إن كانت منشأتك تقبل الدفع بالبطاقات، فمعيار أمن بيانات صناعة بطاقات الدفع (PCI DSS) ينطبق عليك. يضعه مجلس معايير أمن صناعة بطاقات الدفع، ويُطبَّق عبر شبكات البطاقات والبنوك ومزودي الدفع الذين يعالجون مدفوعاتك. وهو يشمل التجار بجميع أحجامهم، من متجر إلكتروني صغير إلى سلسلة تجزئة وطنية.

وقد تغيّر المعيار تغيرًا كبيرًا مع الإصدار 4.0. والإصدار 4.0.1، وهو مراجعة محدودة وضّحت الصياغة دون إضافة متطلبات أو حذفها، هو الإصدار المعتمد الآن، وأصبحت المتطلبات المؤجلة في الإصدار 4.0 إلزامية منذ 31 مارس 2025. وفيما يلي ما يعنيه ذلك للتجار في المملكة، وما المطلوب منهم عمليًا.

السؤال الأول: كيف تصل بيانات البطاقات إليك؟ #

يكاد كل جهدك في PCI DSS يعتمد على أمر واحد: أين تتدفق بيانات البطاقات. فكلما قلّت أنظمتك التي ترى بيانات البطاقات أو تخزنها أو تنقلها، صغر نطاقك وجهدك.

  • دفع إلكتروني مُسند بالكامل. يدفع العميل في صفحة يستضيفها مزوّد الدفع، عبر تحويل أو نموذج دفع مضمّن، ولا تمر بيانات البطاقة بخوادمك.
  • صفحات دفع على موقعك. موقعك يجمع بيانات البطاقة ثم يمررها، فتدخل خوادم الويب لديك في النطاق.
  • أجهزة نقاط البيع في المتاجر. الأجهزة تتصل بالمعالج، وتهم الأجهزة وشبكتها وطريقة تعامل الموظفين معها.
  • الطلبات الهاتفية واليدوية. يأخذ الموظفون بيانات البطاقة هاتفيًا أو يدويًا، فيدخل الأشخاص والإجراءات والتسجيلات في النطاق.

وسيخبرك بنكك المستحوذ أو مزوّد الدفع بطريقة إثبات الالتزام المطلوبة منك، وهي عادة استبيان التقييم الذاتي (SAQ) للتجار الأصغر، أو تقرير الالتزام من مقيّم أمن مؤهل (QSA) للأكبر.

ما الذي غيّره الإصدار 4 للتجار #

أدخل الإصدار 4 متطلبات جديدة، وأهمها للتجار:

  • نصوص صفحة الدفع البرمجية. يطلب المتطلب 6.4.3 أن يكون كل نص برمجي في صفحة الدفع معتمدًا ومبررًا ومتحققًا من سلامته، ويطلب المتطلب 11.6.1 آلية تكشف التغييرات غير المصرح بها في صفحة الدفع. وهما يستهدفان هجمات «القشط» التي يسرق فيها كود خبيث بيانات البطاقة داخل المتصفح.
  • التحقق متعدد العوامل لكل وصول إلى بيئة بيانات حاملي البطاقات، لا للوصول عن بعد فقط.
  • تحليل مخاطر موجّه للضوابط التي تختار أنت دورية تنفيذها.
  • آليات آلية لمراجعة السجلات بدل الاعتماد على المراجعة اليدوية وحدها.
  • الحماية من التصيد للموظفين.
  • تأكيد النطاق سنويًا بتوثيق كل موقع ومسار لبيانات البطاقات.

وللتجار الذين يُسندون نموذج الدفع المضمّن بالكامل، عدّل المجلس استبيان SAQ A في مطلع 2025: فأُزيل المتطلبان 6.4.3 و11.6.1 من ذلك الاستبيان، وحلّ محلهما شرط أهلية بأن موقع التاجر غير معرّض لهجمات النصوص البرمجية التي قد تؤثر في الدفع. ويبقى تطبيق هذين المتطلبين طريقة معترفًا بها لاستيفاء الشرط. فتأكد من الإصدار الحالي لاستبيانك مع مزوّد الدفع قبل البدء.

خطوات عملية للتجار في السعودية #

1. ارسم مسار بيانات البطاقات #

ارسم كيف تنتقل عملية الدفع من العميل إلى المعالج في كل قناة: الإنترنت والمتجر والهاتف. وحدّد كل نظام وشخص ومورد يلمس بيانات البطاقات.

2. قلّص النطاق #

استخدم صفحات الدفع المستضافة أو النماذج المضمّنة من مزوّدك، والترميز (Tokenization)، وأجهزة نقاط بيع تشفّر بيانات البطاقة لحظة إدخالها. واحذف بيانات البطاقات من الأماكن التي لا تحتاج إليها، كصناديق البريد والجداول وتسجيلات المكالمات.

3. تأكد من طريقة إثبات الالتزام #

اسأل بنكك أو مزوّد الدفع عن الاستبيان أو التقييم المنطبق عليك وموعده، ووثّق الإجابة.

4. أمّن صفحة الدفع #

إن كان موقعك يستضيف خطوة الدفع أو يضمّنها، فاحصر نصوصها البرمجية، واحذف غير الضروري منها، وطبّق آلية لكشف التغييرات. فهنا تقع معظم سرقات البطاقات عبر الإنترنت.

5. فعّل التحقق متعدد العوامل #

طبّقه على كل حساب يصل إلى الأنظمة داخل النطاق، بما في ذلك المسؤولون وفريق الدعم والأطراف الخارجية.

6. اختبر #

يتوقع المعيار فحصًا منتظمًا للثغرات، بما فيه فحوص خارجية ربع سنوية من مزوّد فحص معتمد (ASV) للأنظمة المتصلة بالإنترنت داخل النطاق، واختبار اختراق سنويًا على الأقل وبعد التغييرات الجوهرية للتجار الذين يتطلب تقييمهم ذلك. وإن كنت تعتمد على عزل الشبكات لتقليص النطاق، فيجب اختبار هذا العزل أيضًا.

7. أدِر مزودي الخدمة #

احصر كل مزوّد خدمة يمكن أن يؤثر في أمن بيانات البطاقات، وتأكد سنويًا من حالة التزامه بالمعيار، ووضّح المسؤوليات في العقود.

8. اجمع الأدلة أولًا بأول #

يبحث المقيّمون عن أدلة على أن الضوابط تعمل مع الوقت. فاحتفظ بسجلات المراجعات والفحوص والاختبارات والتدريب والتغييرات إلى جانب السياسات.

علاقة PCI DSS بالمتطلبات السعودية #

لا يحل معيار PCI DSS محل المتطلبات الوطنية، بل يُطبَّق إلى جانبها. فبيانات العملاء يحكمها نظام حماية البيانات الشخصية، والجهات الخاضعة لإشراف البنك المركزي السعودي تتبع إطار ساما للأمن السيبراني، والجهات ضمن نطاق الهيئة تتبع ضوابطها المنطبقة. والأدلة متداخلة إلى حد كبير، فخطط برنامجك مرة واحدة واربطه بكل متطلب.

اطّلع على خدمة الجاهزية لمعيار PCI DSS وعلى اختبار اختراق تطبيقات الويب.

الأسئلة الشائعة #

ما إصدار PCI DSS المعتمد الآن؟

الإصدار 4.0.1، وهو مراجعة محدودة للإصدار 4.0 وضّحت الصياغة دون إضافة متطلبات أو حذفها. وقد أصبحت المتطلبات المؤجلة في الإصدار 4.0 إلزامية في 31 مارس 2025.

هل ينطبق PCI DSS على التجار الصغار؟

نعم، ينطبق على كل تاجر يقبل بطاقات الدفع. ويثبت التجار الأصغر التزامهم عادة عبر استبيان التقييم الذاتي، ويحدد لك البنك أو مزوّد الدفع الاستبيان المناسب.

كيف يقلّص التاجر جهد الالتزام بالمعيار؟

بإبقاء بيانات البطاقات بعيدًا عن أنظمته: صفحات دفع مستضافة أو نماذج مضمّنة من المزوّد، والترميز، وأجهزة تشفّر البيانات لحظة إدخالها، وحذف بيانات البطاقات من البريد والجداول والتسجيلات.

هل اختبار الاختراق مطلوب؟

التجار الذين يشمل تقييمهم المتطلب 11.4 ملزمون باختبار اختراق سنويًا على الأقل وبعد التغييرات الجوهرية، إضافة إلى اختبار العزل حيث يُستخدم لتقليص النطاق.

المصادر الرسمية والمراجع #

الوثائق التي تستند إليها هذه الصفحة، بروابط إلى الجهة المصدرة. وحين تُنشر الأنظمة السعودية باللغتين فالنص العربي هو المعتمد.