PCI DSS ב-2026: כך נקבעת רמת הארגון ומה דורשת Mastercard
תקן PCI DSS נועד להגן על נתוני כרטיסי תשלום בסביבות שבהן המידע נשמר, מעובד או מועבר. התקן כולל דרישות טכנולוגיות ותפעוליות בתחומים כמו בקרת גישה, ניהול חולשות, הצפנה, ניטור, בדיקות אבטחה, מדיניות ותגובה לאירועים. נכון ליולי 2026, הגרסה הפעילה היא PCI DSS v4.0.1.
אחת השאלות הנפוצות ביותר בקרב ארגונים היא: מהי רמת ה־PCI שלנו?
כדי לענות על השאלה, צריך להבחין בין שני מרכיבים שונים:
- דרישות האבטחה של תקן PCI DSS.
- רמת האימות והדיווח שנקבעת לארגון.
הרמות אינן דרגות המעידות על כך שארגון אחד מאובטח יותר מארגון אחר. הן משמשות בעיקר לקביעת תהליך האימות: האם הארגון רשאי לבצע הערכה עצמית, האם עליו לעבור בדיקה מלאה, ואילו מסמכים עליו להגיש לסולק.
חשוב לדעת: הרמות אינן נקבעות על ידי PCI SSC
מועצת PCI Security Standards Council מפתחת ומתחזקת את תקן PCI DSS ואת מסמכי ההערכה הנלווים אליו. עם זאת, המועצה אינה קובעת את רמות בתי העסק או את חובות הדיווח הספציפיות שלהם.
רמות בתי העסק ודרישות האימות נקבעות על ידי מותגי כרטיסי התשלום, הבנקים הסולקים וגורמים אחרים האוכפים את דרישות הציות. לכן ייתכנו הבדלים מסוימים בין תוכניות האימות של Visa, Mastercard ומותגים נוספים.
החלוקה הבאה מבוססת על תוכנית Site Data Protection של Mastercard, והיא מייצגת מודל מקובל להבנת הרמות.
טבלת רמות PCI DSS לבתי עסק
| רמה | היקף עסקאות שנתי | מסלול אימות נפוץ |
|---|---|---|
| Level 1 | יותר מ־6 מיליון עסקאות בשנה | הערכת PCI DSS שנתית מלאה והכנת ROC |
| Level 2 | יותר ממיליון ועד 6 מיליון עסקאות בשנה | בדרך כלל SAQ שנתי, ולעיתים אימות נוסף |
| Level 3 | יותר מ־20,000 ועד מיליון עסקאות מסחר אלקטרוני בשנה | בדרך כלל SAQ שנתי |
| Level 4 | כל יתר בתי העסק | בדרך כלל SAQ בהתאם לסביבה ולדרישת הסולק |
הסיווג נקבע בדרך כלל לפי היקף העסקאות בתקופה של 12 חודשים או 52 השבועות האחרונים. גורם סולק או מותג תשלום יכול לדרוש מארגון לעבור למסלול מחמיר יותר גם בשל רמת סיכון, אירוע אבטחה או שיקולים אחרים.
Level 1: ארגונים בעלי היקף עסקאות גדול
Level 1 מיועד, לפי תוכנית Mastercard, לבתי עסק המבצעים יותר משישה מיליון עסקאות Mastercard ו־Maestro בשנה. גם בית עסק שעומד בתנאי Level 1 של Visa או שהוגדר על ידי Mastercard כבעל סיכון גבוה יותר עשוי להיכלל ברמה זו.
ברוב המקרים, ארגון ברמה זו נדרש לעבור הערכת PCI DSS שנתית מלאה, שבסיומה מופק:
- ROC – Report on Compliance
- AOC – Attestation of Compliance
ROC הוא דוח מפורט המתעד את תוצאות ההערכה ואת אופן העמידה בדרישות התקן. AOC הוא מסמך ההצהרה הרשמי על תוצאות ההערכה.
בהתאם לתוכנית האימות ולדרישות הסולק, הבדיקה עשויה להתבצע באמצעות QSA, כלומר Qualified Security Assessor, באמצעות ISA מוסמך או במסלול אחר שאושר לארגון.
Level 2: בין מיליון לשישה מיליון עסקאות
Level 2 מיועד בדרך כלל לבתי עסק המבצעים יותר ממיליון אך לא יותר משישה מיליון עסקאות בשנה. מסלול האימות המקובל הוא מילוי שאלון הערכה עצמית שנתי, SAQ, בהתאם למבנה סביבת התשלום.
עם זאת, אין להסיק מכך שכל ארגון ברמה 2 יכול להסתפק תמיד בהערכה עצמית בלבד.
לדוגמה, בתוכנית Mastercard, בתי עסק ברמה 2 המשלימים SAQ A, SAQ A-EP או SAQ D נדרשים לקבל אימות נוסף של QSA או ISA. ארגון יכול גם לבחור לבצע ROC מלא במקום SAQ.
הדרישות הסופיות צריכות להיבדק מול הסולק ומול מותגי כרטיסי התשלום הרלוונטיים.
Level 3: פעילות משמעותית במסחר אלקטרוני
Level 3 מתייחס, בתוכנית Mastercard, לבתי עסק המבצעים יותר מ־20,000 ועד מיליון עסקאות מסחר אלקטרוני בשנה.
האימות מתבצע בדרך כלל באמצעות SAQ שנתי המתאים למבנה האתר ולתהליך התשלום. במקרים מסוימים עשויות להידרש גם:
- סריקות פגיעויות חיצוניות באמצעות ASV.
- בדיקות אבטחה לאתר ולדף התשלום.
- בדיקות חדירות.
- מסמכי AOC.
- ראיות לגבי ספקי סליקה ושירותי צד שלישי.
- בקרות להגנה מפני שינוי או הזרקת סקריפטים.
הדרישות בפועל תלויות בסוג ה־SAQ, בארכיטקטורת התשלום, בגבולות סביבת נתוני הכרטיס ובדרישות הסולק.
Level 4: עסקים קטנים וכל יתר בתי העסק
Level 4 כולל את בתי העסק שאינם עומדים בתנאים של Levels 1 עד 3.
חשוב להדגיש: עסק קטן אינו פטור מ־PCI DSS. התקן מיועד לכל גורם המעורב בעיבוד תשלומים, ללא קשר לגודלו או למספר העסקאות שלו. עם זאת, לעסק קטן עשויה להיות סביבת תשלום פשוטה יותר, ולכן מספר הדרישות הרלוונטיות והיקף תהליך האימות עשויים להיות מצומצמים יותר.
לפי תוכנית Mastercard, בתי עסק ברמה 4 נדרשים לעמוד בדרישות PCI DSS, גם כאשר לא קיימת דרישת דיווח ישירה ל־Mastercard. הבנק הסולק עדיין יכול לדרוש מילוי SAQ, ביצוע סריקות או הגשת מסמכים אחרים.
מה ההבדל בין רמת PCI לבין סוג ה־SAQ?
רמת בית העסק וסוג שאלון ה־SAQ הם שני דברים שונים.
רמת בית העסק נקבעת בעיקר לפי:
- מספר העסקאות.
- סוג העסקאות.
- סוג הארגון.
- דרישות מותג התשלום.
- דרישות הסולק.
- אירועי אבטחה קודמים.
- רמת הסיכון של הפעילות.
סוג ה־SAQ נקבע לפי האופן שבו הארגון מקבל, מעבד, שומר או מעביר נתוני כרטיסים.
מועצת PCI SSC מגדירה את ה־SAQ ככלי המאפשר לבתי עסק ולספקי שירות הזכאים לכך לבצע ולדווח על הערכה עצמית. קיימים כמה שאלונים שונים, וכל אחד מהם מתאים לסביבת תשלום אחרת.
סוגי SAQ מרכזיים
SAQ A
מיועד בדרך כלל לבתי עסק שהעבירו את כל פונקציות נתוני החשבון לספקי שירות חיצוניים העומדים בתקן. הארגון אינו שומר, מעבד או מעביר נתוני חשבון באופן אלקטרוני במערכותיו.
חשוב לדעת כי גם ארגון המשתמש ב־SAQ A נדרש לוודא שהאתר שלו אינו חשוף להתקפות סקריפטים העלולות להשפיע על תהליך התשלום.
SAQ A-EP
מיועד בעיקר לאתרי מסחר אלקטרוני שאינם מקבלים ישירות את נתוני הכרטיס, אך האתר שלהם יכול להשפיע על אבטחת עסקת התשלום.
לדוגמה, האתר עשוי להפנות את הלקוח לדף תשלום חיצוני, בעוד שהשרת, הקוד או הסקריפטים באתר יכולים להשפיע על ההפניה.
SAQ B ו־SAQ B-IP
מיועדים לסביבות המשתמשות בסוגים מסוימים של מסופי תשלום, ללא אחסון אלקטרוני של נתוני כרטיסים.
SAQ B-IP מתייחס למסופים עצמאיים המאושרים לשימוש ומחוברים באמצעות רשת מבוססת IP.
SAQ C
מיועד לבתי עסק שבהם מערכות התשלום מחוברות לאינטרנט, אך הן מופרדות ממערכות אחרות בארגון ואינן שומרות נתוני כרטיסים לאחר האישור.
SAQ C-VT
מיועד לבתי עסק שמזינים עסקאות ידנית באמצעות מסוף תשלום וירטואלי מבוסס דפדפן, המופעל על ידי ספק שירות חיצוני.
SAQ P2PE
מיועד לבתי עסק המשתמשים בפתרון Point-to-Point Encryption המאושר ומופיע ברשימות PCI SSC.
שימוש בפתרון P2PE מאושר יכול לצמצם משמעותית את היקף דרישות PCI DSS החלות על סביבת בית העסק, אך אינו מבטל לחלוטין את תחולת התקן.
SAQ D
זהו השאלון הרחב ביותר. הוא מיועד לבתי עסק ולספקי שירות שאינם עומדים בתנאי הזכאות של שאלוני SAQ האחרים.
SAQ D עשוי לחול על ארגונים השומרים נתוני כרטיסים, מפעילים סביבת סליקה מורכבת או מנהלים מערכות רבות הנכללות בסביבת נתוני הכרטיס.
מהן הרמות של ספקי שירות?
גם ספקי שירות המחזיקים, מעבדים או מעבדים נתוני כרטיסים נדרשים לעמוד ב־PCI DSS.
במודל של Mastercard קיימות שתי רמות עיקריות:
| רמה | סוג הספק | מסלול אימות נפוץ |
| Service Provider Level 1 | מעבדי תשלום וספקים מהותיים, וכן ספקים מסוימים לפי סוג פעילות או היקף עסקאות | ROC שנתי באמצעות גורם מוסמך |
| Service Provider Level 2 | ספקים מסוימים בעלי היקף פעילות קטן יותר | בדרך כלל SAQ שנתי |
ספקים כמו Payment Gateways, ספקי Tokenization, מעבדי צד שלישי וספקים נוספים עשויים להיחשב Level 1 ללא קשר לכמות העסקאות, בהתאם להגדרות תוכנית התשלום.
אילו מסמכים עשויים להידרש?
בהתאם לרמה ולסוג סביבת התשלום, ארגון עשוי להידרש להציג שילוב של המסמכים הבאים:
- SAQ: שאלון הערכה עצמית.
- ROC: דוח מלא על עמידה בדרישות.
- AOC: הצהרה רשמית על תוצאות ההערכה.
- ASV Scan: סריקת פגיעויות חיצונית באמצעות ספק סריקות מאושר.
- בדיקות חדירות: בהתאם לדרישות החלות על הסביבה.
- תוכנית תיקון: תיעוד פערים, פעולות מתקנות ולוחות זמנים.
- ראיות תומכות: מדיניות, צילומי מסך, דוחות, רשומות, תוצאות בדיקה ותיעוד ספקים.
AOC הוא הטופס הרשמי המשמש להצהרה על תוצאות הערכת PCI DSS, בין שההערכה תועדה באמצעות SAQ ובין שבאמצעות ROC.
האם אפשר להקטין את היקף תחולת PCI DSS?
במקרים רבים ניתן לצמצם את היקף סביבת נתוני הכרטיס, Cardholder Data Environment, באמצעות תכנון נכון.
בין האפשרויות:
- העברת תהליך התשלום לספק חיצוני העומד ב־PCI DSS.
- הימנעות משמירת נתוני כרטיסים במערכות הארגון.
- שימוש ב־Tokenization.
- שימוש בפתרונות P2PE מאושרים.
- הפרדת רשתות ומערכות.
- צמצום מספר המשתמשים בעלי גישה.
- ביטול תהליכים ידניים שאינם נחוצים.
- ניהול נכון של ספקי צד שלישי.
צמצום ה־Scope אינו רק מהלך טכני. הוא יכול להפחית את מספר המערכות, התהליכים והספקים הנכללים בבדיקה, ולצמצם משמעותית את מורכבות תהליך העמידה בתקן.
טעויות נפוצות בהבנת רמות PCI DSS
"אנחנו עסק קטן, לכן התקן לא חל עלינו"
לא נכון. גם עסקים קטנים נדרשים להגן על נתוני תשלום ולעמוד בדרישות הרלוונטיות. השאלה היא כיצד הם נדרשים לאמת את העמידה, ולא האם התקן חל עליהם.
"חברת הסליקה מטפלת בכל התשלום, לכן אין לנו אחריות"
שימוש בספק סליקה יכול לצמצם את התחולה, אך אינו בהכרח מסיר אותה. האתר, אופן ההטמעה, ההרשאות, הסקריפטים וספקי השירות עדיין עשויים להיות רלוונטיים.
"Level 4 הוא תקן קל יותר"
Level 4 אינו גרסה מקלה של PCI DSS. הוא מסלול סיווג ואימות המתאים בדרך כלל לבתי עסק בעלי היקף עסקאות קטן יותר.
"מילאנו SAQ ולכן אנחנו עומדים בתקן"
SAQ הוא כלי לתיעוד הערכה. מילוי השאלון לבדו אינו מספיק אם התשובות אינן מבוססות על בקרות פעילות, בדיקות, ראיות ותיעוד עדכני.
"תעודת PCI תקפה ללא הגבלת זמן"
עמידה ב־PCI DSS היא תהליך מתמשך. דרישות האימות הן בדרך כלל שנתיות, אך רבות מהבקרות מחייבות פעילות שוטפת, תקופתית או רבעונית לאורך השנה. Visa מציינת כי ספקי שירות נדרשים להוכיח עמידה לפחות אחת ל־12 חודשים.
כיצד אינפוגארד מסייעת לארגונים בתהליך PCI DSS?
באינפוגארד אנחנו מלווים ארגונים בתכנון ובהיערכות ל־PCI DSS, החל מהבנת סביבת התשלום ועד לסגירת הפערים והכנת הראיות הנדרשות.
הליווי יכול לכלול:
- מיפוי תהליך התשלום וזרימת נתוני הכרטיס.
- הגדרת גבולות ה־Scope.
- בחינת רמת בית העסק ומסלול האימות.
- התאמת שאלון SAQ לסביבה.
- ביצוע Gap Assessment.
- בחינת ספקי סליקה וספקי צד שלישי.
- בניית תוכנית עבודה לסגירת פערים.
- כתיבת נהלים ומדיניות.
- הכנת ראיות ותיעוד.
- בדיקות אבטחה וסריקות.
- ליווי לקראת הערכה חיצונית, כאשר היא נדרשת.
- שמירה על עמידה שוטפת לאורך השנה.
עם יותר מ־13 שנות ניסיון באבטחת מידע, סייבר, פרטיות וציות, אנחנו מסייעים לארגונים להפוך את דרישות PCI DSS מתהליך נקודתי למערך אבטחה מנוהל, מתועד ומעשי.
איך מתקדמים מכאן?
רמות PCI DSS אינן דירוג של איכות האבטחה. הן מגדירות בעיקר את אופן אימות העמידה בתקן ואת המסמכים שהארגון נדרש להציג.
Level 1 מיועד בדרך כלל לארגונים הגדולים ביותר ודורש הערכה מלאה. Levels 2 עד 4 משתמשים במקרים רבים במסלולי SAQ, אך הדרישות משתנות בהתאם לסביבת התשלום, לסוג הארגון ולדרישות הסולק.
לפני שמתחילים למלא שאלון או לאסוף מסמכים, חשוב לבצע שלושה דברים:
- למפות את תהליך התשלום.
- להגדיר נכון את גבולות התחולה.
- לאשר את דרישות האימות מול הבנק הסולק.
הגדרה לא נכונה של ה־Scope או בחירה בשאלון שאינו מתאים עלולות ליצור תחושת עמידה שאינה משקפת את מצב האבטחה בפועל.
לא בטוחים איזו רמת PCI DSS חלה על הארגון שלכם?
אנחנו באינפוגארד נסייע לכם למפות את סביבת התשלום, לזהות את הדרישות הרלוונטיות, לצמצם את ה־Scope ולהיערך לתהליך האימות באופן מסודר ומקצועי.
לתיאום פגישת היכרות ובדיקת דרישות ומוכנות לתקינה PCI DSS
מקורות
Visa, Account Information Security Program and PCI.
PCI Security Standards Council, PCI DSS Document Library.
PCI Security Standards Council, PCI DSS Standards and Merchant Resources.
PCI Security Standards Council, SAQ A Updates.
Mastercard, Site Data Protection Program and PCI.
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).
רוצים לשפר להגביר את הבטחון בארגון שלכם? דברו איתנו
