده های دارنده کارت را ذخیره، پردازش یا ارسال می کند، مسئول تعریف و حفظ محدوده PCI DSS است. این مسئولیت را نمی توان به یک ارائه دهنده میزبانی، ارائه دهنده کولوکیشن یا پلت فرم ابری واگذار کرد.

———-

نقل قول ها:
1. محافظت کنید مآقای بمفید بودن، انطباق با PCI واقعا چقدر هزینه دارد؟ (تجزیه کامل)اکتبر 2025