Reconix LogoReconix
PCI DSS v4.0.1

ทดสอบเจาะระบบตาม PCI DSS v4.0.1

PCI DSS v4.0.1 กำหนดให้ทดสอบเจาะระบบทั้งภายในและภายนอกอย่างน้อยทุก 12 เดือน และทุกครั้งหลังมีการเปลี่ยนแปลงที่มีนัยสำคัญ (Req 11.4.2, 11.4.3) และสแกนช่องโหว่อย่างน้อยทุก 3 เดือน โดยการสแกนภายนอกต้องทำโดย ASV (Req 11.3) เราทดสอบเจาะระบบให้ พร้อมรายงานที่ระบุขอบเขต วิธีทดสอบ ผลการตรวจพบ และผลการทดสอบซ้ำ สำหรับผู้ตรวจประเมินของคุณ

Req 11.4
Penetration Testing
11.4.2, 11.4.3: ทุก 12 เดือน + หลังเปลี่ยนแปลงที่มีนัยสำคัญ
Req 11.3
Vulnerability Scanning
ทุก 3 เดือน ทั้งภายในและ ASV
v4.0.1
เวอร์ชันล่าสุด
ตรวจทานกับ ROC Template r3
Req 11.4.4
แก้ไขและทดสอบซ้ำ
แก้ไขช่องโหว่ที่ถูกโจมตีได้ตามความเสี่ยง
ขอรับการประเมิน PCI DSS

PCI DSS คืออะไร?

PCI DSS เป็นมาตรฐานความปลอดภัยระดับโลกสำหรับทุกองค์กรที่เกี่ยวข้องกับข้อมูลบัตรชำระเงิน กำกับดูแลโดย PCI SSC กำหนดแนวทางการจัดเก็บ ประมวลผล และส่งต่อข้อมูลบัตรอย่างปลอดภัย

  • กำกับดูแลโดย PCI SSC
  • เวอร์ชันปัจจุบันคือ v4.0.1 หมายเลขข้อกำหนดในหน้านี้ตรวจทานกับ ROC Template r3 ฉบับทางการของ v4.0.1 (มกราคม 2568)
  • ใช้กับร้านค้าที่รับชำระด้วยบัตร และผู้ให้บริการที่ประมวลผลหรือรับชำระบัตรแทนผู้อื่น สำหรับระบบที่อยู่ในหรือเชื่อมต่อกับสภาพแวดล้อมข้อมูลผู้ถือบัตร (CDE)
  • เป็นมาตรฐานของอุตสาหกรรม และแบรนด์บัตรชำระเงินดำเนินการบังคับใช้เอง

อ้างอิง: PCI SSC - https://www.pcisecuritystandards.org/standards/pci-dss/

ใครบ้างที่ต้องทำตาม PCI DSS?

PCI DSS ใช้กับร้านค้าที่รับชำระด้วยบัตร และผู้ให้บริการที่ประมวลผลหรือรับชำระบัตรแทนผู้อื่น ครอบคลุมทุกระบบที่อยู่ในหรือเชื่อมต่อกับสภาพแวดล้อมข้อมูลผู้ถือบัตร

ร้านค้า (Merchants)

ร้านค้าปลีก ร้านอาหาร โรงแรม หรือธุรกิจใดก็ตามที่รับบัตรทั้งหน้าร้านและออนไลน์

ธุรกิจ E-Commerce

ร้านค้าออนไลน์และแพลตฟอร์มที่รับชำระบัตรผ่าน Payment Gateway

สถาบันการเงิน

ธนาคาร Acquiring Bank และผู้ออกบัตรที่ต้องจัดการข้อมูลผู้ถือบัตร

ผู้ให้บริการชำระเงิน

Payment Processor, Payment Gateway และ Payment Service Provider ที่ดูแลธุรกรรมบัตร

Service Providers

ผู้ให้บริการ Hosting, Managed Security หรือองค์กรใดที่เข้าถึง Cardholder Data Environment (CDE)

ทุกองค์กรที่แตะข้อมูลบัตร

ใครก็ตามที่เก็บ ประมวลผล หรือส่งต่อหมายเลขบัตร (PAN) หรือข้อมูล Authentication ที่สำคัญ

การทดสอบความปลอดภัย

ข้อกำหนดด้าน Security Testing ที่สำคัญ

หน้าที่ด้านการทดสอบตาม PCI DSS v4.0.1 พร้อมหมายเลขข้อกำหนดของแต่ละข้อ

Req 11.4.1 to 11.4.3

Penetration Testing

ทดสอบเจาะระบบทั้งภายในและภายนอกอย่างน้อยทุก 12 เดือน และหลังการเปลี่ยนแปลงโครงสร้างพื้นฐานหรือแอปพลิเคชันที่มีนัยสำคัญทุกครั้ง ครอบคลุมขอบเขต CDE ทั้งหมดและทดสอบระดับแอปพลิเคชัน ผู้ทดสอบต้องมีคุณสมบัติเหมาะสมและเป็นอิสระในเชิงองค์กร โดยไม่จำเป็นต้องเป็น QSA หรือ ASV

Req 11.4.4

แก้ไขและทดสอบซ้ำ

แก้ไขช่องโหว่ที่ถูกโจมตีได้จากการทดสอบเจาะระบบตามระดับความเสี่ยง แล้วทดสอบซ้ำเพื่อยืนยันผลการแก้ไข

Req 11.4.5, 11.4.6

ทดสอบการแบ่งส่วนเครือข่าย

หากใช้การแบ่งส่วนเครือข่ายเพื่อลดขอบเขต ต้องทดสอบการควบคุมการแบ่งส่วนทุก 12 เดือน (ร้านค้า) หรือทุก 6 เดือน (ผู้ให้บริการ) และหลังเปลี่ยนแปลงการควบคุมการแบ่งส่วนทุกครั้ง

Req 11.3

Vulnerability Scanning

สแกนภายในแบบยืนยันตัวตนอย่างน้อยทุก 3 เดือนและหลังการเปลี่ยนแปลงที่มีนัยสำคัญ และสแกนซ้ำจนกว่าช่องโหว่ระดับสูงและวิกฤตจะได้รับการแก้ไข สแกนภายนอกโดย ASV อย่างน้อยทุก 3 เดือนจนกว่าจะผ่าน หลังการเปลี่ยนแปลงที่มีนัยสำคัญ ให้ผู้ทดสอบที่มีคุณสมบัติและเป็นอิสระสแกนภายนอกและแก้ไขช่องโหว่ที่มีคะแนน CVSS ตั้งแต่ 4.0 ขึ้นไป

Req 6.2.3

ทบทวนโค้ดก่อนเผยแพร่

ทบทวนซอฟต์แวร์ที่พัฒนาขึ้นเองตามแนวทางการเขียนโค้ดอย่างปลอดภัย เพื่อหาช่องโหว่ทั้งที่มีอยู่และที่เกิดขึ้นใหม่ ก่อนนำขึ้นระบบใช้งานจริงหรือส่งมอบให้ลูกค้า และแก้ไขสิ่งที่พบ การทบทวนแบบ Manual ต้องใช้ผู้ทบทวนที่ไม่ใช่ผู้เขียนโค้ด และต้องได้รับอนุมัติจากฝ่ายบริหาร

Req 11.4.7

ผู้ให้บริการแบบ Multi-Tenant

ผู้ให้บริการแบบ Multi-Tenant ต้องสนับสนุนให้ลูกค้าของตนทดสอบเจาะระบบจากภายนอกได้

ไม่ทำตาม PCI DSS แล้วจะเป็นอย่างไร

PCI DSS เป็นมาตรฐานของอุตสาหกรรม และแบรนด์บัตรชำระเงินดำเนินการบังคับใช้เอง

บังคับใช้โดยแบรนด์บัตร
มาตรฐานอุตสาหกรรม

ผลของการไม่ปฏิบัติตามมาจากแบรนด์บัตรชำระเงินและโปรแกรมบังคับใช้ของแต่ละแบรนด์

ตรวจสอบหน้าที่ขององค์กร
คำแนะนำของ Reconix

ก่อนวางแผนการทดสอบ ควรสอบถาม Acquirer หรือแบรนด์บัตรชำระเงินว่าองค์กรของคุณต้องยืนยันการปฏิบัติตามและรายงานในรูปแบบใด

Penetration Testing ช่วยเรื่อง PCI DSS ตรงไหนบ้าง

Pentest แต่ละประเภทตอบโจทย์ข้อกำหนด PCI DSS คนละข้อ ดูได้ว่าแต่ละประเภทเกี่ยวข้องกับข้อกำหนดใด

Network Penetration Testing

ทดสอบขอบเขต CDE และการควบคุมการแบ่งส่วนเครือข่ายที่แยก CDE ออกจากเครือข่ายอื่น (Req 11.4, 11.4.5)

Web Application Penetration Testing

ทดสอบระดับแอปพลิเคชันของ Payment Portal, E-Commerce Platform และเว็บแอปที่จัดการข้อมูลบัตร (Req 11.4)

Vulnerability Assessment

สแกนหาช่องโหว่ภายในอย่างเป็นระบบทั่วทั้ง CDE (Req 11.3.1)

Cloud Penetration Testing

ทดสอบระบบชำระเงินบน Cloud รวมถึงการแบ่งส่วนเครือข่ายและการควบคุมการเข้าถึง (Req 11.4)

รายการตรวจสอบ

Checklist สำหรับ PCI DSS Compliance

รายการที่มีหมายเลขข้อกำหนดมาจาก PCI DSS v4.0.1 รายการที่ไม่มีหมายเลขเป็นคำแนะนำของ Reconix

ทดสอบเจาะระบบทั้งภายในและภายนอกอย่างน้อยทุก 12 เดือน (Req 11.4.2, 11.4.3)
ทดสอบเจาะระบบซ้ำทุกครั้งหลังเปลี่ยนแปลงโครงสร้างพื้นฐานหรือแอปพลิเคชันที่มีนัยสำคัญ (Req 11.4.2, 11.4.3)
สแกนภายนอกโดย ASV อย่างน้อยทุก 3 เดือนจนกว่าจะผ่าน (Req 11.3.2)
สแกนภายในแบบยืนยันตัวตนอย่างน้อยทุก 3 เดือน และสแกนซ้ำจนกว่าช่องโหว่ระดับสูงและวิกฤตจะได้รับการแก้ไข (Req 11.3.1)
หากใช้การแบ่งส่วนเครือข่าย ให้ทดสอบทุก 12 เดือน (ร้านค้า) หรือทุก 6 เดือน (ผู้ให้บริการ) และหลังเปลี่ยนแปลงการควบคุมการแบ่งส่วน (Req 11.4.5, 11.4.6)
ทบทวนซอฟต์แวร์ที่พัฒนาขึ้นเองตามแนวทางการเขียนโค้ดอย่างปลอดภัยก่อนเผยแพร่ (Req 6.2.3)
ยืนยันว่าทุกการเข้าถึง CDE ใช้ MFA
ทดสอบ Firewall และ Network Security Controls ที่ปกป้อง CDE
จัดทำเอกสารผลการทดสอบและหลักฐานการแก้ไขสำหรับผู้ตรวจประเมิน
แก้ไขช่องโหว่ที่ถูกโจมตีได้จากการทดสอบเจาะระบบตามระดับความเสี่ยง และทดสอบซ้ำเพื่อยืนยัน (Req 11.4.4)
ซ้อม Incident Response สำหรับกรณี Cardholder Data Breach
ทบทวน Security Policy อย่างน้อยปีละครั้ง

เอกสารอ้างอิง

อ่านรายละเอียดมาตรฐาน PCI DSS ฉบับเต็มจากแหล่งข้อมูลทางการ

ภาพรวม PCI DSS v4.0.1PCI DSS v4.0.1 Quick Reference Guide (PDF)PCI DSS v4.0.1 Document Libraryรายชื่อ Approved Scanning Vendors (ASV)

บริการที่เกี่ยวข้อง

บริการทดสอบสำหรับ Cardholder Data Environment ของคุณ

Network Penetration Testing

ทดสอบ Network Perimeter และ Segmentation Controls ที่ปกป้อง CDE

เรียนรู้เพิ่มเติม

Web Application Penetration Testing

หาช่องโหว่ใน Payment Portal และระบบ E-Commerce ที่จัดการข้อมูลบัตร

เรียนรู้เพิ่มเติม

Vulnerability Assessment

สแกนช่องโหว่ภายในอย่างเป็นระบบ รองรับ PCI DSS Req 11.3.1

เรียนรู้เพิ่มเติม
กลับไปหน้า Compliance ทั้งหมด

คำถามที่พบบ่อยเรื่อง PCI DSS

รวมคำตอบเรื่อง Penetration Testing และ Security Requirements สำหรับ PCI DSS Compliance

เครื่องมือฟรี

งานด้านความมั่นคงปลอดภัยขององค์กรคุณพร้อมแค่ไหน

ตอบ 14 คำถาม แล้วดู Tier ตาม NIST CSF 2.0 และช่องว่าง 3 อันดับแรกบนหน้าจอได้ทันที ไม่ต้องลงทะเบียน

พร้อมผ่านเกณฑ์ PCI DSS แล้วหรือยัง?

Penetration Testing และการสแกนช่องโหว่ภายในตาม PCI DSS v4.0.1 พร้อมรายงานที่ระบุขอบเขต วิธีทดสอบ ผลการตรวจพบ และผลการทดสอบซ้ำ สำหรับผู้ตรวจประเมินของคุณ

Reconix คือผู้เชี่ยวชาญการทดสอบเจาะระบบเชิงรุกที่เน้นการพิสูจน์ในประเทศไทย ให้บริการธุรกิจดิจิทัลภายใต้การกำกับดูแลทุกขนาด