Ghid de conformitate · Plăți cu cardul

PCI DSS v4.0.1:
ce testare cere, concret

Scanări trimestriale, teste de penetrare anuale, segmentare, pagina de plată: ce cer cerințele 11.3, 11.4 și 6.4, cât de des, de la cine — și ce trebuie să conțină raportul.

Actualizat 8 min de citit 14 surse citate
Cuprins
  1. Ce versiune se aplică și cine o impune
  2. Scanările de vulnerabilități (11.3)
  3. Testele de penetrare (11.4)
  4. Segmentarea: unde se câștigă sau se pierde perimetrul
  5. Aplicațiile web și pagina de plată
  6. Ce teste vă privesc, după SAQ
  7. Ce trebuie să conțină raportul
  8. PCI DSS în Republica Moldova
  9. Cum facem un test PCI DSS
  10. Întrebări frecvente
  11. Surse

În 30 de secunde

  • Versiunea în vigoare e PCI DSS v4.0.1, publicată pe 11 iunie 2024; v4.0 a fost retrasă la 31 decembrie 2024 12.
  • Cele 51 de cerințe cu termen amânat sunt obligatorii din 31 martie 2025 — printre ele scanarea internă autentificată și protecția paginii de plată 3.
  • Scanări o dată la trei luni (externe prin ASV, interne) și teste de penetrare interne și externe o dată la 12 luni, plus după orice schimbare semnificativă 4.
  • Segmentarea se testează la 12 luni, iar la furnizorii de servicii la 6 luni 4.
  • Testerul nu trebuie să fie QSA sau ASV, dar trebuie să fie calificat și independent organizatoric 4.
Versiunea
v4.0.1 2
Scanări
la 3 luni 4
Pentest
la 12 luni 4
Segmentare
12 / 6 luni 4

Ce versiune se aplică și cine o impune

PCI DSS e standardul de securitate pentru oricine stochează, procesează sau transmite date de card. Versiunea în vigoare e v4.0.1, publicată pe 11 iunie 2024 ca revizie limitată, fără cerințe noi sau eliminate; v3.2.1 a fost retrasă pe 31 martie 2024, iar v4.0 pe 31 decembrie 2024 23. În 2026, PCI SSC a ținut o consultare publică pentru o revizie viitoare, fără o dată anunțată; până atunci, v4.0.1 rămâne singura versiune activă 112.

PCI SSC scrie standardul, dar nu îl impune. Cine trebuie să se valideze, la ce nivel, prin SAQ sau prin raport ROC, și ce penalități există hotărăsc mărcile de card, fiecare prin programul ei; întrebările practice merg la banca acceptatoare 11.

Scanările de vulnerabilități (11.3)

ScanareaCât de desCine
Internă (11.3.1)O dată la trei luni; rescanare până la rezolvarea celor high și criticalPersonal calificat, independent; nu e nevoie de QSA sau ASV 4
Internă autentificată (11.3.1.2)Odată cu cea internă; obligatorie din 31.03.2025Cu privilegii suficiente; sistemele fără credențiale se documentează 4
Externă (11.3.2)O dată la trei luniDoar un ASV aprobat de PCI SSC 46
După schimbări (11.3.1.3, 11.3.2.1)După orice schimbare semnificativăPersonal calificat, independent; nu trebuie ASV 4

O scanare ASV „trece” când nicio componentă nu are vulnerabilități cu scor CVSS de bază 4.0 sau mai mare; unele constatări pică automat, indiferent de scor 6. La prima evaluare nu sunt cerute patru scanări trecute, dacă ultima a trecut și există o procedură trimestrială documentată; în anii următori, da 4.

Testele de penetrare (11.4)

Cerința 11.4.1 cere o metodologie definită, documentată și aplicată, care să includă 45:

  • abordări acceptate în industrie;
  • acoperirea întregului perimetru CDE și a sistemelor critice;
  • teste din interiorul și din exteriorul rețelei;
  • validarea segmentării și a controalelor de reducere a perimetrului;
  • testarea la nivel de aplicație, cel puțin pentru vulnerabilitățile de la 6.2.4;
  • testarea la nivel de rețea, pentru toate componentele și sistemele de operare;
  • analiza amenințărilor și vulnerabilităților din ultimele 12 luni;
  • păstrarea rezultatelor și a remedierilor cel puțin 12 luni.
CerințaCe cere
11.4.2 InternCel puțin o dată la 12 luni și după orice modernizare sau schimbare semnificativă; testare în CDE și spre CDE din rețelele interne 4
11.4.3 ExternAceeași frecvență; perimetrul expus și sistemele critice accesibile din rețele publice 4
11.4.4 RemediereVulnerabilitățile exploatabile se corectează după risc, iar testul se repetă pentru a confirma corecțiile 4
Cine testeazăO resursă internă calificată sau o terță parte calificată, independentă organizatoric; nu e nevoie de QSA sau ASV 4

Segmentarea: unde se câștigă sau se pierde perimetrul

Segmentarea scoate din perimetru sistemele care nu ating datele de card. Dar doar dacă ține: dacă o rețea „din afara perimetrului” ajunge la CDE, intră în perimetru cu tot cu cerințele ei. De aceea 11.4.5 cere testarea tuturor metodelor de segmentare, cel puțin o dată la 12 luni și după orice schimbare a lor, confirmând că CDE e izolat de toate sistemele din afara perimetrului 4.

Aplicațiile web și pagina de plată

Software-ul dezvoltat intern sau la comandă trebuie apărat împotriva atacurilor comune — cerința 6.2.4 enumeră injecțiile, atacurile pe date și buffere, criptografia slabă, logica de business (inclusiv XSS și CSRF), controlul accesului și autentificarea 4. Testul de penetrare pe aplicație le verifică în practică (11.4.1).

CerințaDin 31 martie 2025
6.4.2 Aplicații web publiceO soluție automată care detectează și blochează continuu atacurile web (practic, un WAF), activă, la zi și jurnalizată. Înlocuiește 6.4.1, unde evaluarea anuală a aplicației era o alternativă 4
6.4.3 Scripturile paginii de platăFiecare script autorizat, cu integritatea asigurată și justificat într-un inventar 48
11.6.1 Detectarea modificărilorAlertă la modificarea antetelor HTTP și a scripturilor paginii de plată, așa cum le primește browserul; cel puțin săptămânal 48

SAQ A, în revizia din ianuarie 2025, nu mai cere 6.4.3 și 11.6.1, dar a adăugat o condiție de eligibilitate: site-ul comerciantului nu trebuie să fie vulnerabil la atacuri prin scripturi 10.

Ce teste vă privesc, după SAQ

Chestionarul de autoevaluare (SAQ) depinde de cum acceptați plățile, iar de el depinde ce teste trebuie făcute. Am numărat cerințele de testare din fiecare SAQ v4.0.1 4910:

Ce teste vă cere PCI DSS? Aflați în câteva clicuri

Orientativ, după SAQ-urile v4.0.1. Lista exactă o stabilesc SAQ-ul sau evaluatorul (QSA) și banca acceptatoare.

Ce rol aveți?
Cum acceptați plățile cu cardul?
Folosiți segmentarea rețelei ca să reduceți perimetrul?

Ce trebuie să conțină raportul

Ghidul PCI SSC pentru teste de penetrare propune o structură de raport — „sugerată”, nu obligatorie — pe care evaluatorii o recunosc 7. Atenție: ghidul e din 2017 și folosește numerotarea v3.2.1 (pentestul era 11.3; azi e 11.4).

  1. Rezumatul executiv

    Scopul și constatările majore, pe scurt.

  2. Perimetrul

    Rețelele și sistemele testate, separarea CDE de restul și motivul includerii fiecărui sistem critic.

  3. Metodologia și limitările

    Cum s-a testat și ce a limitat testul: ferestre orare, lățime de bandă, sisteme vechi.

  4. Narațiunea și segmentarea

    Cum a decurs testul, inclusiv interferențele, și rezultatele testelor de segmentare.

  5. Constatările

    Dacă și cum poate fi atins CDE-ul, gravitatea, ținta, referințele CVE/CWE și descrierea; apoi uneltele folosite și instrucțiunile de curățare.

  6. Raportul de re-test

    Data testului inițial și a re-testului, constatările inițiale și rezultatul re-testului 7.

PCI DSS în Republica Moldova

Banca Națională nu impune PCI DSS direct, dar îl cere în raportare. Regulamentul TIC al BNM (HCE nr. 29 din 12.02.2025, în vigoare din 20.03.2025) se aplică prestatorilor de servicii de plată — bănci, societăți de plată, emitenți de monedă electronică — și cere ca raportul anual către BNM să includă raportul de evaluare PCI DSS, acolo unde instituția e supusă unei astfel de evaluări, alături de rezultatele testelor de penetrare și ale scanărilor (pct. 82) 13.

AspectulBNM, Regulamentul TICPCI DSS v4.0.1
PentestPe sistemele critice, cel puțin o dată la 3 ani (pct. 33.2) 13În mediul de card, o dată la 12 luni 4
TesteriiCu certificări internaționale, ex. OSCP, CEH, GPEN (pct. 33.4) 13Calificați și independenți organizatoric 4

Cum facem un test PCI DSS

  1. Perimetrul CDE

    Pornim de la diagrama fluxului de date de card și de la SAQ sau ROC; stabilim ce e în perimetru și ce susține segmentarea.

  2. Extern și intern

    Perimetrul expus, apoi CDE din interior și spre CDE din rețelele interne, pe straturile de rețea și aplicație (11.4.2, 11.4.3).

  3. Segmentarea

    Din fiecare zonă declarată „în afara perimetrului”, încercăm să ajungem la CDE (11.4.5).

  4. Raport pe structura PCI

    Cu perimetrul, metodologia, limitările, constatările și dovezile pe care le cere evaluatorul.

  5. Re-test

    După corecții, re-testul confirmă închiderea fiecărei vulnerabilități exploatabile (11.4.4).

Întrebări frecvente

Ce versiune PCI DSS e în vigoare?
PCI DSS v4.0.1, publicată pe 11 iunie 2024. v3.2.1 a fost retrasă pe 31 martie 2024, iar v4.0 pe 31 decembrie 2024 23.
Cât de des cere PCI DSS un test de penetrare?
Intern și extern cel puțin o dată la 12 luni și după orice modernizare sau schimbare semnificativă de infrastructură sau aplicație (11.4.2, 11.4.3) 4.
Trebuie ca testerul să fie QSA sau ASV?
Nu. Pentru testul de penetrare și scanările interne se cere o persoană calificată, internă sau externă, independentă organizatoric. Doar scanarea externă trimestrială (11.3.2) se face obligatoriu de un ASV 4.
Cât de des se testează segmentarea?
O dată la 12 luni și după orice schimbare a controalelor de segmentare; pentru furnizorii de servicii, o dată la șase luni (11.4.5, 11.4.6) 4.
Mai poate o evaluare anuală a aplicației să înlocuiască WAF-ul?
Nu. Din 31 martie 2025, cerința 6.4.2 cere o soluție automată care detectează și blochează continuu atacurile web; alternativa evaluării anuale (6.4.1) a dispărut. Aplicația rămâne însă în testul de penetrare anual, prin 11.4.1 4.
Ce scor trebuie să aibă o scanare ASV ca să treacă?
Nicio componentă nu trebuie să aibă vulnerabilități cu scor CVSS de bază 4.0 sau mai mare; unele constatări pică automat, indiferent de scor 6.

Surse

Fiecare afirmație despre lege sau standard trimite la sursa ei oficială. Consultate la data indicată.

  1. PCI SSC — biblioteca de documentepcisecuritystandards.org · consultat 22 octombrie 2026
  2. Blogul PCI SSC: „Just Published: PCI DSS v4.0.1” (11.06.2024)pcisecuritystandards.org · consultat 22 octombrie 2026
  3. Blogul PCI SSC: cerințele cu termen amânat ale PCI DSS v4.xpcisecuritystandards.org · consultat 22 octombrie 2026
  4. PCI DSS v4.0.1 — SAQ D pentru furnizori de servicii, r2 (textul cerințelor)pcisecuritystandards.org · consultat 22 octombrie 2026
  5. PCI DSS v4.0.1 — șablonul raportului de conformitate (ROC), r3pcisecuritystandards.org · consultat 22 octombrie 2026
  6. ASV Program Guide v4.0 r2 (decembrie 2022)pcisecuritystandards.org · consultat 22 octombrie 2026
  7. Information Supplement: Penetration Testing Guidance v1.1 (septembrie 2017)pcisecuritystandards.org · consultat 22 octombrie 2026
  8. Payment Page Security and Preventing E-Skimming — ghid pentru 6.4.3 și 11.6.1 (aprilie 2025)pcisecuritystandards.org · consultat 22 octombrie 2026
  9. PCI DSS v4.0.1 — SAQ A-EPpcisecuritystandards.org · consultat 22 octombrie 2026
  10. PCI DSS v4.0.1 — SAQ A, r1 (ianuarie 2025)pcisecuritystandards.org · consultat 22 octombrie 2026
  11. PCI DSS v4.x — ghidul de referință rapidăpcisecuritystandards.org · consultat 22 octombrie 2026
  12. Blogul PCI SSC: consultarea (RFC) privind PCI DSS v4.0.1 (2026)pcisecuritystandards.org · consultat 22 octombrie 2026
  13. BNM — Regulamentul privind cerințele minime pentru gestionarea riscurilor TIC (HCE nr. 29/2025)bnm.md · consultat 22 octombrie 2026
  14. BNM — Regulamentul privind externalizarea pentru prestatorii de servicii de plată nebancari (HCE nr. 28/2025)bnm.md · consultat 22 octombrie 2026

Despre autori

Ghidurile le scrie echipa care face testele, nu un departament de marketing. Le actualizăm când se schimbă legea, standardul sau ce vedem în teste.

Echipa Pentest.mdIngineri de securitate cu certificări CEH, CISSP, CISA și CISM

Ghiduri conexe

Cerințele BNM pentru TICGhidul OWASP Top 10Pentest pentru aplicații mobilePentest sau scanare de vulnerabilități?Cum vă pregătiți pentru un pentestGhidul ISO 27001 și SOC 2Toate ghidurile →

Aveți evaluarea PCI DSS în față?

Teste de penetrare interne și externe, segmentare și re-test, cu raport pe structura pe care o recunoaște evaluatorul.

Solicitați o ofertă →Scrieți-ne o întrebare