Abbiamo un sistema interno e sto cercando di determinare se il sistema è in ambito ai fini della conformità PCI-DSS.
Il sistema è completamente interno, nessun accesso pubblico. Il sistema contiene le informazioni dell'utente che includono un numero di conto. È possibile che questo numero di conto sia un PAN di una carta di credito, anche se non sappiamo realmente se lo è o non lo è. Il sistema non elabora o accetta pagamenti.
È sufficiente per rendere questo sistema in ambito PCI?
Il tuo sistema memorizza , trasmetti , elabora i dati del titolare della carta insieme al numero PAN?
Se rispondi affermativamente ad almeno una istruzione, il tuo sistema è in ambito e dovrà essere conforme allo standard PCI.
It is possible that this account number might be an PAN from a credit card
Non ti sembra chiaro quale sia il numero di questo account, ma se ti aiuta a capire l'ambito della conformità:
se 1 / n numero account è un PAN completo, allora il tuo sistema è in ambito.
se nessun numero di account è un PAN completo, allora il tuo sistema è fuori ambito
Tieni presente che le affermazioni sopra riportate si applicano ai numeri del tuo account (potrebbe essere un PAN) che vengono memorizzati, trasmessi o elaborati dal tuo sistema.
Anche se non elabori o esegui il pagamento e il tuo store PAN per qualsiasi scopo (numero di conto) il tuo sistema sarà incluso.
Citando da PCI-DSS Requisiti e procedure di valutazione della sicurezza versione 2.0 (pagina 5):
PCI DSS applies to all entities involved in payment card processing – including merchants, processors, acquirers, issuers, and service providers, as well as all other entities that store, process or transmit cardholder data.
D'altra parte, sembra che tu abbia un numero di conto che può essere o meno una carta di credito PAN e il tuo sistema non elabora i pagamenti. Considerato questo, direi che non è necessario essere conformi allo standard PCI.
Pensaci in questo modo:
Se la tua risposta è sì per uno dei precedenti, fa parte dell'ambito.
Leggi altre domande sui tag pci-dss