PCI DSS — стандарт безопасности данных платёжных карт

PCI DSS (Payment Card Industry Data Security Standard) — это международный стандарт безопасности данных платёжных карт, обязательный для всех организаций, которые хранят, обрабатывают или передают данные карт. Официальная формулировка PCI SSC: документ «обеспечивает базовый набор технических и операционных требований, разработанных для защиты данных учётной записи», и распространяется на организации, которые хранят, обрабатывают или передают данные держателей карт (cardholder data, CHD) и/или конфиденциальные аутентификационные данные (sensitive authentication data, SAD), а также на те, чья инфраструктура может повлиять на безопасность среды обработки данных карт (cardholder data environment, CDE).

Разрабатывает и поддерживает стандарт PCI Security Standards Council (PCI SSC) — независимая индустриальная организация, учреждённая в 2006 году платёжными системами Visa, Mastercard, American Express, Discover и JCB. PCI SSC публикует текст стандарта и ведёт программы аттестации аудиторов (QSA) и сканирующих организаций (ASV).

Данные, которые защищает стандарт, — «данные учётной записи» (Account Data) — делятся на две категории:

Определяющий элемент — полный номер карты (PAN, Primary Account Number): требования распространяются на сам PAN, на любые другие данные держателя карты, которые хранятся или обрабатываются вместе с PAN, и на все элементы SAD, где бы они ни встречались в инфраструктуре организации.

На 2026 год действует одна версия стандарта — PCI DSS v4.0.1, опубликованная 11 июня 2024 года. Версия v4.0 официально прекратила поддержку 31 декабря 2024 года, а все требования, которые в 2022–2025 годах считались отложенными («future-dated»), с 31 марта 2025 года стали обязательными без исключений — включая пункты о защите скриптов платёжных страниц от e-skimming и о WAF (или аналогичном решении) для публичных веб-приложений.

↔ таблицу можно прокрутить вбок

v4.0.1 — «ограниченная ревизия»: уточнены формулировки применимости для эмитентов, требования к патч-менеджменту (Req 6), исключение для MFA при использовании устойчивых к фишингу факторов (Req 8), примечания по применимости к сторонним провайдерам (Req 12). Сами 12 требований и их названия не изменились.

О версии после 4.0.1 данных не найдено — статья исходит из того, что действует v4.0.1, без прогнозов по срокам следующего релиза оценка.

PCI DSS обязателен для всех организаций, вовлечённых в обработку платёжных карт, — мерчантов, процессоров, эквайеров, эмитентов и прочих сервис-провайдеров, которые хранят, обрабатывают или передают данные держателей карт. При этом конкретный уровень обязательств и форму подтверждения для каждой организации определяет не PCI SSC, а платёжная система и банк-эквайер, с которыми у организации заключён договор.

Ниже — наиболее распространённая (Visa-подобная) модель уровней для мерчантов по агрегированным вторичным источникам; пороги у разных платёжных систем могут отличаться оценка.

↔ таблицу можно прокрутить вбок

Для сервис-провайдеров действует упрощённая двухуровневая модель: Level 1 — свыше 300 000 транзакций в год (для Amex — свыше 2,5 млн), обязателен ежегодный ROC от QSA; Level 2 — менее 300 000 транзакций в год, достаточно SAQ D for Service Providers, но с ежегодным пентестом и ежеквартальным ASV-сканированием.

Сам факт обязательности PCI DSS для организации, работающей с картами, подтверждён официальным документом. Конкретный уровень и форма подтверждения — предмет договора с платёжной системой или эквайером; единого федерального или общемирового реестра уровней не существует.

PCI DSS состоит из 12 требований, сгруппированных в 6 целей (Goals): от построения защищённой сети до поддержания политики информационной безопасности. Структура и формулировки требований не изменились между v4.0 и действующей v4.0.1 — ревизия 2024 года уточнила только отдельные примечания о применимости.

↔ таблицу можно прокрутить вбок

Требование 6.4.2 прямо называет пример технического решения для защиты публичных веб-приложений — «web application firewall (WAF)… is an example of an automated technical solution that detects and prevents web-based attacks». Требование 3 в связке с 3.5–3.6 и 4 закрывается криптографической защитой данных карт в покое и при передаче, требования 7–9 — контролем доступа. Продуктовое сопоставление с классами СЗИ — в разделе «С чего начать» ниже.

Правая колонка таблицы — рабочий перевод для этой статьи, не официальный текст. PCI SSC анонсировал доступность PCI DSS на русском языке; для точной формулировки конкретного требования в проекте лучше опираться на официальный перевод, если он актуален для v4.0.1 оценка.

Соответствие PCI DSS подтверждается одним из двух путей — самооценкой (SAQ) для организаций с меньшим объёмом операций или полным аудитом (ROC) от QSA для крупнейших мерчантов и сервис-провайдеров (Level 1), — дополненными обязательным ежеквартальным сканированием внешнего периметра (ASV) и итоговой декларацией (AoC).

↔ таблицу можно прокрутить вбок

«Сертификация PCI DSS» в разговорной речи обычно означает прохождение ROC или SAQ и получение итогового документа AoC (Attestation of Compliance), а не государственную сертификацию в привычном для российского ИБ-рынка смысле. PCI SSC не выдаёт государственный сертификат: AoC подтверждает соответствие требованиям конкретной платёжной системы или банка-эквайера, а не решение регулятора.

Это важно проговорить явно, потому что читатель, который ищет «сертификация PCI DSS», по инерции может ожидать логики сертификации СЗИ ФСТЭК — с выдачей государственного сертификата на конкретный продукт и внесением в реестр. У PCI DSS другая природа: итоговый документ подтверждает состояние защиты данных карт в организации на момент проверки, действует ограниченный срок и адресован не государству, а стороне договора эквайринга.

Платёжная система «Мир» (НСПК) сама требует PCI DSS от своих участников — банков-эквайеров, сервис- провайдеров, торгово-сервисных предприятий и процессинговых центров, — включая специально разработанные русскоязычные формы самооценки. Это опровергает распространённое упрощение «PCI DSS — только для международных карт, для „Мир“ свои требования»: для карт «Мир» стандарт действует так же, просто через собственную программу платёжной системы.

По данным официального сайта «Мир», НСПК использует упрощённую форму SAQ A-MIR (мерчанты с редиректом или iFrame на платёжную страницу) и SAQ D-MIR (мерчанты под критериями SAQ D). Уровень мерчанта и форму оценки определяет НСПК по объёму операций с картами «Мир» и типу приёма платежей; дословные названия форм стоит сверить на nspk.ru перед использованием в проекте факт⚠.

Visa и Mastercard прекратили обработку транзакций по картам российских банков за пределами РФ и обслуживание иностранных карт внутри РФ в 2022 году — широко известный факт. Для чисто внутрироссийских операций требования PCI DSS от лица именно Visa/Mastercard практического смысла не имеют; банки, обслуживающие трансграничные операции или другие международные системы (Amex, JCB, UnionPay), сохраняют обязательства в этой части.

Актуальный статус их программ комплаенса для российских участников на 2026 год материал не подтверждает оценка. Аккредитованные PCI SSC компании со статусом QSA в России исторически есть (по вторичным источникам — например, «Информзащита», Compliance Control); актуальный список стоит сверять напрямую в реестре PCI SSC оценка.

Соотношение с ГОСТ Р 57580 — два параллельных, не взаимоисключающих трека. ГОСТ Р 57580 становится обязательным через положения Банка России — государственный трек для банков и НФО как таковых. PCI DSS становится обязательным через договор с платёжной системой — индустриальный трек для тех, кто именно обрабатывает данные карт, а не для всех финансовых организаций вообще.

На рынке часто упоминают Положение Банка России № 382-П как идеологически близкое к PCI DSS и SWIFT, но это самостоятельный НПА, не заменяющий PCI DSS напрямую; действующий статус самого 382-П на 2026 год материал не подтверждает оценка. Организация, работающая с картами «Мир», может быть обязана соответствовать одновременно и ГОСТ 57580 (по положению ЦБ, если это банк или НФО), и PCI DSS (по договору с НСПК) — PCI DSS не заменяет и не входит в состав государственной регуляторики.

PCI DSS-санкции — не государственный штраф в смысле 152-ФЗ или КоАП, а договорные санкции платёжных систем (Visa, Mastercard и др.), которые предъявляются банку-эквайеру, а тот перевыставляет их мерчанту или сервис-провайдеру по условиям договора эквайринга.

По вторичным источникам, штрафы платёжных систем за несоответствие могут составлять от 5 000 до 100 000 долларов США в месяц за нарушение — сумма варьируется по платёжной системе и тяжести нарушения — и начисляться ежемесячно до устранения проблемы. Это не официальная фиксированная шкала PCI SSC, сам PCI SSC штрафов не устанавливает; конкретные суммы — предмет договора с эквайером оценка.

Помимо прямых штрафов возможны: повышение комиссии за транзакции, дополнительные внеплановые проверки, а в тяжёлых случаях — особенно после реального инцидента с утечкой — лишение права принимать карты этой платёжной системы.

В российском контексте важно не путать эти санкции со штрафами Роскомнадзора за нарушение 152-ФЗ. Данные карт одновременно являются персональными данными (ФИО держателя, номер карты как идентификатор), поэтому при утечке организация теоретически несёт двойные последствия: договорные санкции платёжной системы (этот раздел) и отдельный оборотный штраф РКН по 152-ФЗ — подробнее в разделе «Персональные данные».

• Определить, кто именно требует от вас соответствия — конкретная платёжная система и банк-эквайер, а не PCI SSC напрямую: обязательность и форма подтверждения задаются договором.
• Определить уровень (Level) и обязательную форму подтверждения — тип SAQ или необходимость ROC — у своей платёжной системы или эквайера.
• Очертить границы CDE (cardholder data environment) — какие системы хранят, обрабатывают или передают данные карт и какая инфраструктура может повлиять на их безопасность.
• Сопоставить текущий состав мер с 12 требованиями стандарта (раздел выше) — это основа для дальнейшего проекта, а не факультативный шаг.
• Выбрать QSA (для ROC) и ASV (для ежеквартального сканирования), если по вашему уровню это требуется.
• Проверить смежные обязательства — данные карт почти всегда одновременно персональные данные по 152-ФЗ (хаб ПДн), а для банков и НФО может параллельно действовать ГОСТ Р 57580 — это два разных, но не взаимоисключающих трека.

С точки зрения продуктового покрытия технических требований: Requirement 3 (защита хранимых данных карт) закрывается контролем за тем, что данные держателей карт не покидают защищённый периметр в незашифрованном виде, — здесь работает класс DLP. Requirement 3.5–3.6 и 4 (стойкая криптография для хранимых данных и при передаче по открытым сетям) — прямая зона класса СКЗИ.

Requirement 6.4.2 официальный текст стандарта прямо называет пример решения — WAF для публичных веб- приложений, см. класс WAF. Ни один из этих классов продуктов не заменяет собой QSA или ASV при формальной оценке соответствия — они снижают риск не пройти проверку, но не являются самой проверкой; общая логика оценки соответствия и сертификации СЗИ разобрана в хабе «Оценка соответствия».