PCI Security Standards Council har släppt version 2.0 av Secure Software Standard och dess tillhörande Program Guide, vilket är den mest betydande revideringen sedan ramverket infördes 2019. Denna uppdatering omformar i grunden hur betalningsprogramvara utvärderas och valideras, introducerar ny terminologi, utökad omfattning och strömlinjeformade processer som kommer att påverka leverantörer, bedömare och kunder i hela betalningsekosystemet.
Den kanske mest grundläggande förändringen i v2.0 är att termen "Payment Software" helt har tagits bort från standarden. Behörighetskriterierna är nu helt inriktade på konceptet Sensitive Assets - definieratsom alla delar av programvaruprodukten vars obehöriga åtkomst, användning, modifiering eller avslöjande kan äventyra programvarans betalningsrelaterade funktioner eller data.
Denna konceptuella omformulering åtföljs av ett nytt obligatoriskt dokument, Sensitive Asset Identification (SAID), som ger detaljerade sammanhang och exempel för att identifiera känsliga data, funktioner, resurser och driftsätt. För EMVCo 3DS-relaterad data hänvisar standarden nu till PCI 3DS Data Matrix-dokumentet.
Den praktiska innebörden är tydlig: om din programvara hanterar känsliga tillgångar enligt standardens definition omfattas den av standarden - oavsett om den passar in i de traditionella kategorierna för betalningsprogramvara eller inte.
Version 2.0 innehåller betydande terminologiuppdateringar som bedömare och leverantörer måste ta till sig:
Dessutom har ordlistan flyttats från ett externt SSF-dokument till Bilaga A i själva standarden, och definierade termer är nu markerade i säkerhetskraven så att de är lätta att känna igen. En ny term, "Strong Authentication", har införts, och standarden bygger nu på "Strong Cryptography" snarare än på specifika parametrar för effektiv nyckelstyrka.
Standarden v2.0 har helt omstrukturerats kring elva säkerhetsmål i avsnittet Core, som gäller för all programvara som utvärderas enligt ramverket:
Kraven har reviderats för att enbart fokusera på PAN och SAD i förhållande till PCI DSS, med ytterligare sammanhang i SAID-dokumentet.
Denna modul har bytt namn från "Terminal Software Requirements" och har effektiviserats avsevärt. Många krav (B1.1, B1.2, B1.3, B3.x, B5.x) har införlivats i kärnkraven, och SRED-kraven har reviderats.
Byter namn från "Krav på webbprogramvara" för att bättre fånga dess avsikt. Förtydligandet av omfattningen är viktigt: denna modul behandlar programvara som är tillgänglig via offentliga nätverk där i princip alla med nätverksåtkomst kan interagera med programvaran. Viktigt är att programvara som är inte allmänt tillgänglig fortfarande kan bedömas enligt denna modul efter leverantörens gottfinnande, eftersom kraven bidrar till att minska risken för all implementering.
Denna helt nya modul möjliggör bedömning av SDK:er, inklusive EMVCo 3DS SDK:er. Standarden anger uttryckligen att v2.0 så småningom kommer att ersätta den separata PCI 3DS SDK-standarden, vilket ger leverantörerna större flexibilitet genom den mer objektiva karaktären hos Secure Software Standard.
De tidigare ändringskategorierna "Low Impact" och "High Impact" har ersatts med en Tier 1 och Tier 2 Delta Change struktur:
Versionering av jokertecken har formellt återinförts med tydliga regler:
Denna formalisering gör det möjligt för leverantörer att hantera mindre utgåvor utan att skicka in ändringar till PCI SSC, förutsatt att användningen av jokertecken valideras under den fullständiga bedömningen.
Version 2.0 gör explicit vad som tidigare var implicit: källkodsbestämmelser är obligatoriska. Programguiden anger otvetydigt följande:
"Programvaruleverantören förväntas tillhandahålla källkoden för den programvaruprodukt som utvärderas, om den utvärderare som utför utvärderingen anser det nödvändigt. Det är inte möjligt att få en programvaruprodukt bedömd enligt denna standard utan att tillhandahålla relevant källkod."
Testkraven har skrivits om helt och hållet kring tre metoder:
Den 3-åriga livscykeln för validering förblir intakt:
Viktiga förtydliganden i v2.0:
Version 2.0 introducerar ett särskilt avsnitt 8 för anmälan av säkerhetsproblem, som formaliserar:
PCI Secure Software Standard v2.0 representerar en mognad av ramverket, som går från föreskrivande kategorier för betalningsprogramvara till ett principbaserat tillvägagångssätt som är inriktat på skydd av känsliga tillgångar. Införandet av SDK-utvärderingsfunktioner, formaliserad versionering med jokertecken och det differentierade deltaändringssystemet pekar alla mot ett mer flexibelt och hållbart valideringsprogram.
För organisationer som för närvarande har v1.x-valideringar eller planerar nya bedömningar är det nu dags att samarbeta med kvalificerade SSF Assessor Companies för att förstå övergångsvägen och utnyttja den förbättrade flexibiliteten som denna stora revision ger.
PCI Secure Software Standard v2.0 och Program Guide v2.0 gäller från och med januari 2026. Organisationer bör konsultera den officiella PCI SSC-dokumentationen och kvalificerade bedömare för specifik vägledning om efterlevnad.