มาตรฐานความปลอดภัยของข้อมูลในอุตสาหกรรมบัตรชำระเงิน (PCI DSS) กำหนดให้ธุรกิจต่างๆ ต้องปกป้องข้อมูลเจ้าของบัตรเมื่อมีการจัดเก็บและเมื่อมีการส่งผ่านเครือข่าย ซึ่งหมายความว่าจะต้องมีการเข้ารหัสที่คาดเดาได้ยาก รวมถึงชุดกฎเกณฑ์การรองรับที่ครอบคลุมทุกสิ่งตั้งแต่ความแข็งแกร่งของใบรับรองไปจนถึงการสร้าง การจัดเก็บ และการเลิกใช้งานคีย์การเข้ารหัส

การปฏิบัติตามข้อกำหนดด้านการเข้ารหัส PCI เหล่านี้ส่งผลมากกว่ารายการตรวจสอบการปฏิบัติตามข้อกำหนดของคุณ โดยจะสามารถช่วยลดพื้นที่การโจมตีและกำหนดว่าธุรกิจของคุณจะมีความเสี่ยงมากน้อยเพียงใดหากเกิดการละเมิดขึ้น ต้นทุนเฉลี่ยของการละเมิดข้อมูลสูงถึง 4.44 ล้านดอลลาร์สหรัฐทั่วโลกในปี 2025 ซึ่งตอกย้ำถึงความสำคัญของการปกป้องบันทึกที่ละเอียดอ่อน ด้านล่างนี้ เราจะอธิบายว่าแท้จริงแล้ว PCI DSS ต้องการอะไรสำหรับการเข้ารหัส อัลกอริทึมและโปรโตคอลใดที่ตรงตามมาตรฐานดังกล่าวในปัจจุบัน และการเข้ารหัสมีปฏิกิริยากับกลยุทธ์ที่เกี่ยวข้องอย่างไร เช่น การแปลงเป็นโทเค็นและการแบ่งกลุ่มเครือข่าย

ประเด็นสำคัญ

• PCI DSS กำหนดให้มีการเข้ารหัสที่คาดเดาได้ยากสำหรับข้อมูลเจ้าของบัตรทั้งที่ไม่ได้ใช้งานและระหว่างการส่ง โดยมี Advanced Encryption Standard (AES) ที่ใช้คีย์ 256 บิตและ Transport Layer Security (TLS) 1.2 ขึ้นไปเป็นเกณฑ์พื้นฐานที่ยอมรับ

• เนื่องจากการเข้ารหัสและการแปลงเป็นโทเค็นจะช่วยแก้ปัญหาที่แตกต่างกัน คุณจึงสามารถลดขอบเขตการปฏิบัติตามข้อกำหนด PCI ของคุณได้โดยการผสานรวมการเข้ารหัสแบบจุดต่อจุด (P2PE) กับการแปลงเป็นโทเค็น

• การจัดการคีย์ที่หละหลวมเป็นหนึ่งในสาเหตุที่พบบ่อยที่สุดที่ทำให้ธุรกิจไม่ผ่านการประเมิน PCI DSS แม้ว่าจะมีอัลกอริทึมการเข้ารหัสพื้นฐานที่ดีก็ตาม

ข้อกำหนดด้านการเข้ารหัส PCI คืออะไร

กฎการเข้ารหัสของ PCI DSS กำหนดไว้ในข้อกำหนดที่ 3 ในรายการตรวจสอบการปฏิบัติตามข้อกำหนด ซึ่งครอบคลุมถึงข้อมูลเจ้าของบัตรที่จัดเก็บไว้ และข้อกำหนดที่ 4 ซึ่งครอบคลุมข้อมูลที่ส่งผ่านเครือข่าย ผู้ตรวจสอบ PCI จะตรวจสอบทั้งสองส่วนนี้เมื่อประเมินวิธีการจัดการข้อมูลบัตร

ตามข้อกำหนดที่ 3 หากคุณจัดเก็บหมายเลขบัญชีหลัก (PAN) คุณต้องทำให้ไม่สามารถอ่านหมายเลขดังกล่าวได้ไม่ว่าจะปรากฏอยู่ที่ใดก็ตาม ไม่ว่าจะเป็นในฐานข้อมูล ไฟล์บันทึก หรือข้อมูลสำรอง แม้ว่าการเข้ารหัสที่คาดเดาได้ยากจะเป็นวิธีการป้องกันหลัก แต่การตัดทอนและการแฮชก็เป็นตัวเลือกเช่นกัน โดยเฉพาะอย่างยิ่งสำหรับการปิดบัง PAN บนใบเสร็จรับเงินหรือหน้าจอที่ลูกค้ามองเห็น ข้อกำหนดที่ 4 ระบุว่าข้อมูลบัตรทั้งหมดที่ส่งผ่านเครือข่ายสาธารณะแบบเปิดต้องได้รับการเข้ารหัสจากต้นทางถึงปลายทาง โดยจะไม่มีข้อยกเว้นเพื่อความสะดวกภายในหรือสภาพแวดล้อมแบบเดิมที่มีอยู่ก่อนมาตรฐานนี้

ข้อมูลการตรวจสอบสิทธิ์ที่ละเอียดอ่อน (SAD) จะใช้แนวทางที่แตกต่างออกไปซึ่งรวมถึงข้อมูลแถบแม่เหล็กหรือชิปแบบเต็ม รหัสความปลอดภัยของบัตร (CVV) และบล็อก PIN ทั้งนี้ PCI DSS จะไม่อนุญาตให้คุณจัดเก็บข้อมูลเหล่านี้หลังจากการอนุมัติเสร็จสมบูรณ์ ไม่ว่าสถานะการเข้ารหัสจะเป็นอย่างไรก็ตาม

มาตรฐานและโปรโตคอลการเข้ารหัสใดบ้างที่ PCI DSS อนุมัติสำหรับการเข้ารหัส

PCI DSS กำหนดให้มี "การเข้ารหัสที่คาดเดาได้ยาก" ซึ่งคณะกรรมการมาตรฐานความปลอดภัยของ PCI นิยามว่าเป็นวิธีการใดๆ ที่ให้ความแข็งแกร่งของคีย์ที่มีประสิทธิภาพอย่างน้อย 112 บิต ในทางปฏิบัติ นิยามดังกล่าวจะชี้ให้เห็นถึงตัวเลือกสั้นๆ ที่ได้รับการยอมรับดังนี้

• ข้อมูลที่ไม่ได้ใช้งาน: AES-256 คือมาตรฐานทั่วไป โดยจะผ่านเกณฑ์ความแข็งแกร่งและได้รับการรองรับอย่างกว้างขวางจากผู้ให้บริการคลาวด์และโครงสร้างพื้นฐานการชำระเงิน ในทางเทคนิคแล้ว Triple DES (3DES) ยังคงมีคุณสมบัติตรงตามข้อกำหนดในการกำหนดค่าบางอย่าง แต่คณะกรรมการมาตรฐานความปลอดภัยของ PCI ได้ตั้งค่าสถานะว่าเลิกใช้งานแล้ว และระบบใหม่ส่วนใหญ่ก็ข้ามการใช้งานส่วนนี้ไปโดยสิ้นเชิง

• การเข้ารหัสแบบไม่สมมาตร: ใช้สำหรับแลกเปลี่ยนคีย์แบบสมมาตรหรือลงนามในใบรับรอง ซึ่งโดยทั่วไปหมายถึง Rivest–Shamir–Adleman (RSA) ที่ 2048 บิตขึ้นไป หรือการเข้ารหัสแบบเส้นโค้งวงรี (ECC) ที่ 224 บิตขึ้นไป

• ข้อมูลระหว่างส่ง: ใช้ TLS 1.2 เป็นขั้นต่ำ โดย TLS 1.3 ได้รับการพิจารณาให้เป็นค่าเริ่มต้นในทางปฏิบัติมากขึ้นเรื่อยๆ ส่วน SSL ในทุกเวอร์ชัน และ TLS เวอร์ชันแรก (1.0 และ 1.1) จะไม่อนุญาตให้ใช้งานอย่างชัดเจน

• ชุดโปรโตคอลเข้ารหัส: ชุดที่ผ่านเกณฑ์ต้องไม่มีช่องโหว่ที่ทราบ ซึ่งจะไม่รวมถึง RC4 (Rivest Cipher 4) และการเข้ารหัสระดับส่งออกใดๆ ที่เหลือจากการกำหนดค่าเก่า

• ความแข็งแกร่งของใบรับรอง: ใบรับรองที่เปิดเผยต่อสาธารณะต้องมี RSA ขนาด 2048 บิตหรือแข็งแกร่งกว่า วันหมดอายุที่เป็นปัจจุบัน และได้รับการออกโดยผู้ออกใบรับรองที่เชื่อถือได้

• การเจรจาโปรโตคอล: เซิร์ฟเวอร์ต้องปฏิเสธความพยายามในการเชื่อมต่อที่กลับไปใช้โปรโตคอลเวอร์ชันที่ไม่อนุญาต แทนที่จะอนุญาตโดยไม่แจ้งให้ทราบ

การเข้ารหัสช่วยลดขอบเขตการปฏิบัติตามข้อกำหนด PCI ของคุณได้อย่างไร

ขอบเขตการปฏิบัติตามข้อกำหนดในแง่ของ PCI DSS หมายถึงระบบทุกระบบที่จัดเก็บ ดำเนินการ หรือส่งข้อมูลเจ้าของบัตร รวมถึงสิ่งที่เชื่อมต่อกับสินทรัพย์เหล่านั้นซึ่งอาจส่งผลต่อความปลอดภัย ซึ่งเรียกรวมกันว่าสภาพแวดล้อมข้อมูลเจ้าของบัตร (CDE)

หากระบบจัดการข้อมูลเจ้าของบัตรที่เข้ารหัสโดยไม่มีสิทธิ์เข้าถึงวิธีการถอดรหัส คณะกรรมการมาตรฐานความปลอดภัยของ PCI จะถือว่าอยู่นอกขอบเขต หรืออย่างน้อยก็อยู่ในหมวดหมู่ที่ลดขอบเขตลง ซึ่งนี่คือที่มาของ P2PE โดยโซลูชัน P2PE ที่อยู่ในรายการของ PCI จะเข้ารหัสข้อมูลบัตร ณ จุดที่มีการโต้ตอบภายในฮาร์ดแวร์ที่ได้รับการตรวจสอบแล้ว การถอดรหัสจะถูกจำกัดให้อยู่ในสภาพแวดล้อมที่ปลอดภัยของผู้ให้บริการโซลูชัน P2PE แทนที่จะเป็นโครงสร้างพื้นฐานของธุรกิจเอง

โซลูชัน P2PE ที่ผ่านการตรวจสอบแล้วมักจะมีคุณสมบัติตรงตามแบบสอบถามการประเมินตนเองของ P2PE (SAQ) ซึ่งเป็นหนึ่งใน PCI SAQ ที่สั้นกว่า เนื่องจาก P2PE จะช่วยลดขอบเขตการประเมินลงอย่างมาก การแบ่งกลุ่มข้อมูลจะช่วยลดขอบเขตลงไปอีก เมื่อระบบข้อมูลบัตรถูกแยกไว้ในส่วนของเครือข่ายของตนเอง โดยแยกจากระบบธุรกิจทั่วไป ก็จะช่วยให้ระบบที่ไม่เคยเข้าถึงข้อมูลเจ้าของบัตรถูกแยกออกจากการประเมินได้อย่างสิ้นเชิง

การเข้ารหัสหรือการแปลงเป็นโทเค็น: กลยุทธ์ใดที่ตอบโจทย์ความต้องการด้านการเข้ารหัส PCI ของคุณได้ดีที่สุด

การเข้ารหัสจะเปลี่ยน PAN ให้เป็นข้อความไซเฟอร์ที่อ่านไม่ออก แต่หมายเลขเดิมยังคงอยู่ที่ใดที่หนึ่ง ผู้ที่มีคีย์ที่ถูกต้องจะสามารถปรับคืนขั้นตอนดังกล่าวได้ การแปลงเป็นโทเค็นจะลบ PAN ออกจากสภาพแวดล้อมของธุรกิจโดยสิ้นเชิง และแทนที่ด้วยโทเค็นที่ไม่มีความสัมพันธ์ทางคณิตศาสตร์กับหมายเลขเดิมและจะไม่มีมูลค่าหากถูกขโมย

เมื่อมีความจำเป็นต้องอ้างอิงวิธีการชำระเงินของลูกค้าหลังจากทำธุรกรรมครั้งแรก เช่น ในกรณีของการสมัครใช้บริการ วิธีการชำระเงินที่บันทึกไว้ หรือการชำระเงินในคลิกเดียว การแปลงเป็นโทเค็นจะช่วยสร้างความแตกต่าง หากมีการจัดเก็บ PAN ที่เข้ารหัสไว้ภายใน คุณจะยังมีหมายเลขบัตรเต็มรูปแบบและองค์ประกอบอื่นๆ ทั้งหมดที่เกี่ยวข้อง ซึ่งรวมถึงหน้าที่ในการจัดการคีย์ ขอบเขตการตรวจสอบที่กว้างขึ้น และความเสี่ยงหากคีย์ที่เกี่ยวข้องถูกบุกรุก แต่หากคุณจัดเก็บโทเค็นที่สร้างและเก็บไว้โดยผู้ให้บริการชำระเงินอย่าง Stripe แทน ข้อมูลที่ละเอียดอ่อนก็จะไม่เข้าสู่ระบบของคุณเลยตั้งแต่แรก การตั้งค่าหลายรูปแบบจะรวมทั้งสองวิธีเข้าด้วยกัน โดยจะใช้การแปลงเป็นโทเค็นสำหรับข้อมูลที่จัดเก็บไว้ในระยะยาว และใช้การเข้ารหัสสำหรับข้อมูลที่ส่งผ่านเครือข่าย

เหตุใดการจัดการคีย์จึงเป็นส่วนที่ถูกมองข้ามในการเข้ารหัส PCI

การเข้ารหัสขึ้นอยู่กับความรัดกุมในการปกป้องคีย์ และแนวทางปฏิบัติดังกล่าวมักถูกมองข้าม โปรดคำนึงถึงสิ่งต่อไปนี้

• การแยกความรู้และการควบคุมแบบคู่: คีย์การเข้ารหัสที่สมบูรณ์ไม่จำเป็นต้องให้บุคคลเพียงคนเดียวเข้าถึงได้ การแยกส่วนประกอบของคีย์ให้กับบุคคลหลายคนและกำหนดให้ต้องมีบุคคลมากกว่าหนึ่งคนในการสร้างคีย์ขึ้นมาใหม่จะช่วยป้องกันไม่ให้บุคคลใดบุคคลหนึ่งเจาะระบบสภาพแวดล้อมได้เพียงลำพัง

• การจัดเก็บคีย์ที่ปลอดภัย: คีย์ต้องได้รับการจัดเก็บแยกจากข้อมูลที่ปกป้อง ซึ่งโดยปกติจะอยู่ในโมดูลความปลอดภัยของฮาร์ดแวร์ (HSM) หรือระบบการจัดการคีย์ที่เทียบเท่า โดยต้องเก็บไว้ภายนอกฐานข้อมูลหรือระบบไฟล์เดียวกับค่าที่เข้ารหัส

• ระยะเวลาการเข้ารหัสที่กำหนดไว้: คีย์ทุกคีย์ต้องมีอายุการใช้งานที่มีการบันทึกไว้ ซึ่งหลังจากนั้นจะมีการเลิกใช้งานและเปลี่ยนใหม่ โดยพิจารณาจากปัจจัยต่างๆ เช่น จำนวนข้อมูลที่คีย์ใช้ป้องกันและความถี่ในการใช้งาน

• ความรับผิดชอบของผู้ดูแลคีย์ที่มีการบันทึกไว้: ขั้นตอนที่เป็นลายลักษณ์อักษรจะต้องระบุว่าใครเป็นผู้รับผิดชอบงานด้านการจัดการคีย์ โดยผู้ดูแลดังกล่าวจะต้องรับทราบความรับผิดชอบนั้นอย่างเป็นทางการ

ภายใต้ PCI DSS 4.0 ธุรกิจต่างๆ ต้องตรวจสอบสถาปัตยกรรมการเข้ารหัสของตนอย่างน้อยหนึ่งครั้งทุกๆ 12 เดือนเพื่อยืนยันว่าอัลกอริทึม โปรโตคอล และความยาวของคีย์ที่ใช้งานยังคงเป็นไปตามมาตรฐานปัจจุบันและไม่ล้าสมัย

จะเกิดอะไรขึ้นหากธุรกิจของคุณไม่สามารถปฏิบัติตามข้อกำหนดด้านการเข้ารหัส PCI

การไม่ปฏิบัติตามข้อกำหนดด้านการเข้ารหัส PCI DSS จะเปลี่ยนแปลงสิ่งที่จะเกิดขึ้นก่อนและหลังการละเมิด ก่อนที่จะเกิดเหตุการณ์ใดๆ การไม่ปฏิบัติตามข้อกำหนดจะปรากฏในกระบวนการตรวจสอบประจำปี ธนาคารผู้รับบัตรและเครือข่ายบัตรอาจตั้งสถานะธุรกิจว่าไม่ปฏิบัติตามข้อกำหนด ซึ่งส่งผลต่อความสามารถในการดำเนินการการชำระเงินด้วยบัตรต่อไป และทำให้ต้องมีการติดตามอย่างใกล้ชิดหรือมีข้อกำหนดในการตรวจสอบเพิ่มเติมในอนาคต

ผลที่ตามมาจะยิ่งทวีความรุนแรงขึ้นหากเกิดการละเมิดและการสืบสวนพบว่าไม่ได้ปฏิบัติตามการควบคุมเหล่านั้นในขณะนั้น โดยทั่วไปแล้วจะต้องมีการสืบสวนทางนิติวิทยาศาสตร์หลังจากได้รับการยืนยันว่ามีการละเมิดที่เกี่ยวข้องกับข้อมูลเจ้าของบัตร การสืบสวนจะตรวจสอบโดยเฉพาะว่า PAN ได้รับการเข้ารหัสอย่างถูกต้องในการจัดเก็บและระหว่างการส่งข้อมูลหรือไม่ หากไม่เป็นเช่นนั้น จะไม่มีการแบ่งปันความรับผิดชอบกับผู้ให้บริการชำระเงินหรือธนาคารผู้รับบัตร แต่จะตกเป็นภาระของธุรกิจหนักขึ้นแทน

การสร้างความมั่นใจกับธนาคารผู้รับบัตรหรือผู้ให้บริการชำระเงินขึ้นมาใหม่หลังจากที่พบข้อบกพร่องดังกล่าวอาจเป็นเรื่องยาก เนื่องจากความล้มเหลวด้านการเข้ารหัสยังมีแนวโน้มที่จะเผยให้เห็นจุดอ่อนอื่นๆ ในการจัดการข้อมูลภายใน ธนาคารจึงอาจไม่พอใจกับการแก้ไขการควบคุมเพียงจุดเดียวเมื่อพบช่องโหว่ในจุดอื่นๆ

Stripe Payments ช่วยอะไรได้บ้าง

Stripe Payments มอบโซลูชันการชำระเงินระดับโลกแบบครบวงจรที่ช่วยให้ธุรกิจใดๆ ตั้งแต่สตาร์ทอัพที่กำลังเติบโตไปจนถึงองค์กรระดับโลกรับชำระเงินออนไลน์ ที่จุดขาย และทั่วโลกได้

Stripe Payments สามารถช่วยคุณทำสิ่งต่อไปนี้

• เพิ่มประสิทธิภาพให้ประสบการณ์การชำระเงินของคุณ: สร้างประสบการณ์ที่ราบรื่นให้กับลูกค้าและประหยัดเวลาในการทำงานวิศวกรรมได้หลายพันชั่วโมงด้วย UI การชำระเงินที่สร้างไว้ให้แล้ว, สิทธิ์เข้าถึงวิธีการชำระเงินมากกว่า 125 วิธี และ Link ซึ่งเป็นกระเป๋าเงินที่สร้างโดย Stripe

• ขยายไปสู่ตลาดใหม่ๆ ได้เร็วขึ้น: เข้าถึงลูกค้าทั่วโลกและลดความซับซ้อนและค่าใช้จ่ายในการจัดการหลายสกุลเงินด้วยตัวเลือกการชำระเงินข้ามพรมแดนที่มีให้บริการใน 195 ประเทศและกว่า 135 สกุลเงิน

• รวมการชำระเงินที่จุดขายและทางออนไลน์ไว้ด้วยกัน: สร้างประสบการณ์การค้าแบบแพลตฟอร์มรวมในช่องทางออนไลน์และที่จุดขายเพื่อปรับแต่งการโต้ตอบ ตอบแทนความภักดี และเพิ่มรายได้

• ปรับปรุงประสิทธิภาพการชำระเงิน: เพิ่มรายรับด้วยเครื่องมือการชำระเงินที่กำหนดเองได้และปรับแต่งได้ง่ายๆ ซึ่งรวมถึงระบบป้องกันการฉ้อโกงแบบไม่ต้องเขียนโค้ดและความสามารถขั้นสูงเพื่อเพิ่มอัตราการอนุมัติ

• เดินหน้าได้เร็วขึ้นด้วยแพลตฟอร์มที่ยืดหยุ่นและเชื่อถือได้เพื่อการเติบโต: สร้างบนแพลตฟอร์มที่ออกแบบมาเพื่อขยับขยายไปพร้อมกับคุณ โดยมีระยะเวลาให้บริการที่แทบจะไม่หยุดทำงานเลย และมีความน่าเชื่อถือระดับแนวหน้าของวงการ

ดูข้อมูลเพิ่มเติมเกี่ยวกับวิธีที่ Stripe Payments สามารถช่วยให้คุณรับการชำระเงินออนไลน์และที่จุดขายได้ หรือเริ่มใช้งานเลยวันนี้