PCI DSS простыми словами

PCI DSS (Payment Card Industry Data Security Standard) — международный стандарт безопасности платёжных карт: набор технических и организационных требований к тем, кто хранит, обрабатывает или передаёт данные карт. Его разработал совет PCI SSC, а действует он для продавцов, платёжных процессоров, банков-эквайеров и эмитентов.

Простыми словами

Если ваш магазин принимает карты, данные карты (номер, срок, CVV) должны проходить только защищённым путём. PCI DSS описывает, как именно. Совет PCI SSC поясняет, что стандарт — это базовый уровень требований для защиты данных платёжного счёта, и применяется он ко всем, кто хранит, обрабатывает или передаёт данные держателей карт, либо может повлиять на безопасность среды, где они находятся (PCI SSC).

Важно: PCI SSC сам не наказывает и не решает, кто должен подтверждать соответствие. Это определяют платёжные бренды и эквайер — банк, принимающий ваши платежи. Поэтому первым шагом должен стать вопрос вашему банку или платёжному провайдеру, что именно они требуют (PCI SSC, для продавцов).

Как минимизировать объём требований

Чем меньше данных карт проходит через ваш сайт, тем меньше требований. Интернет-торговля — это среда без физической карты, и платёжные данные в ней нужно защищать по PCI DSS (PCI SSC).

Для самооценки существуют анкеты SAQ — разные для разных сред, у каждой есть критерии допуска (там же). Самая простая, SAQ A, предназначена продавцам, чьи операции с данными карт полностью переданы провайдерам, которые сами отвечают за PCI DSS, и которые не хранят, не обрабатывают и не передают данные карт в своих системах (PCI SSC, блог).

Практически: страницу оплаты, которую полностью отображает платёжный провайдер (редирект или его форма), обычно воспринимают как самый лёгкий вариант. Собственные формы, собирающие номер карты, значительно увеличивают объём. Шифрование само по себе не выводит среду из-под стандарта, если зашифрованные данные и ключи доступны в одном месте (PCI SSC).

Что изменилось недавно

Для SAQ A в 2025 году внесли изменения: требования 6.4.3 и 11.6.1 (контроль скриптов на платёжной странице) и 12.3.1 убрали из анкеты, а добавили критерий допуска: продавец подтверждает, что его сайт не уязвим к атакам через скрипты, которые могут повлиять на его электронную коммерцию. Изменения вступили в силу 31 марта 2025 года, и они не отменяют самих требований стандарта, а меняют способ подтверждения (PCI SSC, блог). Вывод для магазина: сторонние скрипты на странице оплаты (чат, аналитика, виджеты) должны быть ограничены необходимым.

Детали применения зависят от вашего эквайера, так что решение о форме подтверждения согласуйте с ним. Отдельно результаты поиска свидетельствуют, что вендоры по-разному толкуют, к каким сценариям (iframe или редирект) применяется этот критерий, поэтому опирайтесь на официальные ЧаВО PCI SSC и банк.

Типичные ошибки

• Хранить CVV или полный номер карты в базе, почтовом ящике или CRM.
• Принимать данные карты в чате, мессенджере, по телефону без защищённого решения.
• Не спрашивать банк, какой именно уровень подтверждения требуется.
• Добавлять сторонние скрипты на страницу оплаты без необходимости.
• Считать соответствие одноразовым. Это постоянный процесс.

FAQ

Обязателен ли PCI DSS для интернет-магазина в Украине? Стандарт применяется ко всем, кто работает с карточными данными, но требовать ли подтверждение и в какой форме, решают платёжные бренды и эквайер. Спросите свой банк или платёжного провайдера (PCI SSC).

Нужен ли PCI DSS, если оплата идёт через платёжную страницу провайдера? Объём требований к вам значительно меньше, но полностью от ответственности это не освобождает: подтверждение зависит от вашей схемы и банка.

Что такое SAQ? Анкета самооценки для продавцов, которые могут подтвердить соответствие самостоятельно. У разных схем работы разные анкеты.

Какая версия стандарта действует? В справочной библиотеке PCI SSC опубликован PCI DSS v4.0.1 (PCI SSC, библиотека документов).

Связанные термины

• Способы оплаты в интернет-магазине в Украине
• Мошенничество с платежами и 3-D Secure
• Безопасность интернет-магазина: минимум
• Оформление заказа (чекаут)

Источники

• PCI SSC, PCI DSS — pcisecuritystandards.org/standards/pci-dss
• PCI SSC, Merchants — pcisecuritystandards.org/merchants
• PCI SSC, Document Library — pcisecuritystandards.org/document_library
• PCI SSC blog, Important updates announced for merchants validating to SAQ A — blog.pcisecuritystandards.org/important-updates-announced-for-merchants-validating-to-self-assessment-questionnaire-a