Czym jest PCI PIN Security i kogo obowiązuje? PCI PIN Security Requirements to standard PCI SSC określający wymogi bezpiecznego zarządzania, przetwarzania i transmisji numeru PIN w transakcjach kartowych w bankomatach i terminalach POS. Obowiązuje instytucje acquiringowe oraz ich agentów odpowiedzialnych za przetwarzanie transakcji PIN, w tym procesorów, zakłady wstrzykiwania kluczy i urzędy certyfikacji.
Definicja kanoniczna: PCI PIN Security Requirements to standard PCI SSC definiujący fizyczne, logiczne i proceduralne wymogi ochrony numeru PIN oraz kluczy kryptograficznych używanych do jego zabezpieczenia w transakcjach kartowych w bankomatach i terminalach POS.
Aktualna wersja standardu to v3.1 (mar 2021). Choć numer PIN wpisuje klient przy kasie lub w bankomacie, odpowiedzialność za jego ochronę spoczywa na łańcuchu podmiotów, których klient nigdy nie widzi – i to właśnie te podmioty ocenia standard.
PCI PIN Security – w skrócie:
- Standard obejmuje 7 celów kontrolnych (Control Objectives) oraz 3 aneksy normatywne: A (zdalna dystrybucja kluczy i operacje CA/RA), B (zakłady wstrzykiwania kluczy, KIF) i C (minimalne długości i siły kluczy).
- Numer PIN musi być wprowadzany wyłącznie w urządzeniach zatwierdzonych w programie PCI PTS, a operacje kryptograficzne mogą odbywać się tylko w urządzeniach SCD (m.in. HSM zgodnych z FIPS 140-2/140-3 poziom 3 lub PCI HSM).
- Wymóg 18-3 (key blocks) wszedł w pełni w życie: faza 1 od 1 cze 2019, faza 2 od 1 sty 2023, faza 3 (hosty merchantów, POS i bankomaty) od 1 sty 2025 (biuletyny PCI SSC i Visa).
- Visa wygasiła własny program walidacji PIN Security 1 paź 2023, ale obowiązek zgodności z PCI PIN pozostał – potwierdza go ocena Qualified PIN Assessor (QPA) zakończona ROC i AOC, wykonywana co najmniej raz na 2 lata (komunikat Visa).
- Terminy wsparcia ISO PIN block format 4 (AES) zostały zawieszone przez PCI SSC w mar 2021 do czasu ustalenia ścieżki migracji z TDEA na AES w całym ekosystemie.
- Patronusec jako akredytowany QSA przygotowuje acquirerów, procesorów i dostawców usług kluczowych do ocen PCI PIN – od klasyfikacji ról i analizy luk po asystę przy ocenie QPA.
Spis treści
Czym jest standard PCI PIN Security i co obejmuje?
PCI PIN Security Requirements chroni numer PIN na całej drodze transakcji: od momentu wpisania na klawiaturze urządzenia, przez transmisję i translację między systemami, aż po weryfikację. Standard obejmuje zarówno transakcje online (PIN weryfikowany przez wydawcę), jak i offline (PIN weryfikowany przez chip karty), realizowane w bankomatach oraz nadzorowanych i nienadzorowanych terminalach POS.
Sercem standardu jest kryptografia: PIN nigdy nie występuje jawnie poza bezpiecznym urządzeniem kryptograficznym. Zaszyfrowany blok PIN (PIN block) wędruje między uczestnikami rozliczenia, a każdy węzeł pośredni dokonuje translacji – odszyfrowuje blok kluczem strefy przychodzącej i szyfruje kluczem strefy wychodzącej – wyłącznie wewnątrz modułu HSM. Dlatego wymogi standardu w większości dotyczą nie samego numeru PIN, lecz kluczy, które go chronią.
Standard sąsiaduje z innymi programami ekosystemu PCI SSC: urządzenia do wprowadzania PIN zatwierdza program PCI PTS POI, moduły HSM – program PCI PTS HSM (lub FIPS 140-2/140-3), a zarządzanie kluczami w rozwiązaniach P2PE (Domena 5 standardu P2PE) czerpie wprost z celów kontrolnych PCI PIN. Rozwiązania PIN na urządzeniach mobilnych (klasy SPoC i MPoC) mają natomiast własne, odrębne standardy.
Standard PCI PIN Security nie ocenia pojedynczego produktu, lecz środowisko operacyjne organizacji: ludzi, procedury, urządzenia kryptograficzne i cykl życia kluczy używanych do ochrony numeru PIN.
Dla kogo standard PCI PIN Security jest obowiązkowy?
Standard obowiązuje instytucje acquiringowe oraz wszystkich agentów wykonujących w ich imieniu funkcje przetwarzania transakcji PIN lub zarządzania kluczami. W praktyce oznacza to procesorów płatniczych, operatorów sieci bankomatów, zakłady wstrzykiwania kluczy, urzędy certyfikacji dla zdalnej dystrybucji kluczy oraz firmy serwisujące urządzenia PIN.
Katalog ról, które organizacje płatnicze klasyfikują jako uczestników wymogów PIN (za dokumentacją programową Visa), obejmuje m.in.:
- procesorów acquiringowych podłączonych do sieci płatniczych, wykonujących translację PIN między strefami kluczy,
- zewnętrznych dostawców usług (TPS) przechowujących, przetwarzających lub transmitujących numery kart i PIN w imieniu klientów sieci,
- organizacje ESO (Encryption and Support Organizations): zakłady wstrzykiwania kluczy (KIF), dostawców zdalnej dystrybucji kluczy, firmy wdrażające i serwisujące bankomaty, terminale POS i kioski z klawiaturami PIN,
- producentów urządzeń PED oraz zewnętrzne urzędy certyfikacji zarządzające kluczami w imieniu klientów.
Prosty test klasyfikacyjny dla Twojej organizacji:
- Czy wykonujesz translację, szyfrowanie lub deszyfrowanie bloków PIN poza własnym terminalem (np. na hoście, w HSM)?
- TAK → podlegasz celom kontrolnym 1-7 standardu.
- TAK → podlegasz celom kontrolnym 1-7 standardu.
- Czy generujesz, transportujesz, wstrzykujesz lub przechowujesz klucze chroniące PIN dla urządzeń POI albo HSM?
- TAK → podlegasz standardowi; jeżeli prowadzisz zakład wstrzykiwania kluczy, dodatkowo Aneksowi B.
- TAK → podlegasz standardowi; jeżeli prowadzisz zakład wstrzykiwania kluczy, dodatkowo Aneksowi B.
- Czy operujesz urzędem certyfikacji lub hostem dystrybucji kluczy (KDH) dla zdalnego ładowania kluczy?
- TAK → podlegasz Aneksowi A.
- TAK → podlegasz Aneksowi A.
- Odpowiedź NIE na wszystkie trzy pytania → prawdopodobnie nie jesteś podmiotem ocenianym, ale sprawdź sekcję o merchantach poniżej.
Patronusec Insight: Z naszego doświadczenia projektowego najwięcej niesklasyfikowanych obowiązków PIN Security kryje się w firmach, które nie uważają się za „instytucje płatnicze”: integratorach ATM wymieniających klawiatury EPP, serwisach terminali z dostępem do urządzeń przed wstrzyknięciem kluczy czy software house’ach hostujących aplikację translacji PIN dla procesora. Formalna klasyfikacja ról względem standardu (kto jest ESO, kto TPS, kto tylko dostawcą sprzętu) to pierwsza rzecz, którą warto zrobić przed jakąkolwiek rozmową o ocenie – bez niej nie da się ustalić ani zakresu, ani kosztów.
Czy merchant przetwarzający transakcje PIN podlega standardowi?
Typowy merchant nie jest podmiotem ocenianym według PCI PIN Security, o ile korzysta z zatwierdzonych terminali PTS, a zarządzanie kluczami pozostaje po stronie acquirera lub jego agentów. Standard adresowany jest do strony acquiringowej łańcucha, nie do punktu sprzedaży.
Od tej zasady istnieją jednak trzy istotne wyjątki:
- Merchant zarządzający własnymi kluczami. Duża sieć handlowa, która samodzielnie wstrzykuje klucze do terminali, prowadzi własny host translacji PIN albo operuje własnymi bankomatami, przejmuje obowiązki uczestnika i podlega ocenie w odpowiednim zakresie.
- Hosty merchantów a key blocks. Faza 3 wymogu 18-3 objęła od 1 sty 2025 wszystkie hosty merchantów, urządzenia POS i bankomaty – wymiana kluczy w formatach key block dotyczy więc także infrastruktury po stronie merchanta, nawet jeśli formalną odpowiedzialność za zgodność ponosi acquirer.
- PIN a PCI DSS. Niezależnie od PIN Security, merchant zawsze podlega PCI DSS – a ten w wymogu 3.3.1 zakazuje przechowywania zaszyfrowanego bloku PIN po autoryzacji jako danych SAD.
Numer PIN jest jedyną daną uwierzytelniającą transakcję, której ochronę PCI SSC reguluje osobnym, dedykowanym standardem – PCI DSS chroni dane karty, PCI PIN Security chroni proces weryfikacji posiadacza.
W praktyce oznacza to: merchant powinien wiedzieć, kto w jego łańcuchu odpowiada za klucze w terminalach, i wymagać od dostawców potwierdzenia zgodności (AOC), zamiast zakładać, że temat „dzieje się sam”.
Jak zbudowany jest standard – 7 celów kontrolnych i aneksy?
Standard porządkuje wymogi w 7 celów kontrolnych obejmujących pełen cykl życia kluczy i urządzeń, uzupełnionych trzema aneksami normatywnymi dla wyspecjalizowanych ról. Każdy wymóg ma przypisane procedury testowe, według których ocenę prowadzi asesor.
| Cel kontrolny | Zakres |
|---|---|
| 1 | PIN przetwarzany wyłącznie w bezpiecznych urządzeniach i według bezpiecznych metod (urządzenia PTS, zatwierdzone algorytmy) |
| 2 | Klucze generowane w sposób uniemożliwiający przewidzenie ich wartości (losowość, generowanie w SCD) |
| 3 | Klucze przekazywane i transmitowane w sposób bezpieczny (komponenty, klucze transportowe, key blocks) |
| 4 | Ładowanie kluczy do HSM i urządzeń POI prowadzone bezpiecznie (podwójna kontrola, urządzenia KLD) |
| 5 | Użycie kluczy zapobiegające nieautoryzowanemu wykorzystaniu (jedno przeznaczenie klucza, separacja stref) |
| 6 | Administrowanie kluczami w sposób bezpieczny (kustosze, inwentarz, wymiana, niszczenie) |
| 7 | Bezpieczne zarządzanie sprzętem przetwarzającym PIN i klucze (cykl życia HSM i POI, ochrona przed manipulacją) |
Aneksy normatywne mają rangę równą wymogom głównym:
- Aneks A – dystrybucja kluczy symetrycznych technikami asymetrycznymi (zdalna dystrybucja kluczy) oraz operacje urzędów certyfikacji i rejestracji (CA/RA),
- Aneks B – wymogi dla zakładów wstrzykiwania kluczy (KIF),
- Aneks C – minimalne i równoważne długości oraz siły kluczy dla zatwierdzonych algorytmów; w wersji 3.1 aneks przepisano dla spójności z nomenklaturą publikacji NIST (blog PCI SSC).
Podmiot oceniany rzadko podlega wszystkim częściom naraz – procesor bez własnego KIF nie wypełnia Aneksu B, a organizacja bez zdalnej dystrybucji kluczy pomija Aneks A. Szablon AOC dla PCI PIN v3.1 wprost przewiduje oznaczenie każdego celu kontrolnego jako oceniony w pełni, częściowo lub wcale, z uzasadnieniem.
Jakie terminy i zmiany obowiązują w 2026?
W 2026 r. wszystkie trzy fazy wymogu key blocks są już w mocy, terminy ISO PIN block format 4 pozostają zawieszone, a złagodzone wymogi szyfrowanego ładowania kluczy (32-9) dotyczą urządzeń POI v5 i nowszych. Kierunkiem strategicznym całego ekosystemu pozostaje migracja z TDEA na AES.
Kalendarium kluczowych dat według biuletynów PCI SSC i Visa:
| Data | Zmiana |
|---|---|
| 1 cze 2019 | Faza 1 key blocks: połączenia wewnętrzne i przechowywanie kluczy w środowiskach dostawców usług (aplikacje i bazy połączone z HSM) |
| 1 sty 2023 | Faza 2 key blocks: połączenia zewnętrzne z organizacjami i sieciami płatniczymi |
| 1 paź 2023 | Visa wygasza program Visa PIN Security; obowiązek zgodności z PCI PIN pozostaje, potwierdzany oceną QPA |
| 1 sty 2025 | Faza 3 key blocks: wszystkie hosty merchantów, urządzenia POS i bankomaty |
| zawieszone | Terminy wsparcia ISO PIN block format 4 (AES) – PCI SSC ponownie analizuje ścieżkę migracji TDEA→AES (biuletyn z mar 2021) |
| odroczone | Wymóg 32-9 (szyfrowane ładowanie kluczy): terminy przesunięte o 3 lata, zakres zawężony z POI v3+ do POI v5+ (biuletyn PCI SSC z lis 2020) |
Konsekwencja praktyczna fazy 3: wymiana kluczy metodami legacy (np. warianty kluczy bez kryptograficznego wiązania atrybutów) przestała być zgodna również na styku z merchantami i bankomatami. Formaty key block – w praktyce ANSI TR-31 dla wymiany symetrycznej i TR-34 dla dystrybucji z użyciem kryptografii asymetrycznej – wiążą z kluczem jego przeznaczenie i parametry tak, że modyfikacja atrybutów uniemożliwia użycie klucza.
Jak wygląda ocena zgodności – QPA, ROC i AOC?
Zgodność z PCI PIN Security potwierdza ocena wykonana przez Qualified PIN Assessor (QPA), udokumentowana raportem ROC i atestacją AOC według szablonów PCI SSC dla wersji 3.1. Po wygaszeniu programu Visa (1 paź 2023) to organizacje płatnicze i partnerzy biznesowi egzekwują obowiązek, a Visa wskazuje cykl co najmniej raz na 2 lata.
Elementy procesu:
- QPA – firma zakwalifikowana przez PCI SSC do ocen PIN Security; to odrębna kwalifikacja od QSA (PCI DSS) i P2PE QSA.
- ROC (Report on Compliance) – raport z oceny on-site dokumentujący wynik dla każdego celu kontrolnego i mającego zastosowanie aneksu.
- AOC (Attestation of Compliance) – atestacja podpisywana przez podmiot oceniany i asesora; szablon PCI SSC wymaga wskazania zakresu (pełny, częściowy) per cel kontrolny wraz z uzasadnieniem wyłączeń.
- Cykl 24-miesięczny – w programie Visa walidacja była wymagana co 24 miesiące; po jego wygaszeniu Visa utrzymuje, że AOC wymaga oceny QPA prowadzonej co najmniej raz na 2 lata, a dodatkowa ocena jest zasadna przy przenosinach ośrodka przetwarzania lub istotnych zmianach środowiska (np. nowy HSM).
Przygotowanie do oceny zaczyna się zwykle od analizy luk względem 7 celów kontrolnych i właściwych aneksów – Patronusec prowadzi taką analizę luk wraz z klasyfikacją ról i planem remediacji przed zaproszeniem QPA.
Mit i fakt: co się myli w temacie PCI PIN Security?
MIT: PCI DSS pokrywa ochronę numeru PIN, więc osobny standard nie jest potrzebny.
FAKT: PCI DSS zakazuje przechowywania danych SAD (w tym bloku PIN) po autoryzacji, ale nie reguluje zarządzania kluczami PIN, urządzeń SCD ani procesów wstrzykiwania kluczy – to domena PCI PIN Security.
MIT: Po wygaszeniu programu Visa (1 paź 2023) ocena PIN Security stała się dobrowolna.
FAKT: Visa wygasiła własny mechanizm proaktywnej walidacji, ale wprost potwierdziła, że uczestnicy nadal muszą spełniać wymogi PCI PIN, a AOC wymaga oceny QPA co najmniej raz na 2 lata.
MIT: Skoro terminy ISO PIN block format 4 zawieszono, migracja na AES nie dotyczy mojej organizacji.
FAKT: Zawieszenie dotyczy dat wsparcia formatu 4, nie kierunku zmian. PCI SSC analizuje ścieżkę migracji TDEA→AES dla całego ekosystemu, a Aneks C już dziś definiuje wymagane siły kluczy zgodnie z nomenklaturą NIST.
MIT: Key blocks to problem wyłącznie procesorów.
FAKT: Faza 3 wymogu 18-3 objęła od 1 sty 2025 hosty merchantów, terminale POS i bankomaty – urządzenia niezdolne do wymiany kluczy w key blocks wypadają z łańcucha akceptacji.
FAQ – PCI PIN Security
Czym różni się PCI PIN Security od PCI DSS?
PCI DSS chroni dane posiadacza karty (PAN i dane towarzyszące) w środowiskach przetwarzania. PCI PIN Security chroni numer PIN i klucze kryptograficzne używane do jego zabezpieczenia w transakcjach ATM i POS. Standardy się uzupełniają: procesor PIN zwykle podlega obu, każdemu w innym zakresie.
Kto może przeprowadzić ocenę PCI PIN Security?
Ocenę przeprowadza Qualified PIN Assessor (QPA) – firma zakwalifikowana przez PCI SSC do ocen PIN Security. Kwalifikacja QPA jest odrębna od QSA (PCI DSS) i P2PE QSA. Wynik dokumentują ROC i AOC według szablonów PCI SSC dla wersji 3.1 standardu.
Jak często trzeba powtarzać ocenę PIN Security?
Co najmniej raz na 2 lata – taki cykl wskazuje Visa po wygaszeniu własnego programu (1 paź 2023). Dodatkowa ocena jest zasadna przy przeniesieniu ośrodka przetwarzania lub istotnej zmianie środowiska, np. wdrożeniu nowego HSM. Konkretne oczekiwania mogą doprecyzowywać poszczególne organizacje płatnicze i acquirerzy.
Czy bankomaty podlegają PCI PIN Security?
Tak. Standard obejmuje przetwarzanie PIN w bankomatach i terminalach POS, a podmiotem ocenianym jest operator lub agent zarządzający kluczami i urządzeniami. Od 1 sty 2025 faza 3 wymogu key blocks objęła wymianę kluczy z bankomatami, co wymusiło aktualizacje klawiatur EPP i oprogramowania.
Czym są key blocks i dlaczego są obowiązkowe?
Key block to format przenoszenia klucza kryptograficznego, który wiąże z nim atrybuty użycia tak, że ich modyfikacja uniemożliwia wykorzystanie klucza. Wymóg 18-3 PCI PIN wprowadzał je w trzech fazach: od 1 cze 2019 (wewnętrznie), 1 sty 2023 (połączenia zewnętrzne) i 1 sty 2025 (hosty merchantów, POS, ATM).
Czy PIN wpisywany w telefonie merchanta podlega temu standardowi?
Nie wprost. Rozwiązania PIN na urządzeniach powszechnego użytku regulują odrębne standardy PCI SSC dla płatności mobilnych (klasy SPoC i MPoC), z własnymi programami walidacji. PCI PIN Security dotyczy klasycznych urządzeń PTS POI, hostów translacji i infrastruktury zarządzania kluczami.
Jak Patronusec pomaga w przygotowaniu do oceny PIN Security?
Zaczynamy od bezpłatnej rozmowy scope-assessment: klasyfikujemy rolę organizacji (procesor, ESO, KIF, CA/RA), ustalamy mające zastosowanie cele kontrolne i aneksy oraz szacujemy luki. Następnie prowadzimy analizę luk, plan remediacji i przygotowanie dokumentacji przed oceną QPA. Po scope-assessment przedstawiamy stałą wycenę.
Jak Patronusec pomaga w przygotowaniu do oceny PIN Security?
Zaczynamy od bezpłatnej rozmowy scope-assessment: klasyfikujemy rolę organizacji (procesor, ESO, KIF, CA/RA), ustalamy mające zastosowanie cele kontrolne i aneksy oraz szacujemy luki. Następnie prowadzimy analizę luk, plan remediacji i przygotowanie dokumentacji przed oceną QPA. Po scope-assessment przedstawiamy stałą wycenę.
Warto przeczytać
Ścieżka lektury dla tematu bezpieczeństwa PIN i kluczy:
- Jak wygląda zarządzanie kluczami zgodne z PCI PIN Security – top 5 zasad i top 5 błędów – operacyjne rozwinięcie celów kontrolnych standardu.
- Komponent P2PE, rozwiązanie P2PE i aplikacja P2PE – role w ekosystemie, w którym zarządzanie kluczami czerpie z PCI PIN.
- P2PE, E2EE i NESA – 3 podejścia do szyfrowania płatności – szerszy kontekst ochrony danych kartowych w tranzycie.
- MPoC, SPoC i CPoC – rewolucja w płatnościach mobilnych – jak PCI SSC reguluje PIN na urządzeniach powszechnego użytku.
- Zakres certyfikacji PCI DSS – od czego zacząć i jak go określić – styk PIN Security z zakresem PCI DSS.
PCI PIN Security – bezpłatna konsultacja
Patronusec jako akredytowany QSA wspiera acquirerów, procesorów i organizacje ESO w projektach PCI PIN Security – od klasyfikacji ról po przygotowanie do oceny QPA. Umów bezpłatną rozmowę scope-assessment.
