Jak wygląda certyfikacja PCI 3DS? Certyfikacja PCI 3DS to ocena środowiska, w którym działają komponenty ACS, DS lub 3DS Server, względem standardu PCI 3DS Core Security Standard v1.0. Standard składa się z części bazowej (Part 1) i wymogów specyficznych dla 3DS (Part 2); ocenę prowadzi kwalifikowany asesor 3DS, a wynik dokumentują ROC i AOC.
Definicja kanoniczna: Certyfikacja PCI 3DS to formalna ocena środowiska 3DE (3DS Data Environment) względem wymogów PCI 3DS Core Security Standard, wykonywana przez kwalifikowanego asesora 3DS i potwierdzana raportem ROC oraz atestacją AOC.
Ścieżka wygląda inaczej dla organizacji, która ma już certyfikowane środowisko PCI DSS, i dla tej, która zaczyna od zera. Ten artykuł opisuje oba scenariusze krok po kroku wraz z najczęstszymi problemami.
Certyfikacja PCI 3DS – w skrócie:
- Standard PCI 3DS Core Security Standard v1.0 dotyczy podmiotów wykonujących funkcje ACS, DS lub 3DS Server – nie zwykłych merchantów.
- Part 1 (Baseline Security Requirements) chroni środowisko 3DE i przypomina strukturą PCI DSS; Part 2 (3DS Security Requirements) obejmuje kontrole specyficzne dla danych i procesów 3DS.
- Ważna ocena PCI DSS może zostać wykorzystana do spełnienia Part 1 – w AOC PCI 3DS zaznacza się wtedy „In Place per PCI DSS” dla wymogów części bazowej.
- Ocenie towarzyszy PCI 3DS Data Matrix identyfikujący elementy danych 3DS, w tym dane wrażliwe podlegające szczególnej ochronie.
- Certyfikacja PCI 3DS jest odrębna od aprobaty produktu w EMVCo – obejmuje środowisko i procesy, nie zgodność funkcjonalną komponentu z protokołem.
- Patronusec jako akredytowany QSA prowadzi dostawców przez pełen proces PCI 3DS – od wyznaczenia granic środowiska 3DE po ocenę i AOC.
Spis treści
Czym jest certyfikacja PCI 3DS i kogo dotyczy?
Certyfikacja PCI 3DS ocenia bezpieczeństwo środowiska, w którym wykonywane są funkcje ACS, DS lub 3DS Server, oraz systemów mających na nie wpływ. Standard PCI 3DS Core Security Standard v1.0 opisuje wymogi i procedury oceny dla tych trzech komponentów rdzeniowych EMV 3DS – nie dotyczy natomiast zwykłych sprzedawców korzystających z 3DS.
Podmiotem ocenianym (3DS entity) jest organizacja, która wykonuje przynajmniej jedną z funkcji rdzeniowych: operator ACS (zwykle w imieniu banków wydawców), operator DS (sieci płatnicze) lub operator 3DS Servera (bramki, acquirerzy, wyspecjalizowani dostawcy). Środowisko podlegające ocenie to 3DE (3DS Data Environment) – systemy wykonujące funkcje 3DS oraz połączone z nimi lub mające na nie wpływ.
Standard powstał, aby wesprzeć wymogi protokołu EMV 3DS od strony bezpieczeństwa operacyjnego. Uzupełnia go PCI 3DS Data Matrix – dokument identyfikujący elementy danych typowych dla transakcji 3DS, w tym dane wrażliwe (3DS sensitive data) podlegające szczególnym wymogom ochrony.
Certyfikacja PCI 3DS ocenia środowisko i procesy podmiotu wykonującego funkcje ACS, DS lub 3DS Server, natomiast aprobata EMVCo ocenia zgodność samego produktu z protokołem – to dwie odrębne, uzupełniające się ścieżki.
W praktyce oznacza to: organizacja wchodząca na rynek usług 3DS potrzebuje obu potwierdzeń – EMVCo dla produktu i PCI 3DS dla środowiska – a dodatkowo rejestracji w programach poszczególnych sieci płatniczych.
Z czego składa się standard – Part 1 i Part 2?
Standard PCI 3DS dzieli się na dwie części: Part 1 to bazowe wymogi bezpieczeństwa chroniące środowisko 3DE, a Part 2 to wymogi specyficzne dla danych, technologii i procesów 3DS. Obie części ocenia asesor 3DS, ale mają różny charakter i różne źródła.
Part 1 – Baseline Security Requirements. Techniczne i operacyjne wymogi chroniące środowisko 3DE, oparte na ogólnych zasadach bezpieczeństwa informacji wspólnych dla wielu standardów. Strukturą i charakterem przypominają ocenę PCI DSS: kontrola dostępu, zarządzanie podatnościami, segmentacja, monitoring, polityki. To warstwa „higieny bezpieczeństwa” środowiska.
Part 2 – 3DS Security Requirements. Kontrole zaprojektowane wprost dla ochrony danych i procesów 3DS: zabezpieczenie danych wrażliwych zdefiniowanych w Data Matrix, ochrona kluczy kryptograficznych protokołu w modułach HSM, kontrole specyficzne dla przepływów uwierzytelnienia i współpracy komponentów. To warstwa niekopiowalna z innych standardów – istota certyfikacji PCI 3DS.
Metodyka oceny jest klasyczna dla PCI: asesor bada dowody (dokumenty, zrzuty ekranu, pliki konfiguracyjne, logi), obserwuje działania w środowisku i weryfikuje stan faktyczny. Każdy wymóg otrzymuje status „in place”, „not in place” lub „not applicable” z uzasadnieniem.
Part 1 standardu PCI 3DS odpowiada na pytanie „czy środowisko jest bezpieczne w ogóle”, a Part 2 na pytanie „czy dane i procesy 3DS są chronione w sposób specyficzny dla protokołu” – i to Part 2 stanowi rdzeń, którego nie da się pokryć innym standardem.
Jak wygląda certyfikacja, gdy masz już środowisko PCI DSS?
Gdy środowisko 3DE mieści się w certyfikowanym środowisku PCI DSS (CDE), ważna ocena PCI DSS może posłużyć do spełnienia Part 1 standardu PCI 3DS. W AOC PCI 3DS zaznacza się wtedy dla wymogów Part 1 status „In Place per PCI DSS”, a właściwa ocena koncentruje się na Part 2.
Ścieżka krok po kroku dla organizacji z ważnym PCI DSS:
- Wyznaczenie granic 3DE i sprawdzenie, czy w całości mieści się w certyfikowanym CDE – to warunek wykorzystania oceny PCI DSS dla Part 1.
- Weryfikacja aktualności i zakresu PCI DSS – ocena musi być ważna i obejmować systemy tworzące środowisko 3DE.
- Mapowanie Part 1 na wyniki PCI DSS – asesor potwierdza, że ocena PCI DSS pokrywa wymogi bazowe; tam gdzie są luki (np. wymóg specyficzny dla 3DE nieujęty w zakresie DSS), uzupełnia ocenę.
- Właściwa ocena Part 2 – pełne badanie wymogów specyficznych dla 3DS: dane wrażliwe z Data Matrix, klucze protokołu w HSM, przepływy uwierzytelnienia.
- Dokumentacja ROC i AOC – raport z oceny i atestacja według szablonów PCI 3DS v1.0, z zaznaczeniem, które wymogi Part 1 spełniono przez PCI DSS.
Korzyść jest wymierna: organizacja unika powtarzania pełnej oceny warstwy bazowej i koncentruje wysiłek na Part 2. Warunek jest jednak twardy – 3DE musi realnie mieścić się w zakresie PCI DSS, a nie tylko z nim sąsiadować.
Patronusec Insight: Z naszego doświadczenia projektowego wynika, że wykorzystanie PCI DSS dla Part 1 najczęściej rozbija się nie o samą zgodność, lecz o granice zakresu. Zdarza się, że środowisko 3DE dzieli infrastrukturę z CDE tylko częściowo – część systemów 3DS leży poza zakresem ostatniej oceny DSS. Wtedy „oszczędność” na Part 1 okazuje się pozorna, bo asesor i tak musi doocenić systemy spoza DSS. Zanim założysz, że PCI DSS pokryje Part 1, zweryfikuj, czy KAŻDY system 3DE był w zakresie ostatniego ROC PCI DSS – to pytanie za kilka dni pracy, które oszczędza tygodnie.
Masz certyfikat PCI DSS i chcesz sprawdzić, czy pokryje Part 1 certyfikacji PCI 3DS?
Patronusec wykonuje scope-mapping 3DE vs CDE: porównujemy granice Twojego środowiska 3DS z zakresem ostatniej oceny PCI DSS i wskazujemy systemy wymagające doocenienia w Part 1. W ciągu 10 dni roboczych otrzymujesz pisemną mapę pokrycia i listę luk.
Zamów scope-mapping 3DE vs CDE
Jak wygląda certyfikacja bez środowiska PCI DSS?
Bez ważnej oceny PCI DSS organizacja przechodzi pełną ocenę obu części standardu: Part 1 i Part 2 są badane od zera przez asesora 3DS. Ścieżka jest dłuższa, bo obejmuje pełną warstwę bazową, ale za to nie wymaga wcześniejszej zgodności z żadnym innym standardem.
Ścieżka krok po kroku dla organizacji bez PCI DSS:
- Klasyfikacja roli i wyznaczenie granic 3DE – ustalenie, którą funkcję (ACS, DS, 3DS Server) organizacja wykonuje i które systemy tworzą środowisko oceny.
- Analiza luk (gap analysis) względem pełnego standardu – Part 1 i Part 2 razem; to na tym etapie wychodzą braki w rodzaju niepełnej segmentacji, nieuporządkowanego zarządzania kluczami protokołu czy luk w monitoringu.
- Remediacja – wdrożenie brakujących kontroli warstwy bazowej (dostęp, podatności, logowanie) i kontroli specyficznych dla 3DS (ochrona danych wrażliwych, klucze w HSM).
- Właściwa ocena Part 1 i Part 2 – pełne badanie wszystkich wymogów obu części z badaniem dowodów, obserwacją i weryfikacją stanu faktycznego.
- Dokumentacja ROC i AOC – raport i atestacja obejmujące komplet wymogów standardu.
Wybór między ścieżkami nie zawsze jest oczywisty. Organizacja bez PCI DSS, która i tak przetwarza dane kartowe, często rozważa równoległą certyfikację PCI DSS – nie tylko dla Part 1, lecz dlatego, że przetwarzanie danych karty i tak podlega temu standardowi z mocy zasad sieci płatniczych. Decyzję warto podjąć na mapie zależności, nie na samym koszcie pojedynczej oceny.
Drzewo decyzyjne – którą ścieżką iść:
- Czy masz ważną, aktualną ocenę PCI DSS?
- NIE → przejdź do pytania 3.
- TAK → przejdź do pytania 2.
- Czy całe środowisko 3DE mieści się w zakresie tej oceny PCI DSS?
- TAK → ścieżka z wykorzystaniem PCI DSS dla Part 1; skup ocenę na Part 2.
- NIE → ścieżka mieszana: PCI DSS pokrywa część Part 1, resztę i Part 2 ocenia się osobno.
- Czy Twoje środowisko przetwarza dane kartowe podlegające PCI DSS?
- TAK → rozważ równoległą certyfikację PCI DSS (i tak wymaganą), potem PCI 3DS z wykorzystaniem jej dla Part 1.
- NIE → pełna ocena PCI 3DS (Part 1 + Part 2) bez PCI DSS.
Jakie są najczęstsze problemy i wyzwania w certyfikacji PCI 3DS?
Najczęstsze problemy dotyczą trzech obszarów: błędnego wyznaczenia granic środowiska 3DE, niepełnego wykorzystania PCI DSS dla Part 1 oraz niedoszacowania wymogów ochrony kluczy protokołu w Part 2. Każdy z nich potrafi wydłużyć projekt lub zablokować ocenę.
Najczęstsze błędy praktyków:
❌ Zbyt wąskie wyznaczenie granic 3DE – pominięcie systemów wspierających (paneli administracyjnych, zarządzania HSM, monitoringu), które asesor i tak włączy do zakresu, bo mają wpływ na funkcje 3DS.
❌ Założenie, że PCI DSS automatycznie pokrywa cały Part 1 – bez weryfikacji, czy każdy system 3DE był w zakresie ostatniego ROC PCI DSS; luki w pokryciu wychodzą dopiero na ocenie.
❌ Niedoszacowanie ochrony kluczy protokołu – klucze DS i inne materiały kryptograficzne 3DS wymagają zarządzania w HSM i procedur na poziomie oczekiwanym przez Part 2; improwizowane zarządzanie kluczami to częsta niezgodność.
❌ Mylenie certyfikacji środowiska z aprobatą produktu – organizacja zdobywa Letter of Approval w EMVCo i zakłada, że „ma 3DS”, pomijając odrębną ocenę PCI 3DS środowiska.
❌ Pominięcie danych wrażliwych z Data Matrix – nierozpoznanie, które przetwarzane elementy danych są klasyfikowane jako 3DS sensitive data i podlegają szczególnej ochronie.
❌ Traktowanie PCI 3DS jako jednorazowego projektu – bez zaplanowania utrzymania zgodności i cyklu ponownych ocen wymaganego przez sieci płatnicze.
Największym pojedynczym ryzykiem w certyfikacji PCI 3DS jest źle wyznaczona granica środowiska 3DE – błąd na tym etapie propaguje się na cały projekt, bo determinuje, które systemy w ogóle podlegają ocenie.
Ile trwa i jak zaplanować projekt certyfikacji PCI 3DS?
Czas trwania zależy przede wszystkim od stanu wyjściowego i od tego, czy organizacja korzysta z PCI DSS dla Part 1. Projekt z ważnym, dobrze zmapowanym PCI DSS jest krótszy, bo ocena koncentruje się na Part 2; projekt od zera obejmuje pełną warstwę bazową i remediację.
Typowe fazy projektu, niezależnie od ścieżki:
- Scoping – wyznaczenie granic 3DE, klasyfikacja roli, ustalenie, czy i jak wykorzystać PCI DSS dla Part 1.
- Gap analysis – porównanie stanu obecnego z mającymi zastosowanie wymogami; im wcześniej, tym mniej niespodzianek na ocenie.
- Remediacja – zamknięcie luk; zwykle najdłuższa i najmniej przewidywalna faza, szczególnie w obszarze kluczy i segmentacji.
- Ocena właściwa – badanie dowodów, obserwacja, weryfikacja przez asesora 3DS.
- Dokumentacja i AOC – ROC i atestacja; reporting i submission zgodnie z procedurami poszczególnych sieci płatniczych.
Praktyczna rekomendacja: nie zaczynaj od zamawiania oceny, lecz od scopingu i gap analysis. Zamówienie oceny na niezweryfikowanym zakresie to najczęstsza przyczyna sytuacji, w której ocena odkrywa braki zamiast je potwierdzać, a projekt wraca do fazy remediacji z opóźnieniem.
Patronusec prowadzi organizacje przez wszystkie fazy w ramach usługi certyfikacji PCI 3DS, a tam gdzie w grę wchodzi równoległy PCI DSS – łączy oba procesy, by wykorzystać synergię między Part 1 a oceną DSS.
Planujesz certyfikację PCI 3DS i nie wiesz, którą ścieżką iść?
Patronusec prowadzi scope-assessment PCI 3DS: w 30-minutowej bezpłatnej rozmowie klasyfikujemy Twoją rolę (ACS, DS, 3DS Server), ustalamy, czy i jak wykorzystać PCI DSS dla Part 1, i szacujemy zakres remediacji. Po rozmowie otrzymujesz pisemne podsumowanie z rekomendowaną ścieżką i realistycznym harmonogramem.
Umów bezpłatny scope-assessment
FAQ
Czy certyfikacja PCI 3DS zastępuje aprobatę EMVCo?
Nie. To dwie odrębne, uzupełniające się ścieżki. Aprobata EMVCo potwierdza zgodność produktu (ACS, DS, 3DS Server, SDK) z protokołem i kończy się Letter of Approval. Certyfikacja PCI 3DS ocenia bezpieczeństwo środowiska i procesów i kończy się ROC oraz AOC. Operator usług 3DS potrzebuje obu.
Czy każdy operator 3DS Servera musi mieć PCI 3DS?
Tak, jeżeli wykonuje funkcje rdzeniowe 3DS. Standard PCI 3DS dotyczy podmiotów wykonujących funkcje ACS, DS lub 3DS Server. Konkretne oczekiwania co do zakresu i terminów potwierdzenia zgodności określają dodatkowo programy poszczególnych sieci płatniczych, dlatego warto zweryfikować je u swoich partnerów rozliczeniowych.
Czy mogę użyć jednego audytu PCI DSS dla wielu środowisk 3DE?
Tylko dla tych systemów 3DE, które faktycznie były w zakresie danej oceny PCI DSS. Jeśli część środowiska 3DS leży poza zakresem ostatniego ROC PCI DSS, te systemy wymagają odrębnego badania Part 1. Kluczowe jest precyzyjne mapowanie granic 3DE względem zakresu PCI DSS przed rozpoczęciem oceny.
Kto może przeprowadzić ocenę PCI 3DS?
Kwalifikowany asesor 3DS – firma i osoby zakwalifikowane przez PCI SSC do ocen PCI 3DS. To odrębna kwalifikacja, choć powiązana z ekosystemem QSA. Wynik dokumentują ROC i AOC według szablonów PCI 3DS v1.0. Patronusec jako akredytowany QSA prowadzi projekty PCI 3DS wraz z przygotowaniem środowiska do oceny.
Jak długo trwa certyfikacja PCI 3DS?
Czas zależy od stanu wyjściowego, roli (ACS, DS, 3DS Server) i tego, czy wykorzystujesz PCI DSS dla Part 1. Projekt z dobrze zmapowanym, ważnym PCI DSS jest krótszy, bo koncentruje się na Part 2; projekt od zera obejmuje pełną warstwę bazową i remediację. Realistyczny harmonogram ustalamy po scope-assessment.
Ile kosztuje certyfikacja PCI 3DS w Patronusec?
Cena zależy od roli, wielkości i stanu środowiska 3DE oraz tego, czy korzystasz z PCI DSS dla Part 1. Po bezpłatnej rozmowie scope-assessment przedstawiamy stałą wycenę obejmującą scoping, analizę luk, wsparcie remediacji i ocenę. Dla klientów certyfikujących u nas równolegle PCI DSS oferujemy pakiety łączące oba procesy.
Jak rozpocząć współpracę z Patronusec w obszarze PCI 3DS?
Pierwszym krokiem jest bezpłatna 30-minutowa rozmowa scope-assessment: klasyfikujemy rolę, wyznaczamy wstępne granice 3DE i ustalamy ścieżkę względem PCI DSS. Następnie proponujemy plan – scoping, gap analysis, remediacja, ocena. Formularz kontaktowy znajdziesz na stronie usługi certyfikacji PCI 3DS.
Warto przeczytać
Ścieżka lektury dla tematu certyfikacji 3DS:
- Czym jest 3D Secure (3DS) – role ACS, DS i 3DS Server – fundament: komponenty i przepływ protokołu.
- Czym jest 3DS SDK – wymogi i zastosowania – komponent na urządzeniu i jego odrębna ścieżka bezpieczeństwa.
- Zakres certyfikacji PCI DSS – od czego zacząć i jak go określić – jak wyznaczyć CDE, którego zakres może pokryć Part 1.
- Jak wybrać assessora PCI DSS (QSA) – kryteria wyboru asesora, przydatne też przy PCI 3DS.
Certyfikacja PCI 3DS – bezpłatna konsultacja
Patronusec jako akredytowany QSA łączy rolę audytora z doświadczeniem projektowym w środowiskach płatniczych – pracujemy z klientami z sektorów fintech, e-commerce i finansowego. W bezpłatnej 30-minutowej konsultacji pomożemy Ci:
- sklasyfikować rolę (ACS, DS, 3DS Server) i wyznaczyć wstępne granice środowiska 3DE,
- ustalić, czy i jak wykorzystać ważną ocenę PCI DSS dla Part 1,
- oszacować zakres remediacji i realistyczny harmonogram oceny,
- zaplanować synergię z równoległą certyfikacją PCI DSS, jeśli ma zastosowanie.
Umów konsultację | Certyfikacja PCI 3DS | Certyfikacja PCI DSS | Analiza luk PCI | Certyfikacja PCI
