pci-compliance

決済データと PCI 証跡レビュー

使用する場面

決済データフローをレビューし、エンジニアリング統制を準備したり、スコープを定めた PCI 評価のための証跡を収集したりする場合に使用します。このスキルは、それ自体でコンプライアンスを認定したり、評価対象の適格性を判定したりするものではありません。

入力と前提条件

加盟店／サービスプロバイダーの役割、アクワイアリング機関、プロセッサ統合、アカウントデータを扱うシステム、および該当する評価文書を特定します。最新の文書は PCI SSC ドキュメントライブラリ から入手してください。適用可否は、責任を負うアセッサーまたはアクワイアリング機関に確認してください。

手順

1. resources/implementation-playbook.md に従って、フォーム、API、ストレージ、キュー、ログ、テレメトリ、バックアップ、サポート用エクスポートをマッピングします。
2. 適切な場合は、プロバイダーがホストする収集を優先します。アプリケーションが実際に何を受信するかを検証してください。トークン化の主張は、生のアカウントデータが他のシステムに一切到達しないことを証明するものではありません。
3. 保持するデータを最小化し、目的、アクセス、保持、削除を文書化します。認可後は、暗号化されている場合であっても、機密認証データを保持しないでください。例示的な暗号化スニペットから独自のカードボールトを構築しないでください。
4. 必要な統制を実装証跡にマッピングします。ネットワーク境界、システム構成、データ保護、アクセス、監視、テスト、運用上の責任者などです。検証されていない統制はギャップとしてマークしたままにします。
5. ログとレスポンスでは、許可リストに登録されたイベントフィールドを使用します。ネストされたエラーとリトライを合成データでテストしてください。拒否リストによるフィルタリングでは、あらゆる機密フィールド名を想定することはできません。
6. 役割とリソースの認可を併せて検証します。広範な決済役割は、すべての顧客の決済手段へのアクセスを付与するものではありません。
7. 統制／証跡／ギャップ／担当者の表と、修復計画を作成します。SAQ の適格性、取引件数のしきい値、正式な証明は、該当する最新のガイダンスを必要とする判断として扱ってください。

例

入力: チェックアウトの Webhook がアプリケーションログにコピーされています。ログペイロードを、承認されたイベントタイプ、内部リクエスト ID、結果フィールドに置き換えます。プロセッサのテスト環境を使用して、成功、失敗、リトライを実行します。ログに合成アカウントデータのマーカーが含まれていないこと、および決済処理が引き続きその契約を満たしていることを検証します。

検証

• データフロー目録が、実際の統合およびテレメトリと照合されている。
• アクセス拒否が、決済またはデータの副作用を生じさせない。
• ネストされたデータと例外に対して、秘匿化が確認されている。
• 証跡が、明示的なギャップとともに、実際の構成およびテスト結果に紐付けられている。

制限事項

暗号化、ホスト型チェックアウト、またはスキャンの合格のみでは、コンプライアンスを証明するものではありません。このパッケージには、自動監査スクリプト、決済プロセッサクライアント、認定された暗号化ユーティリティは含まれていません。実際の環境には、レビュー済みの統合コードと適切な評価を使用してください。実際のカード会員データをテストフィクスチャとして決して使用しないでください。