خدمة الجاهزية لمعيار PCI DSS
نساعد التجار ومقدمي خدمات الدفع وشركات التقنية المالية ومقدمي الخدمات على تحديد بيئة بيانات حاملي البطاقات، وتقييم الجاهزية، وتنفيذ المعالجة، وتجهيز الأدلة لمسار التحقق المطلوب.
ينطبق معيار PCI DSS على الجهات التي تخزّن بيانات حاملي البطاقات أو بيانات المصادقة الحساسة أو تعالجها أو تنقلها، وعلى الأنظمة التي قد تؤثر في أمن هذه البيئة. لذلك تبدأ أعمال الجاهزية من تدفقات البيانات، وحدود الأنظمة المتصلة، وقرارات تقسيم الشبكة.
وتدعم ليمـاز جهتك في الجاهزية والمعالجة وتجهيز الأدلة.
معيار أمن بيانات بطاقات الدفع (PCI DSS) هو المعيار الذي يحمي بيانات حسابات الدفع. ويسري على كل جهة تخزّن بيانات حاملي البطاقات أو بيانات المصادقة الحساسة أو تعالجها أو تنقلها، وعلى كل جهة تؤثر في أمن هذه البيانات: التجار، ومعالجو المدفوعات، والبنوك المحصِّلة، والجهات المُصدِرة، ومقدمو الخدمات.
الإصدار v4.0.1 هو الإصدار الوحيد النافذ. أصدر مجلس معايير أمن صناعة بطاقات الدفع (PCI SSC) الإصدار v4.0 في 31 مارس 2022، وأوقف العمل بالإصدار v3.2.1 في 31 مارس 2024، ثم أصدر المراجعة المحدودة v4.0.1 في يونيو 2024، وأوقف v4.0 في 31 ديسمبر 2024. وأصبحت المتطلبات المؤجلة في v4.0، وعددها 51 متطلبًا، إلزامية منذ 31 مارس 2025.
يضع المجلس المعيار، وتتولى شبكات البطاقات إنفاذه. فلكل من American Express وDiscover وJCB International وMastercard وUnionPay وVisa برنامج امتثال خاص يحدد الجهات الملزمة بالتحقق وطريقته وتكراره، وينقل البنك المحصِّل هذه القواعد إلى التاجر.
تنقسم بيانات الحساب إلى قسمين: بيانات حامل البطاقة، وهي رقم الحساب الأساسي (PAN) واسم حامل البطاقة وتاريخ الانتهاء ورمز الخدمة، وبيانات المصادقة الحساسة، وهي بيانات الشريط الممغنط كاملة ورمز التحقق من البطاقة والرقم السري أو كتلته المشفّرة. ويُحظر تخزين بيانات المصادقة الحساسة بعد التفويض، حتى لو كانت مشفّرة.
وفي المملكة يصل المعيار إلى التجار عبر البنوك المحصِّلة. فاتفاقية تجار نقاط البيع لشبكة مدى المنشورة من البنك السعودي الفرنسي، على سبيل المثال، تُلزم التاجر بالامتثال لمعيار PCI DSS وإثبات امتثاله وتنفيذ ما يُطلب منه من معالجة. كما يلتزم مقدمو خدمات المدفوعات المرخّصون من البنك المركزي السعودي (ساما) بمتطلبات الأمن السيبراني الصادرة عن ساما والهيئة الوطنية للأمن السيبراني، فيأتي برنامج PCI DSS جزءًا من منظومة ضوابط أشمل.
النطاق هو ما يحدد الكلفة. فكل مكوّن يدخل في النطاق يجب أن يستوفي المتطلبات المنطبقة عليه، لذلك تبدأ الجاهزية بتحديد كل موضع تُخزَّن فيه بيانات الحساب أو تمر به. وإرشادات المجلس صريحة: افترض أن كل شيء داخل النطاق حتى يثبت العكس.
تصنّف الإرشادات الأنظمة في ثلاث فئات. أنظمة البيئة نفسها، وهي التي تخزّن بيانات الحساب أو تعالجها أو تنقلها، أو تقع في مقطع الشبكة نفسه معها. والأنظمة المتصلة بالبيئة أو المؤثرة في أمنها، مثل خوادم المصادقة وخوادم القفز وخوادم السجلات والتحديثات، وهذه تدخل في النطاق كاملة. والأنظمة الخارجة عن النطاق، وهي التي تجتاز كل شروط الاستبعاد: لا بيانات حساب، ولا اتصال بالبيئة، ولا مسار للتأثير في أمنها.
تقسيم الشبكة هو أداة تقليص النطاق. يتركه المعيار اختياريًا، ويوصي به المجلس بقوة لأن عزل البيئة عن بقية الشبكة يقلّص نطاق التقييم وكلفته ومخاطره. وإذا اعتمدت عليه فأثبته: اختبار اختراق لضوابط التقسيم مرة كل سنة على الأقل للتجار، وكل ستة أشهر لمقدمي الخدمات.
وتقلّص البنية التقنية النطاق أكثر. فالترميز، وصفحات الدفع المستضافة وإطارات iframe من معالج ممتثل للمعيار، وحلول التشفير من نقطة إلى نقطة (P2PE) المعتمدة، كلها تُخرج أنظمة من البيئة. وكل خيار منها ينقل جزءًا من المسؤولية، فوثّق في مصفوفة مسؤوليات مع كل مقدم خدمة خارجي أي متطلب يقع على عاتق أي طرف.
يحدد المجلس وثائق التحقق، وتحدد شبكات البطاقات من يستخدم كل وثيقة. فلكل شبكة مستوياتها الخاصة للتجار ومقدمي الخدمات، والتحقق المطلوب في كل مستوى، وتنقل البنوك المحصِّلة هذه القواعد إلى التجار. ويؤكد لك البنك المحصِّل أو الشبكة مستواك والوثيقة المطلوبة.
تقييم ذاتي
تقيّم الجهة نفسها. ويختار التجار بين SAQ A وA-EP وB وB-IP وC وC-VT وP2PE وSPoC وD، ولكل منها قناة دفع وبنية محددة. أما مقدمو الخدمات فاستبيانهم الوحيد هو SAQ D لمقدمي الخدمات. ويؤكد البنك المحصِّل أو الشبكة أهليتك.
تقييم مستقل
يختبر مقيّم أمني مؤهل (QSA) كل متطلب منطبق بالعينات والمقابلات والأدلة، ويوثّق النتيجة في نموذج التقرير. والنهج المخصص لا يُوثَّق إلا عبر هذا التقرير.
إقرار رسمي
الإقرار الرسمي بنتيجة التقييم. يرافق كل استبيان وكل تقرير، ويُرفع إلى البنك المحصِّل أو الشبكة، ويعتمد عليه العملاء حين يتابعون حالة امتثال مقدمي خدماتهم كل 12 شهرًا (12.8.4).
دليل ربع سنوي
فحص خارجي للثغرات كل ثلاثة أشهر عبر مورد فحص معتمد من المجلس، بنتائج ناجحة. ويراجعها البنك المحصِّل مع الاستبيان أو التقرير.
هكذا تدير ليمـاز الجاهزية لمعيار PCI DSS مع فرق المدفوعات في المملكة.
احصل على مستواك والوثيقة المطلوبة من البنك المحصِّل أو شبكات البطاقات. تاجر أم مقدم خدمة، استبيان أم تقرير: هذا ما يحدد الهدف.
تتبّع التجارة الإلكترونية، وتطبيقات الجوال، ونقاط البيع، ومركز الاتصال، والاسترداد، والاعتراض على العمليات، والتقارير. وحدد كل موضع يظهر فيه رقم البطاقة أو بيانات المصادقة الحساسة، بما فيها السجلات والنسخ الاحتياطية.
احذف البيانات المخزّنة التي لا حاجة للعمل بها، ورمّز ما تبقى، وقسّم الشبكة لعزل البيئة، وانقل صفحات الدفع إلى مكونات مستضافة ممتثلة.
اختبر كل متطلب منطبق من حيث التصميم والتطبيق وأدلة التشغيل، بما فيها المتطلبات التي أصبحت إلزامية في 31 مارس 2025.
أغلق الفجوات بمسؤولين ومواعيد محددة: المصادقة متعددة العوامل، وإدارة النصوص البرمجية، والسجلات، وتحصين الأنظمة، وإدارة المفاتيح، وإدارة الثغرات. وتنفّذ ليمـاز المعالجة التقنية إلى جانب الخطة.
اربط كل متطلب بدليله ومالكه وفترة العينة، ثم نفّذ تقييمًا تمهيديًا وفقه.
أكمل الاستبيان، أو ادعم المقيّم الأمني المؤهل خلال إعداد التقرير، ثم أصدر إقرار الامتثال.
شغّل الضوابط الدورية وفق تقويم محدد: فحوص ربع سنوية، ومراجعات الصلاحيات والقواعد، واختبارات الاختراق، وتأكيد النطاق، وتحليلات المخاطر المستهدفة.
مسارات قرار مكافحة الاحتيال وغسل الأموال والتحقق من الهوية للعمليات المرتبطة بالمدفوعات.
ندمج فحوص أمن برمجيات الدفع في مسار التسليم.
نضبط وصول الموظفين ومديري الأنظمة والموردين والخدمات.
نحدد أولويات المخاطر والمعالجة في بيئة الدفع كاملة.
الإصدار v4.0.1 هو الإصدار الوحيد النافذ. نشره مجلس معايير أمن صناعة بطاقات الدفع في يونيو 2024 مراجعةً محدودة للإصدار v4.0، تصحح الأخطاء وتوضّح المقاصد دون إضافة متطلبات أو حذفها. وأُوقف العمل بالإصدار v4.0 في 31 ديسمبر 2024، وبالإصدار v3.2.1 في 31 مارس 2024. وتجري جميع التقييمات اليوم وفق v4.0.1.
في 31 مارس 2025. تضمّن الإصدار v4.0 واحدًا وخمسين متطلبًا مؤجلًا ظلّت أفضل ممارسة حتى ذلك التاريخ، منها المصادقة متعددة العوامل لكل وصول إلى بيئة بيانات حاملي البطاقات، وإدارة النصوص البرمجية في صفحات الدفع، وكشف التغيير والعبث فيها، والحماية الآلية من التصيّد، وتحليلات المخاطر المستهدفة لتحديد تكرار الأنشطة. ولم تغيّر مراجعة v4.0.1 هذا الموعد.
كل جهة تخزّن بيانات حاملي البطاقات أو بيانات المصادقة الحساسة أو تعالجها أو تنقلها، وكل جهة تؤثر في أمن هذه البيانات. ويشمل ذلك التجار، ومعالجي المدفوعات، والبنوك المحصِّلة، والجهات المُصدِرة، ومقدمي الخدمات مثل الاستضافة والسحابة وبوابات الدفع. وتحدد شبكات البطاقات والبنوك المحصِّلة، عبر برامجها، من يلزمه إثبات الامتثال وطريقة إثباته.
استبيان التقييم الذاتي (SAQ) تعبّئه الجهة بنفسها، ولكل نوع منه بيئة دفع محددة. أما تقرير الامتثال (ROC) فتقييم تفصيلي يجريه مقيّم أمني مؤهل (QSA) لكل متطلب منطبق. وينتهي كلاهما بإقرار الامتثال (AOC). ويتحدد ما تقدّمه بحسب المستوى الذي تمنحك إياه شبكات البطاقات والبنك المحصِّل.
شبكات البطاقات. يضع المجلس المعيار ووثائق التحقق، بينما تدير كل من American Express وDiscover وJCB International وMastercard وUnionPay وVisa برنامج امتثال خاصًا بها، يحدد مستويات التجار ومقدمي الخدمات والتحقق المطلوب في كل مستوى. وتطبّق البنوك المحصِّلة هذه القواعد على تجارها، لذلك يبدأ تأكيد مستواك من البنك المحصِّل الذي تتعامل معه.
يتيح النهج المخصص (Customized Approach) للجهة أن تحقق الهدف المعلن للمتطلب بضابط يختلف عمّا يحدده المعيار، وهو موجّه للجهات الناضجة في إدارة المخاطر. ويحتاج كل ضابط مخصص إلى مصفوفة ضوابط وتحليل مخاطر مستهدف، ويتحقق منه مقيّم أمني مؤهل عبر تقرير الامتثال. ولا يُوثَّق عبر استبيانات التقييم الذاتي، وبعض المتطلبات ليس لها هدف مخصص أصلًا.
لا. يترك المعيار تقسيم الشبكة اختياريًا، ويوصي به المجلس بقوة لأن عزل بيئة بيانات حاملي البطاقات يقلّص نطاق التقييم وكلفته ومخاطره. ومن دون تقسيم تدخل الشبكة كلها في النطاق. وإذا اعتمدت على التقسيم لتقليص النطاق، فيجب أن يثبت اختبار الاختراق فاعليته: مرة كل سنة على الأقل للتجار، وكل ستة أشهر لمقدمي الخدمات.
تُدرج البنوك المحصِّلة في المملكة المعيار في اتفاقيات التجار. فاتفاقية تجار نقاط البيع لشبكة مدى المنشورة من البنك السعودي الفرنسي تُلزم التاجر بالامتثال لمعيار PCI DSS وإثبات امتثاله وتنفيذ المعالجة المطلوبة. والتاجر الذي يقبل البطاقات الدولية أيضًا يخضع لبرامج شبكات البطاقات عبر البنك المحصِّل. وأكّد مسار التحقق الدقيق مع البنك المحصِّل الذي تتعامل معه.
شاركنا النظام أو الضابط أو المتطلب التنظيمي، وسنعود إليك بخطوة تالية واضحة.
