{"id":4816,"date":"2026-08-11T20:59:13","date_gmt":"2026-08-11T18:59:13","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4816"},"modified":"2026-08-12T19:02:19","modified_gmt":"2026-08-12T17:02:19","slug":"pci-dss","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/pci-dss","title":{"rendered":"PCI-DSS"},"content":{"rendered":"<p><strong>PCI DSS<\/strong> (Payment Card Industry Data Security Standard, czyli standard bezpiecze\u0144stwa danych w bran\u017cy kart p\u0142atniczych) to zbi\u00f3r zasad, kt\u00f3re musi spe\u0142ni\u0107 ka\u017cda firma maj\u0105ca do czynienia z danymi kart. Tworzy go i utrzymuje <strong>PCI Security Standards Council<\/strong> (PCI SSC) \u2014 rada za\u0142o\u017cona przez Visa, Mastercard, American Express, Discover i JCB. Standard m\u00f3wi, jak chroni\u0107 dane posiadaczy kart (ang. <em>cardholder data<\/em>) w firmach, kt\u00f3re te dane przechowuj\u0105, przetwarzaj\u0105 lub przesy\u0142aj\u0105. Obowi\u0105zuje wersja <strong>PCI DSS v4.0.1<\/strong>, opublikowana 11 czerwca 2024 r.; zast\u0105pi\u0142a ona v4.0, wycofan\u0105 31 grudnia 2024 r. Wszystkie zasady s\u0105 uj\u0119te w <strong>12 wymaga\u0144<\/strong> pogrupowanych w <strong>6 cel\u00f3w<\/strong> (control objectives).<\/p>\n<h2>Czym jest PCI DSS i kto go egzekwuje?<\/h2>\n<p>PCI DSS nie jest prawem \u2014 to standard wynikaj\u0105cy z um\u00f3w. Firma musi go przestrzega\u0107, bo zobowi\u0105za\u0142a si\u0119 do tego w kontrakcie z organizacj\u0105 p\u0142atnicz\u0105 i bankiem rozliczeniowym (acquirerem). Sam standard pisze i aktualizuje PCI SSC, ale pilnowaniem zgodno\u015bci i karami zajmuj\u0105 si\u0119 poszczeg\u00f3lne organizacje p\u0142atnicze (Visa, Mastercard i inne) oraz acquirerzy.<\/p>\n<p>Standard dotyczy dw\u00f3ch grup. <strong>Merchanci<\/strong> to sprzedawcy, kt\u00f3rzy przyjmuj\u0105 p\u0142atno\u015bci kart\u0105. <strong>Service providerzy<\/strong> to dostawcy us\u0142ug wp\u0142ywaj\u0105cych na bezpiecze\u0144stwo danych kart \u2014 na przyk\u0142ad bramki p\u0142atnicze, procesory transakcji czy firmy hostingowe.<\/p>\n<p>Wa\u017cne jest poj\u0119cie <strong>CDE<\/strong> (Cardholder Data Environment), czyli \u015brodowisko danych posiadaczy kart. S\u0105 to wszystkie systemy, sieci i komponenty, kt\u00f3re przechowuj\u0105, przetwarzaj\u0105 lub przesy\u0142aj\u0105 dane kart (numer karty oraz wra\u017cliwe dane uwierzytelniaj\u0105ce), a tak\u017ce systemy bezpo\u015brednio z nimi po\u0142\u0105czone lub mog\u0105ce na nie wp\u0142ywa\u0107. Ka\u017cda ocena zgodno\u015bci zaczyna si\u0119 od dok\u0142adnego wyznaczenia granic CDE (tzw. <em>scoping<\/em>).<\/p>\n<h2>Jakie dane chroni PCI DSS?<\/h2>\n<p>Standard dzieli chronione dane na dwie kategorie:<\/p>\n<ul>\n<li><strong>Cardholder data (CHD)<\/strong> \u2014 dane posiadacza karty: pe\u0142ny numer karty (<code>PAN<\/code>, Primary Account Number), imi\u0119 i nazwisko, data wa\u017cno\u015bci i kod us\u0142ugi (service code). PAN mo\u017cna przechowywa\u0107 tylko w postaci nieczytelnej \u2014 zamaskowanej, stokenizowanej albo zaszyfrowanej zgodnie z wymaganiem 3.<\/li>\n<li><strong>Sensitive authentication data (SAD)<\/strong> \u2014 wra\u017cliwe dane uwierzytelniaj\u0105ce: pe\u0142ne dane \u015bcie\u017cki magnetycznej, kod weryfikacyjny (<code>CAV2\/CVC2\/CVV2\/CID<\/code>) oraz PIN lub blok PIN. SAD <strong>nie wolno przechowywa\u0107 po autoryzacji<\/strong> transakcji \u2014 nawet zaszyfrowanych.<\/li>\n<\/ul>\n<h2>Jakie s\u0105 12 wymaga\u0144 PCI DSS i 6 cel\u00f3w?<\/h2>\n<p>Wymagania PCI DSS v4.0.1 s\u0105 pogrupowane w sze\u015b\u0107 nadrz\u0119dnych cel\u00f3w:<\/p>\n<h3>Cel 1 \u2014 Budowa i utrzymanie bezpiecznej sieci i system\u00f3w<\/h3>\n<ol>\n<li><strong>Wymaganie 1:<\/strong> kontrola bezpiecze\u0144stwa sieci (<em>network security controls<\/em> \u2014 m.in. firewalle i segmentacja).<\/li>\n<li><strong>Wymaganie 2:<\/strong> bezpieczne konfiguracje wszystkich komponent\u00f3w (usuni\u0119cie domy\u015blnych hase\u0142 i ustawie\u0144).<\/li>\n<\/ol>\n<h3>Cel 2 \u2014 Ochrona danych konta<\/h3>\n<ol>\n<li><strong>Wymaganie 3:<\/strong> ochrona przechowywanych danych konta (szyfrowanie, maskowanie, tokenizacja, zarz\u0105dzanie kluczami).<\/li>\n<li><strong>Wymaganie 4:<\/strong> ochrona danych podczas przesy\u0142ania przez otwarte sieci publiczne za pomoc\u0105 silnej kryptografii (np. <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/tls-ssl\">TLS<\/a>).<\/li>\n<\/ol>\n<h3>Cel 3 \u2014 Utrzymanie programu zarz\u0105dzania podatno\u015bciami<\/h3>\n<ol>\n<li><strong>Wymaganie 5:<\/strong> ochrona system\u00f3w i sieci przed z\u0142o\u015bliwym oprogramowaniem.<\/li>\n<li><strong>Wymaganie 6:<\/strong> rozwijanie i utrzymywanie bezpiecznych system\u00f3w i oprogramowania (poprawki, bezpieczne tworzenie kodu).<\/li>\n<\/ol>\n<h3>Cel 4 \u2014 Silna kontrola dost\u0119pu<\/h3>\n<ol>\n<li><strong>Wymaganie 7:<\/strong> dost\u0119p do system\u00f3w i danych kart tylko dla tych, kt\u00f3rzy go naprawd\u0119 potrzebuj\u0105 (zasada <em>need-to-know<\/em>).<\/li>\n<li><strong>Wymaganie 8:<\/strong> identyfikacja u\u017cytkownik\u00f3w i uwierzytelnianie dost\u0119pu (w tym <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/multi-factor-authentication-mfa\">MFA<\/a>, czyli uwierzytelnianie wielosk\u0142adnikowe).<\/li>\n<li><strong>Wymaganie 9:<\/strong> ograniczenie fizycznego dost\u0119pu do danych posiadaczy kart.<\/li>\n<\/ol>\n<h3>Cel 5 \u2014 Regularne monitorowanie i testowanie sieci<\/h3>\n<ol>\n<li><strong>Wymaganie 10:<\/strong> rejestrowanie i monitorowanie ka\u017cdego dost\u0119pu do system\u00f3w i danych kart (logowanie, \u015bcie\u017cki audytu, korelacja zdarze\u0144).<\/li>\n<li><strong>Wymaganie 11:<\/strong> regularne testowanie zabezpiecze\u0144 (skanowanie podatno\u015bci, testy penetracyjne, wykrywanie zmian).<\/li>\n<\/ol>\n<h3>Cel 6 \u2014 Polityka bezpiecze\u0144stwa informacji<\/h3>\n<ol>\n<li><strong>Wymaganie 12:<\/strong> wsparcie bezpiecze\u0144stwa politykami i programami organizacyjnymi (ocena ryzyka, szkolenia, reagowanie na incydenty, nadz\u00f3r nad dostawcami).<\/li>\n<\/ol>\n<h2>Co zmieni\u0142o si\u0119 w PCI DSS v4.0 i v4.0.1?<\/h2>\n<p>Wersja v4.0 (marzec 2022) by\u0142a du\u017c\u0105 zmian\u0105 wzgl\u0119dem v3.2.1. Wprowadzi\u0142a m.in.:<\/p>\n<ul>\n<li><strong>Podej\u015bcie dostosowane (customized approach):<\/strong> obok klasycznego <em>defined approach<\/em> (spe\u0142nianie wymaga\u0144 dos\u0142ownie) firma mo\u017ce osi\u0105gn\u0105\u0107 cel bezpiecze\u0144stwa w\u0142asnymi mechanizmami, je\u015bli poprze to analiz\u0105 ryzyka (targeted risk analysis).<\/li>\n<li><strong>Szersze uwierzytelnianie wielosk\u0142adnikowe (MFA):<\/strong> MFA jest wymagane przy ka\u017cdym dost\u0119pie do CDE, a nie tylko przy zdalnym dost\u0119pie administracyjnym.<\/li>\n<li><strong>Wymagania z odroczonym terminem (future-dated):<\/strong> cz\u0119\u015b\u0107 nowych wymaga\u0144 by\u0142a zaleceniem (best practice) do <strong>31 marca 2025 r.<\/strong>, a od tej daty sta\u0142a si\u0119 obowi\u0105zkowa \u2014 m.in. szersze MFA, d\u0142u\u017csze has\u0142a, ukierunkowane analizy ryzyka i wykrywanie zmian na stronach p\u0142atno\u015bci.<\/li>\n<\/ul>\n<p>Wersja <strong>v4.0.1<\/strong> to aktualizacja porz\u0105dkowa (<em>limited revision<\/em>). Nie dodaje nowych wymaga\u0144 \u2014 poprawia b\u0142\u0119dy redakcyjne, doprecyzowuje noty stosowalno\u015bci (m.in. dla wymaga\u0144 3, 6, 8 i 12), u\u015bci\u015bla obowi\u0105zki service provider\u00f3w wobec klient\u00f3w i przenosi szablony do biblioteki dokument\u00f3w na stronie PCI SSC. Po wycofaniu v4.0 z ko\u0144cem 2024 r. v4.0.1 jest jedyn\u0105 obowi\u0105zuj\u0105c\u0105 wersj\u0105.<\/p>\n<h2>Jak wygl\u0105da walidacja zgodno\u015bci: poziomy merchant\u00f3w, SAQ, ROC i AOC?<\/h2>\n<p>Spos\u00f3b potwierdzania zgodno\u015bci zale\u017cy od <strong>poziomu merchanta<\/strong>. Poziom wyznacza g\u0142\u00f3wnie roczny wolumen transakcji, przy czym szczeg\u00f3\u0142owe progi ustalaj\u0105 poszczeg\u00f3lne organizacje p\u0142atnicze. Poni\u017cej najcz\u0119\u015bciej spotykany podzia\u0142:<\/p>\n<ul>\n<li><strong>Poziom 1:<\/strong> ponad 6 mln transakcji rocznie, niezale\u017cnie od kana\u0142u sprzeda\u017cy (lub po naruszeniu danych). Wymaga corocznej oceny przez <strong>QSA<\/strong> (Qualified Security Assessor, wykwalifikowanego audytora) lub audytora wewn\u0119trznego (ISA) i sporz\u0105dzenia <strong>ROC<\/strong>.<\/li>\n<li><strong>Poziom 2:<\/strong> od 1 mln do 6 mln transakcji rocznie, niezale\u017cnie od kana\u0142u sprzeda\u017cy.<\/li>\n<li><strong>Poziom 3:<\/strong> od 20 000 do 1 mln <strong>transakcji e-commerce<\/strong> rocznie.<\/li>\n<li><strong>Poziom 4:<\/strong> poni\u017cej 20 000 <strong>transakcji e-commerce<\/strong> rocznie; poziom ten mo\u017ce r\u00f3wnie\u017c obejmowa\u0107 merchant\u00f3w o ni\u017cszym \u0142\u0105cznym wolumenie transakcji, zgodnie z zasadami danej organizacji p\u0142atniczej.<\/li>\n<\/ul>\n<p>Dokumenty walidacyjne:<\/p>\n<ul>\n<li><strong>SAQ<\/strong> (Self-Assessment Questionnaire) \u2014 kwestionariusz samooceny dla mniejszych podmiot\u00f3w (zwykle poziomy 2\u20134). Ma kilka typ\u00f3w (A, A-EP, B, B-IP, C, C-VT, P2PE, D) dobieranych do sposobu przyjmowania p\u0142atno\u015bci i zakresu CDE.<\/li>\n<li><strong>ROC<\/strong> (Report on Compliance) \u2014 pe\u0142ny raport z oceny, sporz\u0105dzany przez QSA, wymagany zwykle dla poziomu 1.<\/li>\n<li><strong>AOC<\/strong> (Attestation of Compliance) \u2014 formalne po\u015bwiadczenie zgodno\u015bci. Powstaje po SAQ albo po ROC i jest dokumentem przekazywanym acquirerowi lub partnerom.<\/li>\n<\/ul>\n<p>Niezale\u017cnie od poziomu wiele firm musi te\u017c prowadzi\u0107 <strong>kwartalne skanowanie podatno\u015bci<\/strong> przez <strong>ASV<\/strong> (Approved Scanning Vendor) dla system\u00f3w dost\u0119pnych z internetu.<\/p>\n<h2>Dlaczego PCI DSS jest istotny dla bezpiecze\u0144stwa i monitorowania sieci?<\/h2>\n<p>Z perspektywy zespo\u0142u bezpiecze\u0144stwa PCI DSS zamienia wymagania biznesowe i prawne na konkretne kontrole techniczne. Wiele z nich da si\u0119 bezpo\u015brednio sprawdzi\u0107 w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a> i w monitoringu sieci:<\/p>\n<ul>\n<li><strong>Segmentacja i kontrola ruchu (wym. 1):<\/strong> dobra segmentacja zmniejsza zakres CDE i utrudnia ruch boczny (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">lateral movement<\/a>) atakuj\u0105cego. Dane o przep\u0142ywach (flow) i logi zap\u00f3r pozwalaj\u0105 sprawdzi\u0107, \u017ce granice CDE przekracza tylko autoryzowany ruch \u2014 i wykry\u0107 pr\u00f3by ich obej\u015bcia.<\/li>\n<li><strong>Logowanie i monitoring (wym. 10):<\/strong> wymaga rejestrowania dost\u0119pu do danych kart, synchronizacji czasu, ochrony log\u00f3w i ich codziennego przegl\u0105du. W praktyce robi si\u0119 to przez <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a> i korelacj\u0119 zdarze\u0144. To podstawa wykrywania nadu\u017cy\u0107 i analizy po w\u0142amaniu.<\/li>\n<li><strong>Testowanie i wykrywanie zmian (wym. 11):<\/strong> skanowanie podatno\u015bci, testy penetracyjne, IDS\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ips-intrusion-prevention-system\">IPS<\/a> oraz wykrywanie nieautoryzowanych zmian \u2014 w tym podmienionych skrypt\u00f3w na stronach p\u0142atno\u015bci (ochrona przed atakami typu e-skimming\/Magecart).<\/li>\n<li><strong>Wykrywanie eksfiltracji:<\/strong> obserwowanie sieci pod k\u0105tem nietypowych po\u0142\u0105cze\u0144 wychodz\u0105cych i transfer\u00f3w danych pomaga wychwyci\u0107 pr\u00f3by wyprowadzenia danych kart, kt\u00f3rych standard zabrania przechowywa\u0107 w czytelnej postaci.<\/li>\n<\/ul>\n<p>Zgodno\u015b\u0107 to nie to samo co bezpiecze\u0144stwo. Spe\u0142nienie PCI DSS opisuje stan w jednym punkcie w czasie, a realna ochrona wymaga ci\u0105g\u0142ej widoczno\u015bci i monitorowania \u015brodowiska \u2014 do czego standard wprost nawi\u0105zuje w wymaganiach 10 i 11.<\/p>\n<h2>Jakie s\u0105 konsekwencje braku zgodno\u015bci z PCI DSS?<\/h2>\n<p>Kary nie wynikaj\u0105 z przepis\u00f3w PCI SSC, lecz z um\u00f3w z organizacjami p\u0142atniczymi i acquirerami. W praktyce mog\u0105 to by\u0107: kary finansowe nak\u0142adane przez organizacje p\u0142atnicze na acquirera (i przenoszone na merchanta), wy\u017csze op\u0142aty transakcyjne, a w skrajnych przypadkach <strong>odebranie mo\u017cliwo\u015bci przyjmowania kart<\/strong>. Po naruszeniu danych dochodz\u0105 koszty analizy pow\u0142amaniowej (forensics), powiadomie\u0144, wymiany kart oraz mo\u017cliwa odpowiedzialno\u015b\u0107 cywilna i sankcje z odr\u0119bnych przepis\u00f3w (np. <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/rodo-gdpr\">RODO<\/a>).<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dora\">DORA<\/a> \u2014 DORA dotyczy odporno\u015bci operacyjnej instytucji finansowych, podobnie jak PCI-DSS porz\u0105dkuje wymagania bezpiecze\u0144stwa.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/automatyzacja-sieci-skrypty-i-orkiestracja\">Automatyzacja sieci: od pojedynczych skrypt\u00f3w do wielosk\u0142adnikowej orkiestracji<\/a> \u2014 Automatyzacja pomaga utrzyma\u0107 zgodno\u015b\u0107 z PCI-DSS przez szybsze wdra\u017canie i kontrol\u0119 konfiguracji.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/czym-jest-atak-ddos-i-jak-sie-przed-nim-chronic-w-2025-roku\">Czym jest atak DDoS i jak si\u0119 przed nim chroni\u0107 w 2026 roku<\/a> \u2014 Ochrona przed <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ddos-distributed-denial-of-service\">DDoS<\/a> wspiera ci\u0105g\u0142o\u015b\u0107 us\u0142ug, wa\u017cn\u0105 tak\u017ce dla \u015brodowisk obj\u0119tych PCI-DSS.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/compliance-and-regulation-with-sycope\">Compliance i regulacje z Sycope<\/a> \u2014 Artyku\u0142 pokazuje podej\u015bcie do zgodno\u015bci, w tym wymaga\u0144 takich jak PCI-DSS.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4816","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"PCI-DSS","ikona":"","krotki_opis":"Standard bezpiecze\u0144stwa danych kart p\u0142atniczych (PCI SSC): 12 wymaga\u0144 w 6 celach, chroni\u0105cych dane posiadaczy kart u sprzedawc\u00f3w i dostawc\u00f3w us\u0142ug. Aktualna wersja: v4.0.1."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4816","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4816"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}