Tiêu chuẩn bảo mật PCI DSS là gì?

Tiêu chuẩn bảo mật PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) là bộ tiêu chuẩn bảo mật dữ liệu thẻ thanh toán do Hội đồng Tiêu chuẩn Bảo mật Ngành Thẻ thanh toán (PCI Security Standards Council – PCI SSC) ban hành, áp dụng cho mọi tổ chức, doanh nghiệp lưu trữ, xử lý hoặc truyền tải dữ liệu chủ thẻ (Cardholder Data – CHD) và/hoặc dữ liệu nhạy cảm xác thực (Sensitive Authentication Data – SAD). Tại Việt Nam, tiêu chuẩn này được áp dụng rộng rãi trong hoạt động của các ngân hàng thương mại, công ty tài chính, trung gian thanh toán, đơn vị phát hành thẻ và đơn vị chấp nhận thẻ (merchant) nhằm đảm bảo an toàn cho dữ liệu thẻ khi giao dịch qua POS, ATM, internet banking, mobile banking hay sàn thương mại điện tử.

Đối tượng áp dụng và phân cấp tuân thủ

PCI DSS phân loại đối tượng theo quy mô xử lý giao dịch thẻ mỗi năm thành 4 cấp độ (Level 1 đến Level 4). Trong đó:

• Level 1: Doanh nghiệp xử lý trên 6 triệu giao dịch mỗi năm – bắt buộc có báo cáo kiểm toán tại chỗ (On-site Assessment) do QSA (Qualified Security Assessor) thực hiện.
• Level 2: Từ 1 đến 6 triệu giao dịch – có thể sử dụng SAQ (Self-Assessment Questionnaire) phù hợp.
• Level 3: Từ 20.000 đến 1 triệu giao dịch thương mại điện tử mỗi năm.
• Level 4: Dưới 20.000 giao dịch thương mại điện tử hoặc tổng giao dịch dưới 1 triệu/năm.

Riêng đơn vị phát hành thẻ và ngân hàng thanh toán thường thuộc Level 1 hoặc Level 2 tùy khối lượng giao dịch, đồng thời phải tuân thủ thêm tiêu chuẩn bổ sung PCI DSS cho nhà phát hành.

6 nhóm yêu cầu cốt lõi của PCI DSS

Phiên bản PCI DSS v4.0 (có hiệu lực từ ngày 31/3/2024 và thay thế hoàn toàn v3.2.1 từ ngày 31/3/2025) quy định 12 yêu cầu chính chia thành 6 nhóm mục tiêu, bao gồm:

1. Xây dựng và duy trì mạng lưới an toàn: cài đặt và duy trì cấu hình tường lửa để bảo vệ dữ liệu chủ thẻ; không sử dụng mật khẩu và tham số mặc định do nhà cung cấp thiết lập.
2. Bảo vệ dữ liệu chủ thẻ: mã hóa dữ liệu truyền tải qua mạng công cộng; lưu trữ dữ liệu chủ thẻ ở mức tối thiểu cần thiết, mã hóa bằng thuật toán mạnh (AES-256, RSA 2048-bit trở lên); che số PAN khi hiển thị (chỉ hiển thị tối đa 6 số đầu và 4 số cuối).
3. Duy trì chương trình quản lý lỗ hổng: cập nhật bản vá phần mềm thường xuyên; triển khai phần mềm chống mã độc; phát triển và duy trì hệ thống/ứng dụng theo phương pháp bảo mật.
4. Triển khai biện pháp kiểm soát truy cập mạnh: giới hạn truy cập dữ liệu chủ thẻ theo nguyên tắc cần biết (need-to-know); cấp quyền truy cập dựa trên phân loại nhiệm vụ; nhận dạng và xác thực người dùng bằng MFA; kiểm soát truy cập vật lý vào môi trường lưu trữ dữ liệu.
5. Giám sát và kiểm tra thường xuyên: ghi nhận log truy cập và các sự kiện bảo mật; lưu trữ log tối thiểu 12 tháng với 3 tháng gần nhất có thể truy xuất tức thì; kiểm tra hệ thống an ninh định kỳ (penetration test ít nhất mỗi năm một lần, scan lỗ hổng mỗi quý).
6. Xây dựng chính sách an ninh thông tin: ban hành và duy trì chính sách bảo mật thông tin; tổ chức đào tạo nhận thức bảo mật cho nhân viên; quản lý rủi ro với nhà cung cấp dịch vụ; kiểm thử phản ứng sự cố (incident response) ít nhất mỗi năm một lần.

Quy trình tuân thủ PCI DSS tại ngân hàng Việt Nam

Tại Việt Nam, các ngân hàng và trung gian thanh toán khi triển khai tuân thủ PCI DSS thường trải qua các bước chính: (1) Xác định phạm vi (Scoping) – lập bản đồ toàn bộ hệ thống liên quan đến lưu trữ, xử lý, truyền tải dữ liệu thẻ; (2) Đánh giá khoảng cách (Gap Assessment) – so sánh hiện trạng với 12 yêu cầu của PCI DSS; (3) Triển khai khắc phục (Remediation) – nâng cấp hệ thống, tái cấu trúc mạng, ứng dụng tokenization, point-to-point encryption (P2PE); (4) Kiểm toán chính thức – thực hiện bởi QSA được PCI SSC ủy quyền, đối với Level 1 bắt buộc tại chỗ; (5) Duy trì liên tục – quét lỗ hổng mỗi quý, đào tạo nhân viên hàng năm, báo cáo tuân thủ (ROC – Report on Compliance hoặc SAQ tùy cấp độ) theo chu kỳ hằng năm.

Nhiều ngân hàng Việt Nam đã lựa chọn giải pháp tokenization (thay thế PAN bằng mã token không có giá trị thanh toán) hoặc ủy thác xử lý cho bên thứ ba đạt chuẩn để giảm phạm vi tuân thủ. Việc tuân thủ PCI DSS không thay thế các yêu cầu về an toàn thông tin theo quy định nội địa như Luật An toàn thông tin mạng, Luật An ninh mạng và các thông tư hướng dẫn của Ngân hàng Nhà nước về an toàn hệ thống thông tin trong hoạt động ngân hàng.

Câu hỏi thường gặp

Hỏi: Ngân hàng Việt Nam có bị bắt buộc phải tuân thủ PCI DSS hay không, và cơ quan nào giám sát việc tuân thủ? PCI DSS là tiêu chuẩn quốc tế do PCI SSC ban hành, không phải văn bản pháp luật của Việt Nam. Tuy nhiên, các tổ chức phát hành thẻ quốc tế (Visa, Mastercard, JCB, NAPAS thông qua thỏa thuận với đối tác quốc tế) yêu cầu ngân hàng và đơn vị chấp nhận thẻ phải tuân thủ để được kết nối vào hệ thống thanh toán. Ngân hàng Nhà nước Việt Nam cũng yêu cầu các tổ chức tín dụng đảm bảo an toàn cho hoạt động thanh toán thẻ theo các quy định nội địa, trong đó PCI DSS thường được coi là chuẩn mực kỹ thuật tham chiếu.

Hỏi: Phiên bản PCI DSS hiện hành là gì và điểm khác biệt lớn so với phiên bản cũ? Phiên bản hiện hành là PCI DSS v4.0.1 (bản sửa đổi kỹ thuật nhỏ của v4.0, ban hành năm 2024), đã thay thế hoàn toàn v3.2.1 từ ngày 31/3/2025. Điểm khác biệt nổi bật gồm: yêu cầu bắt buộc xác thực đa yếu tố (MFA) cho mọi truy cập vào môi trường dữ liệu thẻ (trước đây chỉ khuyến nghị); bổ sung phương pháp tiếp cận dựa trên mục tiêu (Customized Approach) thay vì chỉ tuân thủ định lượng (Defined Approach); nâng cao yêu cầu về giám sát liên tục, mã hóa và quản lý rủi ro nhà cung cấp dịch vụ.

Hỏi: Một ngân hàng thuê nhà cung cấp xử lý thanh toán thẻ thì ngân hàng có còn phải tuân thủ PCI DSS không? Có. PCI DSS quy định rõ nguyên tắc "không có ngoại lệ" – mọi tổ chức lưu trữ, xử lý hoặc truyền tải dữ liệu chủ thẻ đều phải tuân thủ. Khi thuê bên thứ ba, ngân hàng vẫn chịu trách nhiệm cuối cùng về bảo mật dữ liệu và phải: yêu cầu nhà cung cấp cung cấp chứng nhận PCI DSS còn hiệu lực; ký thỏa thuận cam kết trách nhiệm bảo mật; giám sát tình trạng tuân thủ của nhà cung cấp ít nhất mỗi năm một lần; đồng thời phần phạm vi hệ thống nội bộ của ngân hàng kết nối với nhà cung cấp vẫn nằm trong diện kiểm toán.

Nội dung mang tính tham khảo, không thay thế tư vấn chuyên môn từ QSA được ủy quyền hoặc tư vấn pháp lý chính thức.