PCI DSS

Gambaran Umum

Payment Card Industry Data Security Standard (PCI DSS) adalah standar keamanan informasi kepemilikan yang dikelola oleh PCI Security Standards Council, yang dibentuk oleh American Express, Discover Financial Services, JCB International, MasterCard Worldwide, dan Visa Inc.

PCI DSS berlaku pada entitas yang menyimpan, memproses, atau mengirimkan data pemegang kartu (CHD) atau data autentikasi sensitif (SAD), termasuk merchant, pengolah, pengakuisisi, penerbit, dan penyedia layanan. PCI DSS dimandatkan oleh merek kartu dan dikelola oleh Payment Card Industry Security Standards Council.

Pengesahan Kepatuhan (AOC) dan Ringkasan Tanggung Jawab PCI DSS tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.

  • Ya, Amazon Web Services (AWS) memiliki sertifikasi sebagai Penyedia Layanan PCI DSS Tingkat 1, tingkat penilaian tertinggi yang ada. Penilaian kepatuhan dilakukan oleh Coalfire Systems Inc., Qualified Security Assessor (QSA) yang independen. Pengesahan Kepatuhan (AOC) dan Ringkasan Tanggung Jawab PCI DSS tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.

  • Untuk daftar layanan AWS yang sesuai dengan PCI DSS, lihat tab PCI pada halaman web Layanan dalam Lingkup AWS menurut Program Kepatuhan. Untuk informasi lebih lanjut tentang penggunaan layanan ini, hubungi kami.

  • Sebagai pelanggan yang menggunakan layanan AWS untuk menyimpan, memproses, atau mengirimkan data pemegang kartu, Anda dapat mengandalkan infrastruktur teknologi AWS saat Anda mengelola sertifikasi kepatuhan PCI DSS Anda sendiri.

    AWS tidak secara langsung menyimpan, mengirimkan, atau memproses data pemegang kartu (CHD) apa pun. Namun, Anda dapat membuat lingkungan data pemegang kartu Anda sendiri (CDE) yang dapat menyimpan, mengirim, atau memproses data pemegang kartu menggunakan layanan AWS.

  • Bahkan jika Anda bukanlah pelanggan PCI DSS, kepatuhan PCI DSS kami menunjukkan komitmen kami terhadap keamanan informasi di setiap tingkat. Mengingat standar PCI DSS divalidasi oleh pihak ketiga eksternal yang independen, hal ini menegaskan bahwa program manajemen keamanan kami komprehensif dan mengikuti praktik industri terkemuka.

  • Pelanggan harus mengelola sertifikasi kepatuhan PCI DSS mereka sendiri, dan pengujian tambahan akan diperlukan untuk memverifikasi bahwa lingkungan Anda memenuhi semua persyaratan PCS DSS. Namun, untuk porsi lingkungan data pemegang kartu (CDE) PCI yang disebarkan di AWS, Qualified Security Assessor (QSA) Anda dapat mengandalkan Pengesahan Kepatuhan (AOC) AWS tanpa pengujian lebih lanjut.

  • Untuk informasi detail, lihat "Ringkasan Tanggung Jawab AWS PCI DSS" dari Paket Kepatuhan AWS PCI DSS, tersedia untuk pelanggan melalui AWS Artifact, portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.

  • Paket Kepatuhan AWS PCI tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.

  • Paket Kepatuhan AWS PCI mencakup:

    • Pengesahan Kepatuhan (AOC) AWS PCI DSS 3.2.1
    • Ringkasan Tanggung Jawab AWS PCI DSS 3.2.1

  • Ya, AWS tertera dalam Daftar Penyedia Layanan Global Visa dan Daftar Penyedia Layanan Kepatuhan MasterCard. Cantuman dalam daftar Penyedia Layanan menunjukkan bahwa AWS berhasil memvalidasi kepatuhan PCI DSS dan telah memenuhi semua persyaratan program Visa dan MasterCard yang berlaku.

  • Tidak. Lingkungan AWS adalah lingkungan multi-tenant yang divirtualisasi. AWS telah menerapkan proses manajemen keamanan, persyaratan PCI DSS, dan kontrol pelengkap lainnya yang secara efektif dan aman memisahkan setiap pelanggan ke dalam lingkungannya sendiri yang terlindungi. Arsitektur yang aman ini telah divalidasi oleh QSA independen dan ditemukan telah sesuai dengan semua persyaratan PCI DSS yang berlaku.

    PCI Security Standards Council telah menerbitkan PCI DSS Cloud Computing Guidelines untuk pelanggan, penyedia layanan, dan penilai layanan komputasi cloud. Pedoman tersebut juga menjelaskan berbagai model layanan dan porsi tanggung jawab kepatuhan antara penyedia dan pelanggan.

  • Pengesahan Kepatuhan (AOC) AWS menunjukkan penilaian ekstensif untuk kontrol keamanan fisik dari pusat data AWS. QSA merchant tidak perlu memverifikasi keamanan pusat data AWS.

  • AWS tidak dianggap sebagai "Penyedia Hosting Bersama" berdasarkan PCI-DSS. Dengan demikian, persyaratan DSS A1.4 tidak berlaku. Berdasarkan Model Tanggung Jawab Bersama kami, kami memungkinkan pelanggan melakukan investigasi forensik digital di lingkungan AWS mereka sendiri tanpa memerlukan bantuan tambahan dari AWS. Pemberdayaan ini diberikan melalui penggunaan layanan AWS dan solusi pihak ketiga yang tersedia melalui AWS Marketplace. Untuk informasi lebih lanjut, lihat sumber daya berikut:

  • Selama Anda menggunakan layanan AWS yang patuh dengan PCI DSS, seluruh infrastruktur yang mendukung layanan dalam lingkup sudah sesuai dan tidak ada lingkungan terpisah atau API khusus yang perlu digunakan. Setiap server atau objek data yang diterapkan atau menggunakan layanan ini berada dalam lingkungan yang patuh terhadap PCI DSS, secara global. Untuk daftar layanan AWS yang sesuai dengan PCI DSS, lihat tab PCI pada halaman web Layanan AWS dalam Lingkup menurut Program Kepatuhan.

  • Ya. Silakan melihat AOC PCI DSS terbaru di AWS Artifact untuk mendapatkan daftar lengkap lokasi yang sesuai.

  • Ya. Anda dapat mengunduh standar PCI DSS dari Perpustakaan Dokumen PCI Security Standards Council.

  • Ya, banyak pelanggan AWS yang telah berhasil menyebarkan dan menyertifikasi sebagian atau semua lingkungan pemegang kartu mereka di AWS. AWS tidak mengungkapkan pelanggan yang sudah mendapatkan sertifikasi PCI DSS, tapi bekerja dengan pelanggan dan penilai PCI DSS mereka secara reguler dalam merencanakan, menyebarkan, memberikan sertifikasi, dan melakukan pemindaian triwulan untuk lingkungan pemegang kartu di AWS.

  • Ada dua pendekatan utama yang dilakukan perusahaan untuk memvalidasi kepatuhan PCI DSS mereka setiap tahun. Pendekatan pertama adalah dengan penilaian lingkungan Anda yang berlaku oleh Qualified Security Assessor (QSA) lalu membuat Laporan tentang Kepatuhan (ROC) dan Pengesahan Kepatuhan (AOC); pendekatan ini paling umum untuk entitas yang menangani transaksi dalam volume besar. Pendekatan kedua adalah melakukan Kuesioner Penilaian Mandiri (SAQ); pendekatan ini umum digunakan entitas yang menangani volume transaksi yang lebih kecil.

    Penting untuk dicatat bahwa merek pembayaran dan pengakuisisi bertanggung jawab dalam memberlakukan kepatuhan, bukan dewan PCI.

  • Di bawah ini adalah gambaran umum tingkat tinggi persyaratan PCI DSS.

    Membangun dan Memelihara Jaringan dan Sistem yang Aman

    1. Instal dan kelola konfigurasi firewall untuk melindungi data pemegang kartu

    2. Jangan gunakan default yang disediakan vendor untuk kata sandi sistem serta parameter keamanan lainnya
    Melindungi Data Pemegang Kartu

    3. Lindungi data pemegang kartu yang tersimpan

    4. Enkripsi transmisi data pemegang kartu di seluruh jaringan publik yang terbuka
    Mengelola Program Manajemen Kerentanan

    5. Lindungi semua sistem terhadap malware dan perbarui perangkat lunak atau program anti-virus secara teratur

    6. Kembangkan dan kelola sistem serta aplikasi yang aman
    Menerapkan Langkah-Langkah Kontrol Akses yang Kokoh

    7. Batasi akses ke data pemegang kartu menurut kebutuhan bisnis

    8. Identifikasi dan autentikasi akses ke komponen sistem

    9. Batasi akses fisik ke data pemegang kartu
    Memantau dan Menguji Jaringan secara Teratur

    10. Lacak dan monitor semua akses ke sumber daya jaringan dan data pemegang kartu

    11. Uji sistem dan proses keamanan secara teratur
    Mengelola Kebijakan Keamanan Informasi

    12. Kelola kebijakan yang mengatasi keamanan informasi untuk semua personel

  • AWS tidak memiliki kampanye untuk menghentikan TLS 1.0 di semua layanan karena beberapa pelanggan (misalnya non-PCI) yang memerlukan opsi protokol ini, namun, masing-masing layanan AWS menilai dampak kepada pelanggan jika menonaktifkan TLS 1.0 untuk layanan mereka dan mungkin memilih untuk tidak lagi menggunakannya. Pelanggan mungkin juga menggunakan titik akhir FIPS untuk membantu memastikan penggunaan mereka atas kriptografi yang kuat. AWS akan memperbarui semua titik akhir FIPS minimal ke TLS versi 1.2. Silakan baca postingan blog ini untuk detail selengkapnya.

  • Semua Layanan AWS dalam lingkup untuk PCI mengaktifkan TLS 1.1 atau lebih tinggi dan sebagian dari layanan ini juga mendukung TLS 1.0 untuk pelanggan (non-PCI) yang mewajibkannya. Pelanggan bertanggung jawab untuk melakukan upgrade pada sistem mereka untuk memulai handshake dengan AWS yang menggunakan TLS aman, yaitu TLS 1.1 atau lebih tinggi. Pelanggan harus menggunakan dan mengonfigurasi penyeimbang muatan AWS (Application Load Balancer atau Classic Load Balancer) untuk komunikasi aman menggunakan TLS 1.1 atau yang lebih tinggi dengan memilih kebijakan keamanan AWS standar yang dapat memastikan bahwa negosiasi protokol enkripsi antara klien dan penyeimbang muatan menggunakan misalnya TLS 1.2. Misalnya Kebijakan Keamanan AWS Load Balancer ELBSecurityPolicy-TLS-1-2-2018-06 hanya mendukung TLS 1.2.

  • Jika pemindaian ASV (Approved Scanning Vendor) pelanggan mengidentifikasi TLS 1.0 pada endpoint API AWS, itu berarti bahwa API tersebut masih mendukung TLS 1.0 serta TLS 1.1 atau yang lebih tinggi. Beberapa Layanan AWS dalam lingkup untuk PCI mungkin masih mengaktifkan TLS 1.0 untuk pelanggan yang memerlukannya untuk beban kerja non-PCI. Pelanggan dapat menyediakan bukti untuk ASV bahwa titik akhir AWS API mendukung TLS 1.1 atau lebih tinggi dengan menggunakan alat, misalnya Qualys SSL Labs, untuk mengidentifkasi protokol yang digunakan. Pelanggan juga dapat memberikan bukti bahwa mereka mengaktifkan handshake TLS aman dengan menyambung melalui AWS Elastic Load Balancer yang dikonfigurasi dengan Kebijakan Keamanan yang sesuai yang hanya mendukung TLS 1.1 atau yang lebih tinggi (misalnya ELBSecurityPolicy-TLS-1-2-2017-01 hanya mendukung v1.2). ASV mungkin mengharuskan pelanggan mengikuti proses sengketa kerentanan pemindaian dan bukti yang diuraikan dapat digunakan sebagai bukti kepatuhan. Atau, dengan melibatkan ASV mereka lebih awal dan memberikan bukti ini ke ASV sebelum pemindaian, mereka dapat melancarkan penilaian dan mendukung pemindaian ASV yang sebelumnya.

Sumber Daya PCI DSS

Panduan Kepatuhan: PCI DSS 3.2.1 di AWS
Laporan Resmi AWS PCI 3DS
Panduan Virtualisasi PCI DSS
Pedoman Komputasi Cloud PCI DSS
Tinjauan Keamanan Amazon GuardDuty: Kepatuhan PCI DSS
Ada pertanyaan? Hubungi perwakilan bisnis AWS
Ingin menyelami lebih jauh pentingnya kepatuhan?
Daftar sekarang »
Ingin info terbaru tentang AWS Compliance?
Ikuti kami di Twitter »