Consulenza PCI DSS
PCI DSS è lo standard di sicurezza del settore delle carte di pagamento, con 12 requisiti obbligatori per ogni organizzazione che archivia, elabora o trasmette dati di carta. Berghem guida l'adeguamento end to end — dalla gap analysis al penetration test richiesto — e prepara le evidenze per la valutazione del QSA.
Che cos'è il PCI DSS?
Il PCI DSS (Payment Card Industry Data Security Standard) è lo standard mantenuto dal PCI Security Standards Council che definisce i controlli minimi per proteggere i dati dei titolari di carta. La versione in vigore è la v4.0.1 e tutti i requisiti a data differita sono obbligatori dal 31 marzo 2025.
Lo standard organizza 12 requisiti in 6 obiettivi di controllo e si applica a esercenti, acquirer, processori e fornitori di servizi. L'impegno dipende dal volume delle transazioni, dal tipo di validazione richiesto (ROC firmato da un QSA o autovalutazione SAQ) e dall'ampiezza del cardholder data environment (CDE) dopo la segmentazione di rete.
Cosa copre l'adeguamento
Quali sono i requisiti del PCI DSS?
I 12 requisiti del PCI DSS v4.0.1 sono raggruppati in sei obiettivi di controllo. L'adeguamento valuta ciascuno rispetto allo stato attuale del cardholder data environment.
Rete e sistemi sicuri
Requisiti 1 e 2 — controlli di rete, firewall e configurazione sicura dei componenti, eliminando valori di fabbrica e servizi non necessari.
Proteggere i dati del titolare
Requisiti 3 e 4 — protezione dei dati di carta archiviati e crittografia forte nella trasmissione su reti pubbliche e aperte.
Gestione delle vulnerabilità
Requisiti 5 e 6 — protezione dal malware e sviluppo e manutenzione di sistemi e software sicuri, con correzione continua delle falle.
Controllo accessi forte
Requisiti 7, 8 e 9 — accesso per necessità di conoscere, autenticazione utenti (inclusa MFA) e restrizione dell'accesso fisico ai dati.
Monitorare e testare
Requisiti 10 e 11 — registrazione e monitoraggio degli accessi, scansione delle vulnerabilità e penetration test periodico di reti e sistemi.
Policy di sicurezza
Requisito 12 — policy di sicurezza delle informazioni, gestione del rischio, formazione e risposta agli incidenti che sostengono l'intero programma.
Come supporta Berghem il percorso PCI DSS?
Dalla definizione dell'ambito alla validazione tecnica, Berghem fornisce i componenti di sicurezza offensiva e di compliance richiesti dal QSA — con evidenze verificabili.
Gap analysis e roadmap
Diagnosi della postura attuale rispetto ai 12 requisiti, con piano di remediation prioritizzato per gap e cronoprogramma fino alla validazione.
Penetration test (Req. 11.4)
Penetration test (EHT) esterno e interno della rete e delle applicazioni del CDE, con validazione della segmentazione richiesta dallo standard.
Sicurezza dei pagamenti
Valutazione dei flussi di cattura, autorizzazione e regolamento e dei controlli sui dati di carta.
Sicurezza per i servizi finanziari
Adeguamento e test per banche, acquirer e fintech, dove il PCI DSS si aggiunge agli altri requisiti di sicurezza dei pagamenti.
Settore dei servizi finanziari
Come Berghem serve il settore dei servizi finanziari — dalla compliance dei pagamenti alla sicurezza offensiva dell'ambiente carta.
PCI MPoC
Per soluzioni di accettazione su dispositivi COTS, la valutazione segue lo standard PCI MPoC oltre al PCI DSS.
DevSecOps (Req. 6)
Sicurezza nel ciclo di sviluppo — code review, SAST/DAST e pipeline sicura per il software che tratta dati di carta.
Sicurezza offensiva
Team offensivo dedicato per i test tecnici che sostengono le evidenze di conformità dell'ambiente.
Cosa determina costo e tempi di un adeguamento PCI DSS?
Non esiste un prezzo unico. L'investimento dipende da fattori misurabili dell'ambiente e dal tipo di validazione richiesto dall'acquirer o dal circuito.
Livello dell'esercente
Il volume annuo di transazioni definisce il livello (1-4) e il tipo di validazione — ROC firmato da QSA per il livello 1, o SAQ per gli altri. Livelli più alti richiedono più evidenze.
Ampiezza dell'ambito (CDE)
Più sistemi archiviano, elaborano o trasmettono dati di carta, più ampio è l'ambito. La segmentazione riduce il CDE e con esso il costo di test e valutazione.
Maturità dei controlli
Ambienti con gestione delle vulnerabilità, log e MFA già in atto arrivano alla validazione con meno remediation. I gap aperti allungano i tempi.
Architettura di pagamento
Accettazione in presenza, e-commerce, tokenizzazione o soluzioni su dispositivi COTS (PCI MPoC) cambiano i requisiti applicabili e la profondità dei test.
Domande sul PCI DSS
Chi deve essere conforme al PCI DSS?
Qual è la versione attuale del PCI DSS?
Il penetration test è obbligatorio nel PCI DSS?
Qual è la differenza tra ROC e SAQ?
Berghem rilascia il certificato PCI DSS?
Pronti a iniziare l'adeguamento PCI DSS?
In una conversazione mappiamo il tuo cardholder data environment, definiamo l'ambito e disegniamo il percorso verso la validazione — dalla gap analysis al penetration test.
Contattaci