PCI DSS
Gambaran Umum

Payment Card Industry Data Security Standard (PCI DSS) adalah standar keamanan informasi kepemilikan yang dikelola oleh PCI Security Standards Council, yang dibentuk oleh American Express, Discover Financial Services, JCB International, MasterCard Worldwide, dan Visa Inc.
PCI DSS berlaku pada entitas yang menyimpan, memproses, atau mengirimkan data pemegang kartu (CHD) atau data autentikasi sensitif (SAD), termasuk merchant, pengolah, pengakuisisi, penerbit, dan penyedia layanan. PCI DSS dimandatkan oleh merek kartu dan dikelola oleh Payment Card Industry Security Standards Council.
Pengesahan Kepatuhan (AOC) dan Ringkasan Tanggung Jawab PCI DSS tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.
-
Apakah AWS Bersertifikasi PCI DSS?
Ya, Amazon Web Services (AWS) memiliki sertifikasi sebagai Penyedia Layanan PCI DSS Tingkat 1, tingkat penilaian tertinggi yang ada. Penilaian kepatuhan dilakukan oleh Coalfire Systems Inc., Qualified Security Assessor (QSA) yang independen. Pengesahan Kepatuhan (AOC) dan Ringkasan Tanggung Jawab PCI DSS tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.
-
Mana saja layanan AWS yang patuh dengan PCI DSS?
Untuk daftar layanan AWS yang sesuai dengan PCI DSS, lihat tab PCI pada halaman web Layanan dalam Lingkup AWS menurut Program Kepatuhan. Untuk informasi lebih lanjut tentang penggunaan layanan ini, hubungi kami.
-
Apa artinya ini bagi saya sebagai penyedia layanan atau merchant PCI DSS?
Sebagai pelanggan yang menggunakan layanan AWS untuk menyimpan, memproses, atau mengirimkan data pemegang kartu, Anda dapat mengandalkan infrastruktur teknologi AWS saat Anda mengelola sertifikasi kepatuhan PCI DSS Anda sendiri.
AWS tidak secara langsung menyimpan, mengirimkan, atau memproses data pemegang kartu (CHD) apa pun. Namun, Anda dapat membuat lingkungan data pemegang kartu Anda sendiri (CDE) yang dapat menyimpan, mengirim, atau memproses data pemegang kartu menggunakan layanan AWS.
-
Apa artinya ini bagi saya yang bukan merupakan pelanggan merchant PCI DSS?
Bahkan jika Anda bukanlah pelanggan PCI DSS, kepatuhan PCI DSS kami menunjukkan komitmen kami terhadap keamanan informasi di setiap tingkat. Mengingat standar PCI DSS divalidasi oleh pihak ketiga eksternal yang independen, hal ini menegaskan bahwa program manajemen keamanan kami komprehensif dan mengikuti praktik industri terkemuka.
-
Sebagai pelanggan AWS, dapatkah saya mengandalkan Pengesahan Kepatuhan (AOC) AWS atau akankah pengujian tambahan diperlukan untuk melengkapi kepatuhan?
Pelanggan harus mengelola sertifikasi kepatuhan PCI DSS mereka sendiri, dan pengujian tambahan akan diperlukan untuk memverifikasi bahwa lingkungan Anda memenuhi semua persyaratan PCS DSS. Namun, untuk porsi lingkungan data pemegang kartu (CDE) PCI yang disebarkan di AWS, Qualified Security Assessor (QSA) Anda dapat mengandalkan Pengesahan Kepatuhan (AOC) AWS tanpa pengujian lebih lanjut.
-
Bagaimana cara mengetahui kontrol PCI DSS yang menjadi tanggung jawab saya?
Untuk informasi detail, lihat "Ringkasan Tanggung Jawab AWS PCI DSS" dari Paket Kepatuhan AWS PCI DSS, tersedia untuk pelanggan melalui AWS Artifact, portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.
-
Bagaimana cara mendapatkan Paket Kepatuhan AWS PCI?
Paket Kepatuhan AWS PCI tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.
-
Apa saja isi dari Paket Kepatuhan AWS PCI DSS?
Paket Kepatuhan AWS PCI mencakup:
- Pengesahan Kepatuhan (AOC) AWS PCI DSS 3.2.1
- Ringkasan Tanggung Jawab AWS PCI DSS 3.2.1
-
Apakah AWS tertera dalam Daftar Penyedia Layanan Global Visa dan Daftar Penyedia Layanan Kepatuhan MasterCard?
Ya, AWS tertera dalam Daftar Penyedia Layanan Global Visa dan Daftar Penyedia Layanan Kepatuhan MasterCard. Cantuman dalam daftar Penyedia Layanan menunjukkan bahwa AWS berhasil memvalidasi kepatuhan PCI DSS dan telah memenuhi semua persyaratan program Visa dan MasterCard yang berlaku.
-
Apakah standar PCI DSS mewajibkan lingkungan tenant tunggal agar sesuai dengan kepatuhan?
Tidak. Lingkungan AWS adalah lingkungan multi-tenant yang divirtualisasi. AWS telah menerapkan proses manajemen keamanan, persyaratan PCI DSS, dan kontrol pelengkap lainnya yang secara efektif dan aman memisahkan setiap pelanggan ke dalam lingkungannya sendiri yang terlindungi. Arsitektur yang aman ini telah divalidasi oleh QSA independen dan ditemukan telah sesuai dengan semua persyaratan PCI DSS yang berlaku.
PCI Security Standards Council telah menerbitkan PCI DSS Cloud Computing Guidelines untuk pelanggan, penyedia layanan, dan penilai layanan komputasi cloud. Pedoman tersebut juga menjelaskan berbagai model layanan dan porsi tanggung jawab kepatuhan antara penyedia dan pelanggan.
-
Apakah QSA untuk merchant Tingkat 1 harus menjelajahi panduan fisik pusat data AWS?
Pengesahan Kepatuhan (AOC) AWS menunjukkan penilaian ekstensif untuk kontrol keamanan fisik dari pusat data AWS. QSA merchant tidak perlu memverifikasi keamanan pusat data AWS.
-
Apakah AWS mendukung investigasi forensik?
AWS tidak dianggap sebagai "Penyedia Hosting Bersama" berdasarkan PCI-DSS. Dengan demikian, persyaratan DSS A1.4 tidak berlaku. Berdasarkan Model Tanggung Jawab Bersama kami, kami memungkinkan pelanggan melakukan investigasi forensik digital di lingkungan AWS mereka sendiri tanpa memerlukan bantuan tambahan dari AWS. Pemberdayaan ini diberikan melalui penggunaan layanan AWS dan solusi pihak ketiga yang tersedia melalui AWS Marketplace. Untuk informasi lebih lanjut, lihat sumber daya berikut:
-
Apakah ada lingkungan yang sesuai PCI DSS khusus yang harus saya tentukan saat menghubungkan server atau mengunggah objek untuk disimpan?
Selama Anda menggunakan layanan AWS yang patuh dengan PCI DSS, seluruh infrastruktur yang mendukung layanan dalam lingkup sudah sesuai dan tidak ada lingkungan terpisah atau API khusus yang perlu digunakan. Setiap server atau objek data yang diterapkan atau menggunakan layanan ini berada dalam lingkungan yang patuh terhadap PCI DSS, secara global. Untuk daftar layanan AWS yang sesuai dengan PCI DSS, lihat tab PCI pada halaman web Layanan AWS dalam Lingkup menurut Program Kepatuhan.
-
Apakah kepatuhan AWS berlaku secara internasional?
Ya. Silakan melihat AOC PCI DSS terbaru di AWS Artifact untuk mendapatkan daftar lengkap lokasi yang sesuai.
-
Apakah standar PCI DSS bersifat publik?
Ya. Anda dapat mengunduh standar PCI DSS dari Perpustakaan Dokumen PCI Security Standards Council.
-
Apakah sudah ada yang mendapatkan sertifikasi PCI DSS di platform AWS?
Ya, banyak pelanggan AWS yang telah berhasil menyebarkan dan menyertifikasi sebagian atau semua lingkungan pemegang kartu mereka di AWS. AWS tidak mengungkapkan pelanggan yang sudah mendapatkan sertifikasi PCI DSS, tapi bekerja dengan pelanggan dan penilai PCI DSS mereka secara reguler dalam merencanakan, menyebarkan, memberikan sertifikasi, dan melakukan pemindaian triwulan untuk lingkungan pemegang kartu di AWS.
-
Seperti apa cara agar perusahaan bisa mematuhi PCI DSS?
Ada dua pendekatan utama yang dilakukan perusahaan untuk memvalidasi kepatuhan PCI DSS mereka setiap tahun. Pendekatan pertama adalah dengan penilaian lingkungan Anda yang berlaku oleh Qualified Security Assessor (QSA) lalu membuat Laporan tentang Kepatuhan (ROC) dan Pengesahan Kepatuhan (AOC); pendekatan ini paling umum untuk entitas yang menangani transaksi dalam volume besar. Pendekatan kedua adalah melakukan Kuesioner Penilaian Mandiri (SAQ); pendekatan ini umum digunakan entitas yang menangani volume transaksi yang lebih kecil.
Penting untuk dicatat bahwa merek pembayaran dan pengakuisisi bertanggung jawab dalam memberlakukan kepatuhan, bukan dewan PCI.
-
Apa saja persyaratan untuk kepatuhan PCI DSS?
Di bawah ini adalah gambaran umum tingkat tinggi persyaratan PCI DSS.
Membangun dan Memelihara Jaringan dan Sistem yang Aman 1. Instal dan kelola konfigurasi firewall untuk melindungi data pemegang kartu
2. Jangan gunakan default yang disediakan vendor untuk kata sandi sistem serta parameter keamanan lainnya
Melindungi Data Pemegang Kartu 3. Lindungi data pemegang kartu yang tersimpan
4. Enkripsi transmisi data pemegang kartu di seluruh jaringan publik yang terbuka
Mengelola Program Manajemen Kerentanan 5. Lindungi semua sistem terhadap malware dan perbarui perangkat lunak atau program anti-virus secara teratur
6. Kembangkan dan kelola sistem serta aplikasi yang aman
Menerapkan Langkah-Langkah Kontrol Akses yang Kokoh 7. Batasi akses ke data pemegang kartu menurut kebutuhan bisnis
8. Identifikasi dan autentikasi akses ke komponen sistem
9. Batasi akses fisik ke data pemegang kartu
Memantau dan Menguji Jaringan secara Teratur 10. Lacak dan monitor semua akses ke sumber daya jaringan dan data pemegang kartu
11. Uji sistem dan proses keamanan secara teratur
Mengelola Kebijakan Keamanan Informasi 12. Kelola kebijakan yang mengatasi keamanan informasi untuk semua personel
-
Apa posisi AWS dalam dukungan protokol TLS 1.0 yang berkelanjutan?
AWS tidak memiliki kampanye untuk menghentikan TLS 1.0 di semua layanan karena beberapa pelanggan (misalnya non-PCI) yang memerlukan opsi protokol ini, namun, masing-masing layanan AWS menilai dampak kepada pelanggan jika menonaktifkan TLS 1.0 untuk layanan mereka dan mungkin memilih untuk tidak lagi menggunakannya. Pelanggan mungkin juga menggunakan titik akhir FIPS untuk membantu memastikan penggunaan mereka atas kriptografi yang kuat. AWS akan memperbarui semua titik akhir FIPS minimal ke TLS versi 1.2. Silakan baca postingan blog ini untuk detail selengkapnya.
-
Bagaimana cara pelanggan mengonfigurasi arsitektur AWS untuk mematuhi persyaratan PCI demi TLS yang aman?
Semua Layanan AWS dalam lingkup untuk PCI mengaktifkan TLS 1.1 atau lebih tinggi dan sebagian dari layanan ini juga mendukung TLS 1.0 untuk pelanggan (non-PCI) yang mewajibkannya. Pelanggan bertanggung jawab untuk melakukan upgrade pada sistem mereka untuk memulai handshake dengan AWS yang menggunakan TLS aman, yaitu TLS 1.1 atau lebih tinggi. Pelanggan harus menggunakan dan mengonfigurasi penyeimbang muatan AWS (Application Load Balancer atau Classic Load Balancer) untuk komunikasi aman menggunakan TLS 1.1 atau yang lebih tinggi dengan memilih kebijakan keamanan AWS standar yang dapat memastikan bahwa negosiasi protokol enkripsi antara klien dan penyeimbang muatan menggunakan misalnya TLS 1.2. Misalnya Kebijakan Keamanan AWS Load Balancer ELBSecurityPolicy-TLS-1-2-2018-06 hanya mendukung TLS 1.2.
-
Apa tindakan yang disarankan untuk pelanggan jika TLS 1.0 muncul di hasil pindaian mereka?
Jika pemindaian ASV (Approved Scanning Vendor) pelanggan mengidentifikasi TLS 1.0 pada endpoint API AWS, itu berarti bahwa API tersebut masih mendukung TLS 1.0 serta TLS 1.1 atau yang lebih tinggi. Beberapa Layanan AWS dalam lingkup untuk PCI mungkin masih mengaktifkan TLS 1.0 untuk pelanggan yang memerlukannya untuk beban kerja non-PCI. Pelanggan dapat menyediakan bukti untuk ASV bahwa titik akhir AWS API mendukung TLS 1.1 atau lebih tinggi dengan menggunakan alat, misalnya Qualys SSL Labs, untuk mengidentifkasi protokol yang digunakan. Pelanggan juga dapat memberikan bukti bahwa mereka mengaktifkan handshake TLS aman dengan menyambung melalui AWS Elastic Load Balancer yang dikonfigurasi dengan Kebijakan Keamanan yang sesuai yang hanya mendukung TLS 1.1 atau yang lebih tinggi (misalnya ELBSecurityPolicy-TLS-1-2-2017-01 hanya mendukung v1.2). ASV mungkin mengharuskan pelanggan mengikuti proses sengketa kerentanan pemindaian dan bukti yang diuraikan dapat digunakan sebagai bukti kepatuhan. Atau, dengan melibatkan ASV mereka lebih awal dan memberikan bukti ini ke ASV sebelum pemindaian, mereka dapat melancarkan penilaian dan mendukung pemindaian ASV yang sebelumnya.