PCI DSS

Ikhtisar

140940_AWS_Multi-Logo Graphic_600x400_PCI

Payment Card Industry Data Security Standard (PCI DSS) adalah standar keamanan informasi kepemilikan yang dikelola oleh PCI Security Standards Council, yang dibentuk oleh American Express, Discover Financial Services, JCB International, MasterCard Worldwide, dan Visa Inc.

PCI DSS berlaku pada semua entitas yang menyimpan, memproses, atau mengirimkan data pemegang kartu (CHD) atau data autentikasi sensitif (SAD), termasuk merchant, pengolah, pengakuisisi, penerbit, dan penyedia layanan. PCI DSS dimandatkan oleh merek kartu dan dikelola oleh Payment Card Industry Security Standards Council.

Pengesahan Kepatuhan (AOC) dan Ringkasan Tanggung Jawab PCI DSS tersedia untuk pelanggan dengan menggunakan AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact dalam Konsol Manajemen AWS, atau pelajari selanjutnya di Memulai AWS Artifact.

  • Apakah AWS Bersertifikasi PCI DSS?

    Ya, Amazon Web Services (AWS) memiliki sertifikasi sebagai Penyedia Layanan PCI DSS 3.2 Tingkat 1, tingkat penilaian tertinggi yang ada. Penilaian kepatuhan dilakukan oleh Coalfire Systems Inc., Qualified Security Assessor (QSA) yang independen. Pengesahan Kepatuhan (AOC) dan Ringkasan Tanggung Jawab PCI DSS tersedia kepada pelanggan dengan menggunakan AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact dalam Konsol Manajemen AWS, atau pelajari selanjutnya di Memulai AWS Artifact.

  • Mana saja layanan AWS yang patuh dengan PCI DSS?

    Untuk daftar layanan AWS yang sesuai dengan PCI DSS, lihat tab PCI pada halaman web Layanan dalam Lingkup AWS menurut Program Kepatuhan. Untuk informasi lebih lanjut tentang penggunaan layanan ini, hubungi kami.

  • Apa artinya ini bagi saya sebagai penyedia layanan atau merchant PCI DSS?

    Sebagai pelanggan yang menggunakan produk dan layanan AWS untuk menyimpan, memproses, atau mengirimkan data pemegang kartu, Anda dapat mengandalkan infrastruktur teknologi AWS saat Anda mengelola sertifikasi kepatuhan PCI DSS Anda sendiri.

    AWS tidak secara langsung menyimpan, mengirimkan, atau memproses data pemegang kartu (CHD) apa pun. Namun, Anda dapat membuat lingkungan data pemegang kartu Anda sendiri (CDE) yang dapat menyimpan, mengirim, atau memproses data pemegang kartu menggunakan produk AWS.

  • Apa artinya ini bagi saya yang bukan merupakan pelanggan merchant PCI DSS?

    Bahkan jika Anda bukanlah pelanggan PCI DSS, kepatuhan PCI DSS kami menunjukkan komitmen kami terhadap keamanan informasi di setiap tingkat. Mengingat standar PCI DSS divalidasi oleh pihak ketiga eksternal yang independen, hal ini menegaskan bahwa program manajemen keamanan kami komprehensif dan mengikuti praktik industri terkemuka.

  • Sebagai pelanggan AWS, dapatkah saya mengandalkan Pengesahan Kepatuhan (AOC) AWS atau akankah pengujian tambahan diperlukan untuk melengkapi kepatuhan?

    Pelanggan harus mengelola sertifikasi kepatuhan PCI DSS mereka sendiri, dan pengujian tambahan akan diperlukan untuk memverifikasi bahwa lingkungan Anda memenuhi semua persyaratan PCS DSS. Namun, untuk porsi lingkungan data pemegang kartu (CDE) PCI yang disebarkan di AWS, Qualified Security Assessor (QSA) Anda dapat mengandalkan Pengesahan Kepatuhan (AOC) AWS tanpa pengujian lebih lanjut.

  • Bagaimana cara mengetahui kontrol PCI DSS yang menjadi tanggung jawab saya?

    Untuk informasi detail, lihat "AWS 2016 PCI DSS 3.2 Ringkasan Tanggung Jawab" dari Paket Kepatuhan AWS PCI DSS, tersedia kepada pelanggan dengan menggunakan AWS Artifact, portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact dalam Konsol Manajemen AWS, atau pelajari selanjutnya di Memulai AWS Artifact.

  • Bagaimana cara mendapatkan Paket Kepatuhan AWS PCI?

    Paket Kepatuhan AWS PCI tersedia untuk pelanggan dengan menggunakan AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact dalam Konsol Manajemen AWS, atau pelajari selanjutnya di Memulai AWS Artifact.

  • Apa saja isi dari Paket Kepatuhan AWS PCI DSS?

    Paket Kepatuhan AWS PCI mencakup:

    • Pengesahan Kepatuhan (AOC) AWS PCI DSS 3.2
    • Ringkasan Tanggung Jawab AWS 2017 PCI DSS 3.2

  • Apakah AWS tertera dalam Daftar Penyedia Layanan Global Visa dan Daftar Penyedia Layanan Kepatuhan MasterCard?

    Ya, AWS tertera dalam Daftar Penyedia Layanan Global Visa dan Daftar Penyedia Layanan Kepatuhan MasterCard. Pencantuman dalam daftar Penyedia Layanan menunjukkan bahwa AWS berhasil memvalidasi kepatuhan PCI DSS dan telah memenuhi semua persyaratan program Visa dan MasterCard yang berlaku.

  • Apakah standar PCI DSS mewajibkan lingkungan tenant tunggal agar sesuai dengan kepatuhan?

    Tidak. Lingkungan AWS adalah lingkungan multi-tenant yang divirtualisasi. AWS telah menerapkan proses manajemen keamanan, persyaratan PCI DSS, dan kontrol pelengkap lainnya yang secara efektif dan aman memisahkan setiap pelanggan ke dalam lingkungannya sendiri yang terlindungi. Arsitektur yang aman ini telah divalidasi oleh QSA independen dan ditemukan telah sesuai dengan semua persyaratan PCI DSS versi 3.2 yang dipublikasikan pada bulan April 2016.

    PCI Security Standards Council telah menerbitkan PCI DSS Cloud Computing Guidelines 2.0 untuk pelanggan, penyedia layanan, dan penilai layanan komputasi cloud. Pedoman tersebut juga menjelaskan berbagai model layanan dan porsi tanggung jawab kepatuhan antara penyedia dan pelanggan.

    Selain itu, Third-Party Security Assurance 2016 menyediakan informasi tambahan yang dapat digunakan organisasi saat memilih, menggunakan, dan mengelola penyedia layanan pihak ketiga yang menerima data pemegang kartu.

  • Apakah QSA untuk merchant Tingkat 1 harus menjelajahi pusat data AWS secara fisik?

    Pengesahan Kepatuhan (AOC) AWS menunjukkan penilaian ekstensif untuk kontrol keamanan fisik dari pusat data AWS. QSA merchant tidak perlu memverifikasi keamanan pusat data AWS.

  • Apakah AWS mendukung investigasi forensik?

    Ya. AWS mengelola investigasi forensik sesuai dengan persyaratan DSS A 1.4. Pelanggan atau Qualified Incident Response Assessors (QIRA) yang ditunjuk dapat menghubungi AWS sebagaimana diperlukan untuk melakukan penyelidikan forensik.

  • Apakah ada lingkungan yang sesuai PCI DSS khusus yang harus saya tentukan saat menghubungkan server atau mengunggah objek untuk disimpan?

    Selama Anda menggunakan layanan AWS yang patuh dengan PCI DSS, seluruh infrastruktur yang mendukung layanan dalam lingkup sudah sesuai dan tidak ada lingkungan terpisah atau API khusus yang perlu digunakan. Setiap server atau objek data yang disebarkan atau menggunakan layanan ini berada dalam lingkungan yang patuh terhadap PCI DSS, secara global. Untuk daftar layanan AWS yang sesuai dengan PCI DSS, lihat tab PCI pada halaman web Layanan dalam Lingkup AWS menurut Program Kepatuhan.

  • Apakah kepatuhan AWS berlaku secara internasional?

    Ya. Pusat data di lokasi berikut sesuai dengan standar PCI DSS: AS Timur (Virginia Utara), AS Timur (Ohio), AS Barat (Oregon), AS Barat (California Utara), AWS GovCloud (AS), Kanada (Pusat), Eropa (Irlandia), Eropa (Frankfurt), Eropa (London), Asia Pasifik (Singapura), Asia Pasifik (Sydney), Asia Pasifik (Tokyo), Asia Pasifik (Seoul), Asia Pasifik (Mumbai), dan Wilayah Amerika Selatan (São Paulo).

  • Apakah standar PCI DSS bersifat publik?

    Ya. Anda dapat mengunduh standar PCI DSS dari Perpustakaan Dokumen PCI Security Standards Council.

  • Sudahkah ada yang mendapatkan sertifikasi PCI DSS di platform AWS?

    Ya, banyak pelanggan AWS yang telah berhasil menyebarkan dan menyertifikasi sebagian atau semua lingkungan pemegang kartu mereka di AWS. AWS tidak mengungkapkan pelanggan yang sudah mendapatkan sertifikasi PCI DSS, tapi bekerja dengan pelanggan dan penilai PCI DSS mereka secara reguler dalam merencanakan, menyebarkan, memberikan sertifikasi, dan melakukan pemindaian triwulan untuk lingkungan pemegang kartu di AWS.

  • Seperti apa cara agar perusahaan bisa mematuhi PCI DSS?

    Ada dua pendekatan utama yang dilakukan perusahaan untuk memvalidasi kepatuhan PCI DSS mereka setiap tahun. Pendekatan pertama adalah dengan penilaian lingkungan Anda yang berlaku oleh Qualified Security Assessor (QSA) lalu membuat Laporan tentang Kepatuhan (ROC) dan Pengesahan Kepatuhan (AOC); pendekatan ini paling umum untuk entitas yang menangani transaksi dalam volume besar. Pendekatan kedua adalah melakukan Kuesioner Penilaian Mandiri (SAQ); pendekatan ini umum digunakan entitas yang menangani volume transaksi yang lebih kecil.

    Penting untuk dicatat bahwa merek pembayaran dan pengakuisisi bertanggung jawab dalam memberlakukan kepatuhan, bukan dewan PCI.

  • Apa saja persyaratan untuk kepatuhan PCI DSS?

    Di bawah ini adalah gambaran tingkat tinggi persyaratan PCI DSS.

    Membuat dan Memelihara Jaringan dan Sistem yang Aman

    1. Instal dan kelola konfigurasi firewall untuk melindungi data pemegang kartu

    2. Jangan gunakan default yang disediakan vendor untuk kata sandi sistem serta parameter keamanan lainnya

    Melindungi Data Pemegang Kartu

    3. Lindungi data pemegang kartu yang tersimpan

    4. Enkripsi transmisi data pemegang kartu di seluruh jaringan publik yang terbuka

    Mengelola Program Manajemen Kerentanan

    5. Lindungi semua sistem terhadap malware dan perbarui perangkat lunak atau program anti-virus secara teratur

    6. Kembangkan dan kelola sistem serta aplikasi yang aman

    Menerapkan Langkah-Langkah Kontrol Akses yang Kokoh

    7. Batasi akses ke data pemegang kartu menurut kebutuhan bisnis

    8. Identifikasi dan autentikasi akses ke komponen sistem

    9. Batasi akses fisik ke data pemegang kartu

    Memantau dan Menguji Jaringan secara Teratur

    10. Lacak dan monitor semua akses ke sumber daya jaringan dan data pemegang kartu

    11. Uji sistem dan proses keamanan secara teratur

    Mengelola Kebijakan Keamanan Informasi

    12. Kelola kebijakan yang mengatasi keamanan informasi untuk semua personel

  • Apa posisi AWS dalam dukungan protokol TLS 1.0 yang berkelanjutan?

    AWS tidak memiliki kampanye untuk menghentikan TLS 1.0 di semua layanan karena beberapa pelanggan (misalnya non-PCI) yang memerlukan opsi protokol ini, namun, masing-masing layanan AWS menilai dampak kepada pelanggan jika menonaktifkan TLS 1.0 untuk layanan mereka dan mungkin memilih untuk menghentikannya. 

  • Bagaimana cara pelanggan mengonfigurasi arsitektur AWS untuk mematuhi persyaratan PCI demi TLS yang aman?

    Semua Layanan AWS dalam lingkup untuk PCI mengaktifkan TLS 1.1 atau lebih tinggi dan sebagian dari layanan ini juga mendukung TLS 1.0 untuk pelanggan (non-PCI) yang mewajibkannya. Pelanggan bertanggung jawab untuk melakukan upgrade pada sistem mereka untuk memulai handshake dengan AWS yang menggunakan TLS aman, yaitu TLS 1.1 atau lebih tinggi. Pelanggan harus menggunakan dan mengonfigurasi penyeimbang muatan AWS (Application Load Balancer atau Classic Load Balancer) untuk komunikasi aman menggunakan TLS 1.1 atau yang lebih tinggi dengan memilih kebijakan keamanan AWS standar yang dapat memastikan bahwa negosiasi protokol enkripsi antara klien dan penyeimbang muatan menggunakan misalnya TLS 1.2. Misalnya Kebijakan Keamanan Penyeimbang Muatan AWS ELBSecurityPolicy-TLS-1-2-2018-06 hanya mendukung TLS 1.2.

     

  • Jika pemindaian ASV (Approved Scanning Vendor) pelanggan mengidentifikasi TLS 1.0 pada endpoint API AWS, itu berarti bahwa API tersebut masih mendukung TLS 1.0 serta TLS 1.1 atau yang lebih tinggi. Beberapa Layanan AWS dalam lingkup untuk PCI mungkin masih mengaktifkan TLS 1.0 untuk pelanggan yang memerlukannya untuk beban kerja non-PCI. Pelanggan ini dapat menyediakan bukti untuk ASV bahwa titik akhir AWS API mendukung TLS 1.1 atau lebih tinggi dengan menggunakan alat, misalnya Qualys SSL Labs, untuk mengidentifkasi protokol yang digunakan. Pelanggan juga dapat memberikan bukti bahwa mereka mengaktifkan handshake TLS aman dengan menyambung melalui AWS Classic Balancer atau Application Load Balancer yang dikonfigurasi dengan Kebijakan Keamanan Penyeimbang Muatan AWS yang hanya mendukung TLS 1.1 atau yang lebih tinggi (misalnya ELBSecurityPolicy-TLS-1-2-2017-01 hanya mendukung v1.2). ASV mungkin mengharuskan pelanggan mengikuti proses sengketa kerentanan pemindaian dan bukti yang diuraikan dapat digunakan sebagai bukti kepatuhan. Atau, dengan melibatkan ASV mereka lebih awal dan memberikan bukti ini ke ASV sebelum pemindaian, mereka dapat melancarkan penilaian dan mendukung pemindaian ASV yang sebelumnya.

     

compliance-contactus-icon
Ada Pertanyaan? Terhubung dengan Perwakilan Bisnis AWS
Menjelajahi peran kepatuhan?
Daftar sekarang »
Ingin mendapatkan info terbaru tentang Kepatuhan AWS?
Ikuti Kami di Twitter »