香港商戶收信用卡，卡資料點樣守先合格？PCI DSS 12 項要求＋收單銀行關係實務
一、收卡嗰陣，商戶其實掂緊啲咩資料
顧客碌卡、拍卡或者網上輸入卡號嗰刻，商戶系統接觸到持卡人資料同敏感驗證資料兩類。關鍵界線係：授權完成之後，敏感驗證資料唔應該留低，例如卡背驗證碼、磁帶同晶片內的完整磁道資料。本篇只講原則，唔教人點樣抄寫或者儲存卡資料。
對一般香港商戶，最常見的現實係：實體店用支付終端機或者收單機構提供的收款安排，POS只做付款方式記錄／分類對數，卡資料本身唔經POS儲存。呢個分工必須講清，唔好寫成POS儲存卡號。收卡經收單安排，POS做記錄，實際收款經獨立渠道。
商戶要先搞清自己架構：卡資料邊度入、邊度傳、邊度停，先至知邊啲環節要守。如果商戶唔肯定卡資料有冇經自己系統，應該問收單銀行或者支付服務供應商，唔好自己估。架構唔同，合規範圍都唔同，估錯架構，後面成個對照清單都會錯。
二、PCI DSS 係咩：卡組織合約要求，唔係香港法例
PCI DSS全名係Payment Card Industry Data Security Standard，由PCI Security Standards Council維護，適用於任何儲存、處理或傳輸持卡人資料的機構。性質上係卡組織同收單合約要求，唔係香港法例。唔合規的後果經收單銀行同卡組織合約執行，唔好寫成犯法。
現行版本係v4.0.1，於2024年6月發布，屬有限修訂，冇增刪要求。v3.2.1已於2024年3月31日退役，v4.0已於2024年12月31日退役，原定未來生效的要求已於2025年3月31日起強制。商戶對照時應以v4.0.1為準，唔好引用舊版清單。
商戶分級按年交易量由各卡組織釐定、由收單銀行執行。一般商戶多數以自評問卷加按要求做掃描來驗證，每年向收單銀行提交一次。分級門檻數字各卡組織唔同，本篇唔提供具體門檻，具體問卷配對亦以收單銀行通知為準。
三、12 項要求：商戶對照清單
PCI DSS v4.0.1將12項要求歸入六大目標，本節將每項翻譯做商戶做得到的動作。第一至第四項：第一，安裝及維護網絡安全控制。第二，對所有系統組件應用安全配置，改預設密碼，唔好用原廠預設設定。第三，保護已儲存的帳戶資料。第四，以強加密保護經公開網絡傳輸的持卡人資料，唔好以明文傳卡資料。
第五至第八項：第五，保護所有系統及網絡免受惡意軟件侵害，定期更新。第六，開發及維護安全系統及軟件。第七，按業務需要知情原則限制系統組件及持卡人資料的存取，只俾有需要的員工接觸卡資料環境。第八，識別使用者並驗證系統組件存取身份，登入帳號一人一戶，唔好共用登入帳號，離職即停權。
第九至第十二項：第九，限制對持卡人資料的實體存取，鎖好放終端機同紀錄的地方。第十，記錄及監察所有系統組件及持卡人資料存取，保留紀錄。第十一，定期測試系統及網絡安全。第十二，以機構政策及計劃支援資訊保安，將以上做法寫成政策並執行。對照嗰陣，逐項問自己有冇做到，唔好只貼英文清單就算。
四、唔好儲存、唔好抄低、唔好打印完整卡號
有冇任何紙本、試算表或者POS備註欄抄低完整卡號、驗證碼、磁道資料？有即清除並改流程。授權完成之後，敏感驗證資料唔應該留低。員工唔好因為方便對數而抄卡號，對數應用交易編號同遮蔽後卡號。
收據同報表係咪只顯示遮蔽後卡號，例如只留尾數，唔好打印完整卡號。如果收據或者報表仲印緊完整卡號，要即刻同收單機構或者支付服務供應商跟進，改設定。減少經手卡資料可縮減合規範圍，詳情問收單銀行。
收卡終端機係咪收單機構或者支付服務供應商提供的合規設備，唔好自行改裝或者加裝不明裝置。發現終端機有異樣，即刻停用並通知收單銀行或者支付服務供應商，唔好自行拆開檢查。
五、香港本地脈絡：金管局兩份通函對象係發卡銀行
金管局2023年4月25日向認可機構發出兩份通函。第一份講處理未經授權支付卡交易原則。第二份講綁定支付卡作非接觸式流動支付的安全控制，要求盡快加強，最遲2023年5月31日前落實。呢啲通函對象係發卡銀行，唔係直接規管商戶，唔好寫成金管局要求商戶。
對商戶嚟講，通函的意義係背景：發卡銀行加強驗證同綁卡控制，商戶收卡流程可能會配合調整，例如顧客綁卡驗證步驟有變。商戶唔需要自行解讀通函條文，有疑問問收單銀行。香港《儲值支付工具條例》框架下，單一用途設施，即係只向發行人買貨，獲豁免。信用卡、Apple Pay等冇儲值功能的支付方式唔屬儲值支付工具，商戶自家積分同禮券安排同儲值支付工具係兩回事，以金管局最新指引為準。
商戶唔好將發卡銀行的要求直接當成商戶的合規清單，亦唔好將PCI DSS寫成香港法例。兩個框架對象唔同：PCI DSS係卡組織合約要求，金管局通函對象係認可機構。商戶的合規責任，以自己同收單銀行簽訂的合約同收單銀行通知為準。
六、收單銀行關係實務：每年一次，唔好拖到續約
商戶每年向收單銀行提交一次按架構配對的自評問卷同所需文件，唔好拖到續約先處理。提交前，商戶應按第3節12項要求逐項對照，有缺口即補，唔好等收單銀行追。
收單銀行通知係準則：分級門檻、問卷配對、掃描要求，全部以收單銀行通知為準。本篇唔提供分級門檻數字、問卷代號或者罰則金額，商戶唔好喺網上搵一個數字就當係自己適用的標準。唔合規的後果經合約執行，詳情以合約為準。
換收單銀行或者轉支付安排嗰陣，要重新確認合規範圍。新終端機、新系統、新流程會改變卡資料流向，原來的問卷答案未必啱用。商戶應主動通知收單銀行，並按新架構重新提交所需文件。平日同收單銀行保持聯絡渠道暢通，出事嗰陣先至搵到人。
七、出事點算：即刻通知收單銀行，唔好自行隱瞞
懷疑卡資料外洩或者終端機被干擾，第一時間通知收單銀行或者支付服務供應商，唔好自行隱瞞或者拖延。同時保留相關紀錄，唔好刪除系統紀錄或者重裝系統去遮蓋問題，以免破壞調查。
個人資料外洩通報詳情，可參考post-65《商戶數據備份＋網絡安全：交易記錄、顧客資料點樣備份同守好》。同時通知內部負責人，停用受影響的終端機，改用備用收款安排，唔好繼續用有異樣的設備收卡。
事後要按12項要求覆核邊個環節出事，補返缺口，更新政策，並按收單銀行要求重新提交所需文件。商戶唔好將事件當成個別員工的錯就了事，要睇成流程缺口，否則同一問題會再發生。
八、即場檢查清單＋分工講清
即場檢查清單第一組：收卡終端機係咪收單機構或者支付服務供應商提供的合規設備，有冇被改裝。有冇任何紙本、試算表或者POS備註欄抄低完整卡號、驗證碼、磁道資料。登入帳號係咪一人一戶，離職即停權，預設密碼有冇改，系統有冇定期更新。
即場檢查清單第二組：收據同報表係咪只顯示遮蔽後卡號，只留尾數，唔好打印完整卡號。一年一次向收單銀行提交自評問卷同所需文件，唔好拖到續約先處理。出事聯絡渠道係咪已經備妥，包括收單銀行同支付服務供應商的聯絡方法。
最後講清分工：POS只做付款方式記錄／分類對數，唔係直接收款，卡資料本身唔經POS儲存。商戶守卡資料，守的唔係一個文件，而係成個流程：終端機、帳號、紀錄、收據、問卷，逐項做到位。收單銀行通知係最終準則，有疑問問收單銀行，唔好自己估。
PCI DSS v4.0.1係現行版本，v3.2.1已於2024年3月31日退役，未來生效要求於2025年3月31日起強制。PCI DSS係卡組織合約要求，唔係香港法例。12項要求要逐項對照，授權完成後敏感驗證資料唔好留低，收據只顯示遮蔽後卡號。金管局2023年4月25日兩份通函對象係發卡銀行。分級門檻、問卷配對、罰則金額一律以收單銀行通知為準。
