PaymentCardIndustry(PCI)数据安全标准》现场评估遵从性证明书–服务提供商3.
2.
1版2018年6月PCIDSS3.
2.
1版现场评估遵从性证明书–服务提供商,修订版1.
02018年6月2006-2018PCI安全标准委员会版权所有.
保留所有权利.
第1页第1节:评估信息提交说明服务提供商必须填写此遵从性证明书,以声明其按照支付卡行业数据安全标准(PCIDSS)要求和安全评估程序所做的自我评估的结果.
填写所有章节:服务提供商应负责确保相关方(如果有)填写所有章节.
联系申请的支付品牌以确定报告和提交程序.
第1部分服务提供商和合格安全性评估商信息第1a部分服务提供商组织信息公司名称:DBA(经营别称):联系人姓名:职务:电话:电子邮件地址:公司地址:城市:州/省:国家/地区:邮编:网址:第1b部分合格安全性评估商公司信息(如果有)公司名称:QSA主要联系人姓名:职务:电话:电子邮件地址:公司地址:城市:州/省:国家/地区:邮编:网址:PCIDSS3.
2.
1版现场评估遵从性证明书–服务提供商,修订版1.
02018年6月2006-2018PCI安全标准委员会版权所有.
保留所有权利.
第2页第2部分实施概要第2a部分范围验证属于PCIDSS评估范围内的服务(选中所有合适的选项):受评估服务名称:受评估服务类型:托管服务提供商:应用程序/软件硬件基础架构/网络物理空间(主机托管)存储Web安全服务3-D安全托管服务提供商共享托管服务提供商其他托管服务(请指明):管理服务(请指明):系统安全服务IT支持物理安全终端管理系统其他服务(请指明):支付处理:POS/实卡互联网/电子商务MOTO/呼叫中心ATM其他处理(请指明):客户管理欺诈和退款支付网关/开关后勤服务发卡机构处理预付服务帐单管理忠诚计划记录管理清算与结算商户服务税务/政府支付网络服务提供商其他(请指明):注:这些类别仅供参考,并非用于限制或预先提供实体的服务说明.
如果您认为这些类别均不符合您的服务情况,请填写"其他".
如果您不确定某类别是否符合您的服务情况,请咨询相应的支付品牌.
PCIDSS3.
2.
1版现场评估遵从性证明书–服务提供商,修订版1.
02018年6月2006-2018PCI安全标准委员会版权所有.
保留所有权利.
第3页第2a部分范围验证(续)服务提供商所提供的不属于PCIDSS评估范围的服务(选中所有合适选项):未受评估服务名称:未受评估服务类型:托管服务提供商:应用程序/软件硬件基础架构/网络物理空间(主机托管)存储Web安全服务3-D安全托管服务提供商共享托管服务提供商其他托管服务(请指明):管理服务(请指明):系统安全服务IT支持物理安全终端管理系统其他服务(请指明):支付处理:POS/实卡互联网/电子商务MOTO/呼叫中心ATM其他处理(请指明):客户管理欺诈和退款支付网关/开关后勤服务发卡机构处理预付服务帐单管理忠诚计划记录管理清算与结算商户服务税务/政府支付网络服务提供商其他(请指明):请简要说明任何选中服务未包含在本次评估范围内的原因:第2b部分支付卡业务说明说明您所在企业如何存储、处理和/或传输持卡人数据,以及支持的数据大小.
说明您所在企业如何以其他方式影响或潜在影响持卡人数据安全性,以及影响的程度.
第2c部分地点列出PCIDSS审核中包含的场所类型(例如,零售店、公司办公室、数据中心、呼叫中心等等)以及所在地点概要.
场所类型:此类场所数量场所所在地点(城市、国家/地区):示例:零售店3美国马萨诸塞州波士顿PCIDSS3.
2.
1版现场评估遵从性证明书–服务提供商,修订版1.
02018年6月2006-2018PCI安全标准委员会版权所有.
保留所有权利.
第4页第2d部分支付应用程序该组织是否使用一款或多款支付应用程序是否提供有关您所在组织使用的支付应用程序的下列信息:支付应用程序名称版本号应用程序供应商该应用程序是否获得PA-DSS认证PA-DSS认证失效日期(如果有)是否是否是否是否是否是否是否是否第2e部分环境说明提供有关此评估所涵盖的环境的高级说明.
例如:对持卡人数据环境(CDE)的输入和输出连接.
该CDE中的关键系统组件(例如POS设备、数据库、网络服务器等)以及其他任何必要的支付组件(如果有).
您所在企业是否使用网络分段来影响PCIDSS环境范围(有关网络分段的指南,请参见PCIDSS的"网络分段"章节)是否PCIDSS3.
2.
1版现场评估遵从性证明书–服务提供商,修订版1.
02018年6月2006-2018PCI安全标准委员会版权所有.
保留所有权利.
第5页第2f部分第三方服务提供商您的公司是否出于验证服务的目的与合格集成商和经销商(QIR)建立了合作关系如果是的话:QIR公司名称:QIR个人名称:QIR所提供服务的说明:是否您的公司是否出于验证服务的目的与一家或多家第三方服务提供商有关联(例如,合格集成商和经销商(QIR)、网关、支付处理商、支付服务提供商(PSP)、网络托管公司、航班订票代理商、忠诚计划代理商等)是否如果是的话:服务提供商名称:所提供服务的说明:注:要求12.
8适用于上述列表中的所有条目.
PCIDSS3.
2.
1版现场评估遵从性证明书–服务提供商,修订版1.
02018年6月2006-2018PCI安全标准委员会版权所有.
保留所有权利.
第6页第2g部分受测试要求概述对于每项PCIDSS要求,选择以下某个选项:完整–该要求的主要求和所有子要求均已评估,且所有子要求均未在本ROC中标为"未测试"或"不适用".
部分–该要求的一项或多项子要求在本ROC中标为"未测试"或"不适用".
无–该要求的所有子要求均在本ROC中标为"未测试"和/或"不适用".
对于所有标为"部分"或"无"的要求,请在"方法理由"列中提供相关详情,包括:本ROC中标为"未测试"和/或"不适用"的特定子要求的详情相关子要求未测试或不适用的理由注:本AOC要求针对每项服务填写此表单.
本章节的其他副本可在PCISSC网站上获取.
受评估服务名称:PCIDSS要求受评估要求详情完整部分无方法理由(要求所有"部分"和"无"回复.
确定未验证副要求以及原因.
)要求1:要求2:要求3:要求4:要求5:要求6:要求7:要求8:要求9:要求10:要求11:要求12:附录A1:附录A2:PCIDSS3.
2.
1版现场评估遵从性证明书–服务提供商,修订版1.
02018年6月2006-2018PCI安全标准委员会版权所有.
保留所有权利.
第7页第2节:遵从性报告本遵从性证明书反映了现场评估的结果,该结果已文档记录在随附的遵从性报告(ROC)中.
文档记录在本证明书以及本ROC中的评估完成于:补偿性控制是否被用于满足本ROC中的任何要求是否本ROC中的任何要求是否被识别为不适用(N/A)是否有任何要求未经测试吗是否本ROC中有任何要求由于法律限制而无法得到满足吗是否PCIDSS3.
2.
1版现场评估遵从性证明书–服务提供商,修订版1.
02018年6月2006-2018PCI安全标准委员会版权所有.
保留所有权利.
第8页第3节:认证和证明书详情第3部分PCIDSS认证此AOC基于(ROC填写日期)填写的ROC中的结果.
基于上述ROC中记录的结果,第3b-3d部分中指明的签署者(如果适用)针对本文档第2部分中指明的实体声明以下遵从性状态(选中一个选项):遵从:已填写PCIDSSROC的所有章节且已针对所有问题提供积极回复,从而获得了总体遵从评分;因此(服务提供商公司名称)已证明其完全遵从PCIDSS.
未遵从:未填写PCIDSSROC的部分章节或未针对所有问题提供积极回复,从而获得了总体未遵从评分,因此(服务提供商公司名称)未证明其完全遵从PCIDSS.
遵从目标日期:如果某实体提交的本表单具有未遵从状态,则可能需要填写本文档第4部分中的行动计划.
在填写第4部分之前,请先咨询相应的支付品牌.
遵从但包含法律规定的例外情况:由于受到阻止满足相关要求的法律限制,因此一项或多项要求标为了"不到位".
此选项要求收单机构或支付品牌进行附加审核.
如果选中此选项,请填写以下内容:相关要求有关法律限制如何阻止满足相关要求的详情第3a部分确认状态签署者确认:(选中所有合适选项)本ROC是根据PCIDSS要求和安全评估程序版本(版本号),并按照其中的说明完成.
上述引用的ROC和本证明书中的所有信息在一切重要方面均完全代表本次评估的结果.
已向相应的支付应用程序供应商确认自己的支付系统未在验证后存储敏感验证数据.
