أمن المعلومات
PCI DSS
PCI DSS (معيار أمن بيانات صناعة بطاقات الدفع)
PCI DSS هو معيار الأمن الإلزامي لصناعة البطاقات لكل من يتعامل مع بيانات بطاقات الدفع. نساعدك على تضييق النطاق واستيفاء المتطلبات والتحقق من الامتثال.
ما هو PCI DSS
PCI DSS هو معيار أمني يحافظ عليه مجلس معايير أمن صناعة البطاقات (PCI Security Standards Council) وينطبق على كل منظمة تخزّن بيانات حاملي البطاقات أو تعالجها أو تنقلها. ويحدّد متطلبات تشمل أمن الشبكات وحماية البيانات المخزّنة والتشفير والتحكم في الوصول والمراقبة والاختبار والحفاظ على سياسة لأمن المعلومات.
تعتمد طريقة التحقق على كيفية تعاملك مع بيانات البطاقات وحجم معاملاتك. تكمل منظمات كثيرة استبيان التقييم الذاتي (SAQ)، بينما يُقيَّم التجار ومقدمو الخدمات الأكبر في الموقع من قبل مُقيّم أمني مؤهل (QSA) ويُنتجون تقرير امتثال (Report on Compliance). وعادةً ما يكون تقليص نطاق بيئة بيانات حاملي البطاقات أكبر عامل مؤثر على التكلفة والجهد.
هيكل المعيار
الهدف 1 · بناء شبكة وأنظمة آمنة والحفاظ عليها
يغطي المتطلبان 1 و2 ضوابط أمن الشبكات وإزالة الإعدادات الافتراضية وكلمات المرور غير الآمنة.
الهدف 2 · حماية بيانات الحساب
يحكم المتطلبان 3 و4 كيفية حماية بيانات حاملي البطاقات المخزّنة وكيفية تشفير البيانات عند نقلها عبر الشبكات المفتوحة والعامة.
الهدف 3 · الحفاظ على برنامج لإدارة الثغرات
يغطي المتطلبان 5 و6 الحماية من البرمجيات الخبيثة وتطوير أنظمة وتطبيقات آمنة وصيانتها.
الهدف 4 · تطبيق تدابير قوية للتحكم في الوصول
تقيّد المتطلبات 7 و8 و9 الوصول إلى بيانات حاملي البطاقات وفق مبدأ الحاجة إلى المعرفة لأغراض العمل، وتصادق على كل مستخدم، وتحدّ من الوصول المادي.
الهدف 5 · مراقبة الشبكات واختبارها بانتظام
يغطي المتطلبان 10 و11 تسجيل ومراقبة الوصول إلى البيانات والاختبار المنتظم لأنظمة الأمن وعملياته.
الهدف 6 · الحفاظ على سياسة لأمن المعلومات
يغطي المتطلب 12 السياسات والبرامج التنظيمية التي تدعم أمن المعلومات لجميع الموظفين.
من يحتاج إليه
- التجار الذين يقبلون المدفوعات بالبطاقات، حضورياً أو عبر الإنترنت
- مقدمو الخدمات الذين يخزّنون بيانات حاملي البطاقات أو يعالجونها أو ينقلونها نيابةً عن الآخرين
- منصات التقنية المالية وبرمجيات الخدمة (SaaS) التي تلامس تدفق الدفع بأي شكل من الأشكال
ما تحصل عليه
- تدفق موثّق لبيانات حاملي البطاقات وبيئة محددة النطاق
- ضوابط وسياسات مرتبطة بمتطلبات PCI DSS
- أدلة اختبار الاختراق وفحص الثغرات المنسّق
- الجاهزية والدعم لاستبيان التقييم الذاتي أو تقييم QSA الخاص بك
تعتمد الجداول الزمنية على نطاقك وملف معاملاتك ومسار التحقق لديك. نحدد النطاق بصدق مسبقاً بدلاً من الوعد بعدد ثابت من الأسابيع.
الإصدار الحالي
الإصدار الحالي هو PCI DSS v4.0.1، وهو تصحيح محدود للإصدار v4.0 نشره مجلس معايير أمن صناعة البطاقات. اكتمل الانتقال من الإصدار v3.2.1، وأصبحت متطلبات الإصدار v4 المؤجلة التاريخ التي كانت ممارسة فضلى خلال فترة الإدخال إلزامية في 31 مارس 2025. إذا كان آخر تقييم لك مقابل إصدار أقدم، فإن العمل العملي الآن هو التأكد من أن تلك الضوابط المطلوبة حديثاً، مثل المصادقة الموسّعة وتحليلات المخاطر المستهدفة، قائمة ومُثبتة بالأدلة وليست مجرد مخطط لها.
التكلفة
عادةً ما تتجاور تكلفتان. تتقاضى tr3labs رسوم استشارة وتنفيذ محددة النطاق، تُسعّر مسبقاً بمجرد أن نفهم حجمك وكيفية تعاملك مع بيانات البطاقات ونقطة انطلاقك. وحيث يجري التحقق عبر مُقيّم أمني مؤهل (QSA) أو مورّد فحص معتمد (Approved Scanning Vendor) أو بنك مستحوِذ، يتقاضى ذلك الطرف أجره منفصلاً وفق جدوله الخاص، وليست tr3labs أبداً المُقيّم أو مورّد الفحص أو علامة البطاقة. نحدد المهمة معك بدلاً من التسعير دون معرفة.
كيف توصلك tr3labs إلى هناك
تقييم النطاق والفجوات
نرسم كيفية تدفق بيانات البطاقات عبر أنظمتك، ونعمل على تقليص بيئة بيانات حاملي البطاقات لديك، ونؤكد المسار الصحيح لاستبيان التقييم الذاتي أو للتقييم، ونقيسك مقابل المتطلبات المنطبقة.
بناء الضوابط
نساعدك على تنفيذ التجزئة والتشفير والتحكم في الوصول وتسجيل السجلات والسياسات التي يتطلبها PCI DSS، ونجمّع الأدلة التي تدعمها.
الاختبار والإثبات
ننفّذ اختبار الاختراق والمراجعات الداخلية التي يتوقعها المعيار وننسّق فحص الثغرات المطلوب حتى تكون بيئة الضوابط مُثبتة.
دعم التحقق
نجهّزك لإكمال استبيان التقييم الذاتي الخاص بك أو لكي يقيّمك مُقيّم أمني مؤهل (QSA)، وندعمك طوال عملية التحقق وصولاً إلى نتيجة امتثال موثّقة.
مقارنة بين PCI DSS وSOC 2
كلاهما نظام لضمان الأمن غالباً ما يُطلب من الشركة التقنية نفسها، ولهذا يختلط الأمر بينهما.
| PCI DSS | SOC 2 | |
|---|---|---|
| يغطي | بيانات بطاقات الدفع تحديداً | ضوابط ذات صلة بخدمة تشغّلها |
| من يطلبه | علامات البطاقات والبنوك المستحوِذة | عملاء المؤسسات وفرق المشتريات لديهم |
| الفكرة الأساسية | مجموعة ثابتة من المتطلبات الإلزامية التفصيلية | معايير تستوفيها عبر ضوابط من تصميمك أنت |
| نموذج التدقيق | استبيان التقييم الذاتي (SAQ)، أو تقييم QSA وتقرير امتثال | تدقيق مستقل من محاسب قانوني معتمد (CPA) وتقرير توكيد |
| النتيجة | حالة امتثال مُتحقَّق منها | تقرير من النوع الأول أو النوع الثاني، وليس شهادة |
| غالباً ما يُحتفظ به مع | ISO 27001 وSOC 2 | ISO 27001 وPCI DSS |
الأسئلة الشائعة حول PCI DSS
- هل نحتاج إلى مُقيّم أمني مؤهل (QSA) أم يمكننا التقييم الذاتي؟
- يعتمد ذلك على كيفية تعاملك مع بيانات البطاقات وحجم معاملاتك. تتحقق منظمات كثيرة عبر استبيان التقييم الذاتي، بينما يُقيَّم التجار ومقدمو الخدمات الأكبر من قبل مُقيّم أمني مؤهل. نؤكد المسار الصحيح لك أثناء تحديد النطاق.
- كيف يمكننا تقليل تكلفة PCI DSS؟
- العامل الأكثر فعالية هو تقليص النطاق: تحديد أماكن تخزين بيانات البطاقات أو معالجتها أو نقلها، واستخدام التجزئة، وإحالة تدفق الدفع إلى مقدمي خدمات متوافقين حيثما كان ذلك منطقياً. نركّز مبكراً على تقليص النطاق لأنه يخفض الجهد والمخاطر معاً.
- هل يتطلب PCI DSS اختبار اختراق؟
- نعم. يتطلب PCI DSS اختبار اختراق وفحص ثغرات منتظمين لبيئة بيانات حاملي البطاقات. تفي اختباراتنا اليدوية بهذا المتطلب وتغذّي عملية التحقق لديك مباشرةً.
الخدمات التي توصلك إلى هناك
المعايير ذات الصلة
قراءات ذات صلة
نظام OWASP LLM Top 10 موضَّحًا: دليل مبسّط للفرق التي تطلق ميزات الذكاء الاصطناعي
شرح عملي وواضح لأكبر عشر مخاطر وفق OWASP لتطبيقات نماذج اللغة الكبيرة، مع وصف مبسّط وإجراء تخفيف ملموس لكل منها، موجَّه للفرق التي تضيف ميزات الذكاء الاصطناعي لأول مرة.
قراءة 9 دقائق
كيف تقرأ تقرير اختبار الاختراق (VAPT): دليل مبسّط للفرق
شرح عملي لما يتضمّنه تقرير اختبار الاختراق، قسمًا بقسم، حتى يتمكّن المؤسّسون وفرق الهندسة من قراءته بثقة والتصرّف بناءً على ما يقوله.
8 دقائق قراءة
SOC 2 مقابل ISO 27001: مقارنة صادقة تساعدك على الاختيار
دليل مبسّط وواضح للفروق الحقيقية بين SOC 2 و ISO 27001: ما هو كل منهما، ومن يطلب أيًّا منهما، وكيف تجري عمليات التدقيق، وما الذي ينتهي بك الأمر إلى امتلاكه، وهل ينبغي لك الحصول على الاثنين معًا.
قراءة 8 دقائق