Lo standard PCI DSS ha subito la più grande trasformazione degli ultimi dieci anni.
La versione 4.0 dello standard PCI DSS ha introdotto cambiamenti significativi nelle modalità con cui le organizzazioni proteggono i dati dei conti di pagamento, valutano i rischi e dimostrano la conformità. A questa è seguita la versione 4.0.1 dello standard PCI DSS, una revisione limitata volta a chiarire e migliorare lo standard senza introdurre nuovi requisiti né eliminare quelli esistenti.
Entro il 2026, il periodo di transizione sarà terminato. I requisiti con data futura introdotti con lo standard PCI DSS v4.x sono entrati in vigore il 31 marzo 2025, il che significa che le organizzazioni dovrebbero ora operare pienamente in conformità con i requisiti dello standard PCI DSS v4.0.1.
Cosa è cambiato, quali requisiti sono più importanti e su cosa dovrebbero concentrarsi ora le organizzazioni?
Il PCI DSS v4.0.1 è la versione attuale del Payment Card Industry Data Security Standard, lo standard di sicurezza globale progettato per proteggere i dati dei conti di pagamento.
Il PCI DSS si applica alle organizzazioni che archiviano, elaborano o trasmettono dati dei titolari di carte o dati sensibili di autenticazione, nonché alle organizzazioni i cui sistemi o servizi potrebbero influire sulla sicurezza dell’ambiente dei dati dei titolari di carte (CDE).
Il PCI DSS v4.0 è stato originariamente pubblicato nel marzo 2022 e ha rappresentato la prima revisione significativa dello standard in oltre un decennio.
A giugno 2024 è seguita la versione PCI DSS v4.0.1.
È importante sottolineare che la versione PCI DSS v4.0.1 è stata una revisione limitata. Non ha introdotto nuovi requisiti né ne ha eliminati di esistenti. Ha invece chiarito la formulazione, corretto la formattazione e affrontato le questioni sollevate dopo l’introduzione della versione v4.0.
Per le organizzazioni che valuteranno la propria conformità nel 2026, la versione PCI DSS v4.0.1 dovrebbe quindi costituire la base su cui costruire il proprio programma PCI DSS.
La versione v4.0 dello standard PCI DSS è stata ritirata il 31 dicembre 2024.
La versione attualmente in vigore dello standard è la PCI DSS v4.0.1.
Le organizzazioni devono pertanto assicurarsi che le proprie valutazioni, la documentazione, le politiche, i controlli e i programmi di conformità riflettano i requisiti e la documentazione di supporto associati alla versione v4.0.1.
La versione 4.0 dello standard PCI DSS ha introdotto 64 nuovi requisiti rispetto alla versione 3.2.1.
Tredici sono entrati in vigore con l’entrata in vigore della versione 4.0, mentre i restanti 51 sono stati inizialmente considerati come best practice prima di diventare obbligatori il 31 marzo 2025.
Per le organizzazioni nel 2026, tali requisiti non saranno più una questione da affrontare in futuro.
Fanno parte dello standard.
I cambiamenti più significativi includono requisiti di autenticazione più rigorosi, maggiore enfasi sulla sicurezza continua, analisi mirate dei rischi, protezioni potenziate per l’e-commerce, maggiore flessibilità nelle modalità con cui le organizzazioni soddisfano i requisiti e aspettative più dettagliate riguardo ai fornitori di servizi di terze parti.
Una delle modifiche più importanti introdotte dalla versione 4.x dello standard PCI DSS è l’abbandono dell’approccio che considerava la conformità come un’attività da svolgere una volta all’anno.
Il PCI DSS ha sempre richiesto il mantenimento dei controlli durante tutto l’anno, ma la versione v4.x rafforza la necessità che la sicurezza operi come un processo continuo piuttosto che come qualcosa preparato specificamente per una valutazione annuale.
Ciò significa che le organizzazioni devono pensare oltre il semplice superamento di un audit.
I controlli devono rimanere operativi, monitorati e documentati per tutto l’anno. I processi devono resistere ai cambiamenti di personale, alle modifiche dell’infrastruttura, alle migrazioni nel cloud e all’arrivo di nuovi fornitori senza perdere la conformità.
La domanda non è più semplicemente:
«Riusciremo a superare la nostra valutazione PCI DSS?»
Dovrebbe essere:
“Riusciremo a dimostrare che questi controlli funzionano efficacemente durante tutto l’anno?”
La versione v4.x dello standard PCI DSS ha rafforzato in modo significativo i requisiti di autenticazione.
L’autenticazione a più fattori è richiesta per l’accesso all’Ambiente dei dati dei titolari di carta (CDE) e per l’accesso remoto che potrebbe condurre al CDE.
Ciò riflette la crescente importanza dell’identità come vettore di attacco.
Le sole password offrono una protezione limitata quando le credenziali possono essere rubate tramite phishing, malware di tipo «infostealer», credential stuffing o altre tecniche.
Le organizzazioni dovrebbero quindi verificare con precisione chi può accedere al CDE, da dove e utilizzando quali meccanismi di autenticazione.
Ciò include dipendenti, amministratori, sviluppatori, collaboratori esterni e fornitori di servizi di terze parti.
La versione 4.x dello standard PCI DSS ha inoltre rafforzato i controlli relativi alle password.
Laddove si utilizzino password o frasi di accesso come fattori di autenticazione, le organizzazioni sono tenute ad applicare requisiti più rigorosi in materia di password e a garantire che le credenziali siano gestite in modo sicuro.
Lo standard pone maggiore enfasi sulla protezione delle credenziali di autenticazione durante tutto il loro ciclo di vita, piuttosto che affidarsi esclusivamente a frequenti cambi di password.
In pratica, ciò significa che le organizzazioni dovrebbero esaminare la sicurezza delle password, la gestione degli account, gli account inattivi, l’archiviazione delle credenziali e i processi di autenticazione nell’ambito dei propri controlli più ampi sulla sicurezza delle identità.
La versione 4.x dello standard PCI DSS ha introdotto il concetto di Analisi mirata dei rischi, spesso abbreviata in TRA.
Un’analisi mirata dei rischi consente a un’organizzazione di valutare i rischi associati a particolari attività o controlli e, in alcuni casi, di utilizzare tale analisi per determinare con quale frequenza un’attività debba essere eseguita.
Ad esempio, laddove lo standard PCI DSS consenta a un'organizzazione di definire la frequenza di un determinato controllo, tale decisione dovrebbe essere supportata da un'analisi dei rischi documentata piuttosto che da un programma arbitrario.
Il PCI Security Standards Council descrive due forme di analisi mirata del rischio nell’ambito dello standard PCI DSS v4.x, tra cui le analisi utilizzate per determinare la frequenza dei controlli e quelle a supporto dell’approccio personalizzato.
Il punto fondamentale è che lo standard PCI DSS richiede sempre più alle organizzazioni di comprendere e giustificare le proprie decisioni in materia di sicurezza.
Dire semplicemente: «Lo facciamo ogni sei mesi perché lo abbiamo sempre fatto» non costituisce un approccio basato sul rischio.
L’organizzazione deve dimostrare perché tale frequenza sia appropriata.
Uno dei principali cambiamenti strutturali introdotti dalla versione 4.0 dello standard PCI DSS è stata l’aggiunta dell’approccio personalizzato.
Nell’ambito del tradizionale Approccio definito, le organizzazioni implementano controlli che soddisfano i requisiti e le procedure di verifica prescritti dallo standard PCI DSS.
L’approccio personalizzato offre una maggiore flessibilità.
Anziché implementare un controllo esattamente come descritto dall’«approccio definito», le organizzazioni possono ricorrere a controlli alternativi che consentano di raggiungere lo stesso obiettivo di sicurezza.
Ciò non rende necessariamente più facile la conformità.
In molti casi, rende la valutazione più impegnativa poiché l’organizzazione deve definire chiaramente il controllo, spiegare in che modo soddisfa l’obiettivo del requisito, eseguire un’Analisi mirata dei rischi e fornire prove sufficienti a dimostrarne l’efficacia.
Per le organizzazioni dotate di capacità consolidate in materia di sicurezza informatica, ingegneria e gestione dei rischi, ciò può offrire una preziosa flessibilità.
Per le altre, l’approccio definito potrebbe risultare notevolmente più semplice.
La sicurezza dell’e-commerce è uno degli aspetti più significativi dello standard PCI DSS v4.x.
I requisiti 6.4.3 e 11.6.1 sono entrati in vigore il 31 marzo 2025 e sono stati specificatamente concepiti per contrastare minacce quali l’e-skimming e gli attacchi alle pagine di pagamento.
I moderni ambienti di e-commerce si avvalgono spesso di JavaScript e di altri script eseguiti dal browser e forniti da molteplici fonti interne ed esterne.
Tali script possono diventare un bersaglio allettante.
Gli autori degli attacchi che riescono a manipolare uno script della pagina di pagamento potrebbero essere in grado di acquisire i dati del titolare della carta direttamente dal browser del cliente.
Il PCI DSS introduce quindi requisiti più rigorosi in materia di identificazione, autorizzazione e gestione degli script delle pagine di pagamento.
Le organizzazioni devono sapere quali script sono presenti, perché sono necessari e se la loro integrità è affidabile.
Il PCI DSS richiede inoltre meccanismi in grado di rilevare modifiche non autorizzate alle pagine di pagamento e alle intestazioni HTTP che incidono sulla sicurezza.
Per le organizzazioni di e-commerce, questi requisiti dovrebbero ora essere considerati controlli fondamentali, piuttosto che progetti in attesa di una scadenza per la conformità.
La versione 4.x dello standard PCI DSS ha rafforzato i requisiti relativi alla sensibilizzazione alla sicurezza.
I dipendenti devono comprendere le minacce di ingegneria sociale che potrebbero portare alla compromissione dei sistemi di pagamento o dei dati degli account.
Tra queste figurano minacce quali:
La formazione dovrebbe riflettere il contesto delle minacce reali dell'organizzazione, anziché limitarsi a fornire una formazione generica annuale sulla sicurezza informatica.
La sensibilizzazione alla sicurezza deve essere pertinente, misurabile e rafforzata nel tempo.
La versione v4.x dello standard PCI DSS ha inoltre modernizzato il modo in cui le organizzazioni devono affrontare la gestione delle vulnerabilità e del malware.
Le organizzazioni dovrebbero identificare le vulnerabilità di sicurezza avvalendosi di fonti esterne affidabili e valutare il rischio che queste rappresentano per l’ambiente.
La gestione delle patch deve essere prioritizzata in base al rischio, mentre i sistemi che tradizionalmente non sono considerati suscettibili al malware non dovrebbero essere semplicemente considerati permanentemente sicuri.
È necessaria una valutazione periodica per determinare se tali sistemi possano continuare a essere considerati non a rischio di malware.
Questo è un altro esempio di come lo standard si stia orientando verso una valutazione continua piuttosto che verso ipotesi statiche.
Gli account inattivi, condivisi e scarsamente controllati possono offrire agli aggressori l'opportunità di accedere agli ambienti di pagamento.
La versione 4.x dello standard PCI DSS ha rafforzato i requisiti relativi agli account utente, ai privilegi e alle verifiche degli accessi.
Le organizzazioni dovrebbero garantire che l’accesso venga concesso in base alle esigenze aziendali e al principio del privilegio minimo.
Gli account devono essere rivisti periodicamente, gli accessi non necessari devono essere rimossi e gli accessi degli utenti che hanno cessato il rapporto di lavoro devono essere revocati tempestivamente.
Ciò è particolarmente importante nei casi in cui gli account con privilegi consentano l’accesso ai sistemi all’interno del CDE.
L’ambito di applicazione dello standard PCI DSS è sempre stato importante, ma la versione 4.x pone maggiore enfasi sulla necessità che le organizzazioni comprendano e convalidino il proprio ambito di applicazione.
Le organizzazioni dovrebbero identificare tutte le persone, i processi, le tecnologie e le terze parti che archiviano, trattano o trasmettono dati relativi agli account, o che potrebbero influire sulla sicurezza del CDE.
L’ambito di applicazione dello standard PCI DSS non dovrebbe essere semplicemente copiato dalla valutazione dell’anno precedente.
Le reti cambiano.
Le applicazioni cambiano.
Gli ambienti cloud cambiano.
I fornitori cambiano.
I percorsi di pagamento cambiano.
Le organizzazioni hanno quindi bisogno di processi che identifichino tali cambiamenti e determinino se questi alterano l'ambito di applicazione dello standard PCI DSS.
Ridurre l’ambito di applicazione superfluo può semplificare notevolmente la conformità, ma tale riduzione deve essere tecnicamente giustificabile e non semplicemente dettata da motivi di convenienza.
Il ricorso a un fornitore di servizi di terze parti conforme allo standard PCI DSS non esonera automaticamente la vostra organizzazione dalle responsabilità previste dallo standard PCI DSS.
Le organizzazioni devono identificare i soggetti terzi che archiviano, trattano o trasmettono dati relativi agli account o che potrebbero influire sulla loro sicurezza.
Devono comprendere quali siano i controlli:
Anche l’Attestato di conformità dovrebbe essere esaminato con attenzione.
Non è sufficiente accertare che un fornitore si dichiari «conforme allo standard PCI».
Le organizzazioni devono verificare che la valutazione copra effettivamente il servizio, l’entità giuridica e l’ambiente da loro utilizzati e che la certificazione del fornitore sia ancora valida.
La conformità PCI DSS da parte di terzi deve quindi essere integrata nei processi di approvvigionamento, gestione dei fornitori e conformità continua, anziché essere verificata solo poco prima di una valutazione.
Lo standard PCI DSS v4.x è inoltre maggiormente basato sulle prove.
Le politiche esistenti solo sulla carta non sono sufficienti.
I valutatori hanno sempre più bisogno di vedere prove che dimostrino che i controlli funzionano effettivamente.
Tra questi possono figurare:
Questo è uno dei motivi per cui le organizzazioni che considerano il PCI DSS come un progetto annuale possono incontrare difficoltà.
Cercare di ricostruire 12 mesi di prove poco prima di una valutazione è molto più difficile che raccoglierle in modo continuativo.
Il periodo di transizione è terminato.
Per la maggior parte delle organizzazioni, il 2026 dovrebbe quindi essere incentrato non tanto sulla preparazione al PCI DSS v4.x, quanto piuttosto sulla dimostrazione dell’efficacia dei nuovi controlli.
Le aree prioritarie dovrebbero includere la comprensione dell’ambito di applicazione, la verifica della piena implementazione dei requisiti con data futura, la revisione delle analisi mirate dei rischi, il controllo dei controlli relativi all’e-commerce, la convalida delle responsabilità delle terze parti e la garanzia dell’esistenza di prove sufficienti a sostegno della valutazione.
Le organizzazioni dovrebbero inoltre esaminare attentamente i controlli implementati rapidamente in vista della scadenza di marzo 2025.
Il fatto che un controllo sia tecnicamente presente non significa necessariamente che funzioni in modo efficace.
Il 2026 offre l’opportunità di passare dall’implementazione iniziale a una conformità matura e sostenibile.
Sì.
La verifica della conformità allo standard PCI DSS viene effettuata a cadenza regolare, generalmente ogni anno, e il metodo di verifica esatto dipende da fattori quali il ruolo dell’organizzazione, i volumi delle transazioni e i requisiti stabiliti dai circuiti di pagamento o dagli istituti acquirenti.
Alcune organizzazioni possono effettuare la convalida utilizzando un questionario di autovalutazione, mentre altre richiedono una relazione formale di conformità redatta con l’ausilio di un valutatore di sicurezza qualificato.
Lo standard PCI DSS prevede inoltre requisiti che devono essere soddisfatti con frequenza superiore a quella annuale, tra cui varie attività di monitoraggio, test, scansione e revisione.
La conformità allo standard PCI DSS dovrebbe quindi essere considerata un programma continuo, supportato da un esercizio di convalida annuale.
La preparazione dovrebbe iniziare dalla definizione dell’ambito di applicazione.
Identificate dove i dati degli account entrano nell’organizzazione, dove transitano, dove vengono archiviati e quali sistemi, persone e terze parti possono influire sulla loro sicurezza.
A questo punto, eseguire una valutazione delle lacune rispetto allo standard PCI DSS v4.0.1.
Si dovrebbe prestare particolare attenzione ai controlli introdotti o modificati nella versione v4.x, specialmente a quelli diventati obbligatori a marzo 2025.
Eventuali carenze dovrebbero quindi essere classificate in ordine di priorità attraverso un programma di correzione prima dell’avvio della convalida formale.
Le prove dovrebbero essere raccolte man mano che i controlli vengono applicati, anziché essere raccolte retrospettivamente al momento della valutazione.
La versione attuale dello standard PCI DSS (Payment Card Industry Data Security Standard) è la v4.0.1.
È stata pubblicata nel giugno 2024 come revisione limitata della versione v4.0 dello standard PCI DSS.
Il PCI DSS v4.0.1 ha introdotto chiarimenti e correzioni rispetto al PCI DSS v4.0, ma non ha introdotto nuovi requisiti né rimosso quelli esistenti.
Le organizzazioni dovrebbero ora utilizzare la versione v4.0.1 per le attuali valutazioni PCI DSS.
I requisiti del PCI DSS v4.x con data futura sono entrati in vigore il 31 marzo 2025.
Si tratta quindi di requisiti obbligatori a partire dal 2026, piuttosto che di best practice raccomandate.
Il PCI DSS v4.0 ha introdotto 64 nuovi requisiti rispetto al PCI DSS v3.2.1.
Di questi, 51 erano inizialmente requisiti con data di entrata in vigore futura, prima di diventare effettivi il 31 marzo 2025.
I requisiti 6.4.3 e 11.6.1 sono stati concepiti per rafforzare la sicurezza delle pagine di pagamento dell’e-commerce.
Essi riguardano aspetti quali la gestione degli script delle pagine di pagamento, l’autorizzazione e l’integrità degli script, nonché i meccanismi in grado di rilevare modifiche non autorizzate alle pagine di pagamento e alle intestazioni HTTP che incidono sulla sicurezza.
Lo standard PCI DSS v4.x ha ampliato i requisiti relativi all’autenticazione a più fattori, includendo l’accesso all’Ambiente dei Dati del Titolare della Carta (CDE) e determinati scenari di accesso remoto.
Le organizzazioni dovrebbero esaminare tutti i percorsi di autenticazione nei sistemi all’interno o collegati al CDE.
Un’analisi mirata dei rischi è una valutazione dei rischi documentata utilizzata in circostanze particolari previste dallo standard PCI DSS per giustificare decisioni quali la frequenza con cui un controllo dovrebbe essere applicato o per supportare i controlli implementati utilizzando l’approccio personalizzato.
L’approccio personalizzato consente alle organizzazioni idonee di soddisfare l’obiettivo di sicurezza di un requisito PCI DSS utilizzando un controllo alternativo anziché seguire alla lettera l’approccio definito.
L’organizzazione deve dimostrare che il controllo alternativo soddisfa lo scopo del requisito e fornisce una protezione adeguata.
Lo standard PCI DSS è uno standard di sicurezza del settore piuttosto che una normativa.
Tuttavia, i requisiti di conformità sono imposti dall’ecosistema delle carte di pagamento e dai rapporti contrattuali con le banche acquirenti, i marchi di pagamento e altre parti.
Le organizzazioni che non adempiono ai propri obblighi possono andare incontro a conseguenze finanziarie, commerciali e reputazionali.
No.
Ricorrere a un fornitore di servizi conforme può ridurre l’ambito di applicazione e trasferire la responsabilità per determinati controlli, ma la vostra organizzazione rimane responsabile di comprendere i propri obblighi relativi allo standard PCI DSS e di verificare quali requisiti siano gestiti da ciascuna parte.
La conformità allo standard PCI DSS è diventata più complessa, ma non dovrebbe trasformarsi in una corsa frenetica annuale.
Integrity360 offre servizi completi di conformità ai pagamenti, pensati per aiutare le organizzazioni a comprendere il proprio ambito di applicazione, individuare le lacune e sviluppare programmi di conformità PCI DSS sostenibili.
I nostri servizi includono:
Che vi stiate preparando per la vostra prossima valutazione PCI DSS v4.0.1, che stiate rivedendo i controlli implementati in vista della scadenza di marzo 2025 o che stiate cercando di ridurre la complessità del vostro ambiente di pagamento, Integrity360 può aiutarvi.
Contatta i nostri specialisti in conformità dei pagamenti per valutare il tuo stato di preparazione allo standard PCI DSS 4.0.1 e sviluppare un approccio più sostenibile alla conformità.