Руководство по соответствию · Платежи картами

PCI DSS v4.0.1:
какое тестирование он требует

Ежеквартальное сканирование, ежегодный пентест, сегментация, платёжная страница: что требуют 11.3, 11.4 и 6.4, как часто, от кого — и что должно быть в отчёте.

Обновлено 7 мин чтения 14 источников
Содержание
  1. Какая версия действует и кто её требует
  2. Сканирование уязвимостей (11.3)
  3. Тесты на проникновение (11.4)
  4. Сегментация: где периметр выигрывают или теряют
  5. Веб-приложения и платёжная страница
  6. Какие тесты касаются вас — по SAQ
  7. Что должно быть в отчёте
  8. PCI DSS в Республике Молдова
  9. Как мы проводим тест PCI DSS
  10. Частые вопросы
  11. Источники

За 30 секунд

  • Действующая версия — PCI DSS v4.0.1, опубликованная 11 июня 2024 года; v4.0 выведена из обращения 31 декабря 2024 года 12.
  • 51 отложенное требование обязательно с 31 марта 2025 года — среди них внутреннее сканирование с аутентификацией и защита платёжной страницы 3.
  • Сканирование раз в три месяца (внешнее через ASV, внутреннее) и внутренний и внешний пентест раз в 12 месяцев, а также после любого значимого изменения 4.
  • Сегментация тестируется раз в 12 месяцев, у поставщиков услуг — раз в 6 месяцев 4.
  • Тестировщик не обязан быть QSA или ASV, но должен быть квалифицированным и организационно независимым 4.
Версия
v4.0.1 2
Сканирование
раз в 3 месяца 4
Пентест
раз в 12 месяцев 4
Сегментация
12 / 6 месяцев 4

Какая версия действует и кто её требует

PCI DSS — стандарт безопасности для всех, кто хранит, обрабатывает или передаёт данные карт. Действующая версия — v4.0.1, опубликованная 11 июня 2024 года как ограниченная редакция без новых или удалённых требований; v3.2.1 выведена 31 марта 2024 года, v4.0 — 31 декабря 2024 года 23. В 2026 году PCI SSC провёл публичную консультацию по будущей редакции, без объявленной даты; до тех пор v4.0.1 остаётся единственной действующей версией 112.

PCI SSC пишет стандарт, но не обеспечивает его исполнение. Кто должен проходить валидацию, на каком уровне, через SAQ или ROC и какие санкции применяются, решают платёжные системы, каждая в своей программе; практические вопросы — к банку-эквайеру 11.

Сканирование уязвимостей (11.3)

СканированиеКак частоКто
Внутреннее (11.3.1)Раз в три месяца; повтор до устранения high и criticalКвалифицированный независимый персонал; QSA или ASV не нужны 4
Внутреннее с аутентификацией (11.3.1.2)Вместе с внутренним; обязательно с 31.03.2025С достаточными привилегиями; системы без учётных данных документируются 4
Внешнее (11.3.2)Раз в три месяцаТолько одобренный PCI SSC ASV 46
После изменений (11.3.1.3, 11.3.2.1)После любого значимого измененияКвалифицированный независимый персонал; ASV не нужен 4

ASV-сканирование «проходит», если ни у одного компонента нет уязвимостей с базовой оценкой CVSS 4.0 или выше; некоторые находки проваливают проверку автоматически независимо от оценки 6. На первой оценке четыре успешных сканирования не требуются, если последнее успешно и есть документированная ежеквартальная процедура; в последующие годы — требуются 4.

Тесты на проникновение (11.4)

Требование 11.4.1 требует определённой, документированной и применяемой методологии, которая включает 45:

  • общепринятые в отрасли подходы;
  • охват всего периметра CDE и критичных систем;
  • тестирование изнутри и снаружи сети;
  • проверку сегментации и средств сокращения периметра;
  • тестирование уровня приложений, как минимум по уязвимостям из 6.2.4;
  • тестирование сетевого уровня всех компонентов и операционных систем;
  • анализ угроз и уязвимостей за последние 12 месяцев;
  • хранение результатов и исправлений не менее 12 месяцев.
ТребованиеЧто требует
11.4.2 ВнутреннийМинимум раз в 12 месяцев и после любого значимого обновления или изменения; тестирование внутри CDE и в CDE из внутренних сетей 4
11.4.3 ВнешнийТа же частота; открытый периметр и критичные системы, доступные из публичных сетей 4
11.4.4 ИсправлениеЭксплуатируемые уязвимости исправляются по риску, а тест повторяется для подтверждения 4
Кто тестируетКвалифицированный внутренний ресурс или третья сторона, организационно независимые; QSA или ASV не нужны 4

Сегментация: где периметр выигрывают или теряют

Сегментация выводит из периметра системы, не касающиеся данных карт. Но только если она работает: если сеть «вне периметра» достигает CDE, она входит в периметр со всеми требованиями. Поэтому 11.4.5 требует тестировать все методы сегментации минимум раз в 12 месяцев и после любого их изменения, подтверждая изоляцию CDE от всех систем вне периметра 4.

Веб-приложения и платёжная страница

Собственное и заказное ПО должно быть защищено от распространённых атак — требование 6.2.4 перечисляет инъекции, атаки на данные и буферы, слабую криптографию, бизнес-логику (включая XSS и CSRF), контроль доступа и аутентификацию 4. Тест на проникновение приложения проверяет это на практике (11.4.1).

ТребованиеС 31 марта 2025
6.4.2 Публичные веб-приложенияАвтоматическое решение, непрерывно обнаруживающее и блокирующее веб-атаки (по сути WAF), активное, обновляемое и журналирующее. Заменяет 6.4.1, где ежегодная оценка приложения была альтернативой 4
6.4.3 Скрипты платёжной страницыКаждый скрипт авторизован, его целостность обеспечена, он обоснован в реестре 48
11.6.1 Обнаружение измененийОповещение об изменении HTTP-заголовков и скриптов платёжной страницы в том виде, как их получает браузер; минимум еженедельно 48

SAQ A в редакции января 2025 года больше не включает 6.4.3 и 11.6.1, но добавил условие допустимости: сайт торговца не должен быть подвержен атакам через скрипты 10.

Какие тесты касаются вас — по SAQ

Анкета самооценки (SAQ) зависит от того, как вы принимаете платежи, и определяет, какие тесты нужны. Мы сверили требования к тестированию в каждом SAQ v4.0.1 4910:

Какие тесты требует от вас PCI DSS? Узнайте за пару кликов

Ориентировочно, по SAQ версии 4.0.1. Точный список определяют ваш SAQ или аудитор (QSA) и банк-эквайер.

Какова ваша роль?
Как вы принимаете оплату картами?
Используете ли вы сегментацию сети для сокращения периметра?

Что должно быть в отчёте

Руководство PCI SSC по тестам на проникновение предлагает структуру отчёта — «рекомендуемую», не обязательную, — которую узнают аудиторы 7. Внимание: руководство 2017 года и использует нумерацию v3.2.1 (пентест был 11.3, сейчас 11.4).

  1. Резюме для руководства

    Цель и основные находки кратко.

  2. Периметр

    Протестированные сети и системы, разделение CDE и остального, причина включения каждой критичной системы.

  3. Методология и ограничения

    Как тестировали и что ограничивало: временные окна, пропускная способность, устаревшие системы.

  4. Ход теста и сегментация

    Как проходил тест, включая помехи, и результаты тестов сегментации.

  5. Находки

    Можно ли и как достичь CDE, критичность, цель, ссылки CVE/CWE и описание; затем инструменты и инструкции по очистке.

  6. Отчёт о повторном тесте

    Даты первоначального и повторного теста, исходные находки и результат повторного теста 7.

PCI DSS в Республике Молдова

Национальный банк не вводит PCI DSS напрямую, но требует его в отчётности. Регламент ИКТ НБМ (ПИК № 29 от 12.02.2025, в силе с 20.03.2025) применяется к поставщикам платёжных услуг — банкам, платёжным обществам, эмитентам электронных денег — и требует включать в годовой отчёт для НБМ отчёт об оценке PCI DSS, если учреждение её проходит, вместе с результатами пентестов и сканирований (п. 82) 13.

АспектРегламент ИКТ НБМPCI DSS v4.0.1
ПентестНа критичных системах минимум раз в 3 года (п. 33.2) 13В среде карт — раз в 12 месяцев 4
ТестировщикиС международными сертификатами, напр. OSCP, CEH, GPEN (п. 33.4) 13Квалифицированные и организационно независимые 4

Как мы проводим тест PCI DSS

  1. Периметр CDE

    Начинаем со схемы потоков данных карт и SAQ или ROC; определяем, что в периметре и на чём держится сегментация.

  2. Внешний и внутренний

    Открытый периметр, затем CDE изнутри и в CDE из внутренних сетей, на сетевом и прикладном уровнях (11.4.2, 11.4.3).

  3. Сегментация

    Из каждой зоны «вне периметра» пытаемся достичь CDE (11.4.5).

  4. Отчёт по структуре PCI

    С периметром, методологией, ограничениями, находками и доказательствами, которые требует аудитор.

  5. Повторный тест

    После исправлений повторный тест подтверждает закрытие каждой эксплуатируемой уязвимости (11.4.4).

Частые вопросы

Какая версия PCI DSS действует?
PCI DSS v4.0.1, опубликованная 11 июня 2024 года. v3.2.1 выведена 31 марта 2024 года, v4.0 — 31 декабря 2024 года 23.
Как часто PCI DSS требует тест на проникновение?
Внутренний и внешний минимум раз в 12 месяцев и после любого значимого обновления или изменения инфраструктуры или приложения (11.4.2, 11.4.3) 4.
Должен ли тестировщик быть QSA или ASV?
Нет. Для пентеста и внутреннего сканирования нужен квалифицированный, организационно независимый специалист, внутренний или внешний. Только ежеквартальное внешнее сканирование (11.3.2) обязательно выполняет ASV 4.
Как часто тестируется сегментация?
Раз в 12 месяцев и после любого изменения средств сегментации; для поставщиков услуг — раз в шесть месяцев (11.4.5, 11.4.6) 4.
Может ли ежегодная оценка приложения по-прежнему заменить WAF?
Нет. С 31 марта 2025 года требование 6.4.2 требует автоматического решения, непрерывно обнаруживающего и блокирующего веб-атаки; альтернатива ежегодной оценки (6.4.1) исчезла. Приложение при этом остаётся в ежегодном пентесте через 11.4.1 4.
Какую оценку должно иметь ASV-сканирование, чтобы пройти?
Ни у одного компонента не должно быть уязвимостей с базовой оценкой CVSS 4.0 или выше; некоторые находки проваливают проверку автоматически 6.

Источники

Каждое утверждение о законе или стандарте ссылается на официальный источник. Проверено на указанную дату.

  1. PCI SSC — библиотека документовpcisecuritystandards.org · проверено 22 октября 2026 г.
  2. Блог PCI SSC: «Just Published: PCI DSS v4.0.1» (11.06.2024)pcisecuritystandards.org · проверено 22 октября 2026 г.
  3. Блог PCI SSC: отложенные требования PCI DSS v4.xpcisecuritystandards.org · проверено 22 октября 2026 г.
  4. PCI DSS v4.0.1 — SAQ D для поставщиков услуг, r2 (текст требований)pcisecuritystandards.org · проверено 22 октября 2026 г.
  5. PCI DSS v4.0.1 — шаблон отчёта о соответствии (ROC), r3pcisecuritystandards.org · проверено 22 октября 2026 г.
  6. ASV Program Guide v4.0 r2 (декабрь 2022)pcisecuritystandards.org · проверено 22 октября 2026 г.
  7. Information Supplement: Penetration Testing Guidance v1.1 (сентябрь 2017)pcisecuritystandards.org · проверено 22 октября 2026 г.
  8. Payment Page Security and Preventing E-Skimming — руководство к 6.4.3 и 11.6.1 (апрель 2025)pcisecuritystandards.org · проверено 22 октября 2026 г.
  9. PCI DSS v4.0.1 — SAQ A-EPpcisecuritystandards.org · проверено 22 октября 2026 г.
  10. PCI DSS v4.0.1 — SAQ A, r1 (январь 2025)pcisecuritystandards.org · проверено 22 октября 2026 г.
  11. PCI DSS v4.x — краткое справочное руководствоpcisecuritystandards.org · проверено 22 октября 2026 г.
  12. Блог PCI SSC: консультация (RFC) по PCI DSS v4.0.1 (2026)pcisecuritystandards.org · проверено 22 октября 2026 г.
  13. НБМ — Регламент о минимальных требованиях к управлению рисками ИКТ (ПИК № 29/2025)bnm.md · проверено 22 октября 2026 г.
  14. НБМ — Регламент об аутсорсинге для небанковских поставщиков платёжных услуг (ПИК № 28/2025)bnm.md · проверено 22 октября 2026 г.

Об авторах

Руководства пишет команда, которая проводит тесты, а не отдел маркетинга. Мы обновляем их, когда меняется закон, стандарт или то, что мы видим в тестах.

Команда Pentest.mdИнженеры по безопасности с сертификатами CEH, CISSP, CISA и CISM

Связанные руководства

Требования НБМ к ИКТРуководство по OWASP Top 10Пентест мобильных приложенийПентест или сканирование уязвимостей?Как подготовиться к пентестуРуководство по ISO 27001 и SOC 2Все руководства →

Скоро оценка PCI DSS?

Внутренние и внешние тесты на проникновение, сегментация и повторный тест с отчётом в структуре, которую узнают аудиторы.

Запросить предложение →Задать вопрос