Yêu cầu mật khẩu PCI DSS cho nhóm năm 2026

Hướng dẫn dành cho quản trị viên hệ thống thanh toán, chủ cửa hàng và nhóm tuân thủ chịu trách nhiệm về môi trường dữ liệu chủ thẻ (CDE). Nếu bạn chỉ dùng cổng thanh toán bên thứ ba và không lưu dữ liệu thẻ, phần lớn yêu cầu vẫn áp dụng ở mức SAQ phù hợp; hãy xác nhận phạm vi với QSA hoặc nhà cung cấp dịch vụ thanh toán trước khi thay đổi chính sách.

Bài viết không thay thế đánh giá chính thức. Nó giúp bạn chuẩn bị câu hỏi, hồ sơ và bằng chứng trước buổi kiểm toán, đồng thời tránh áp dụng máy móc các quy tắc cũ đã bị v4.0 thay thế.

Payment Card Industry Data Security Standard (PCI DSS) là bộ yêu cầu bảo mật nhằm bảo vệ dữ liệu chủ thẻ. Mọi tổ chức xử lý, lưu hoặc truyền thông tin thẻ tín dụng đều phải tuân thủ. Phiên bản 4.0 phát hành tháng 3 năm 2022, hạn tuân thủ bắt buộc 31 tháng 3 năm 2025 (một số yêu cầu mở rộng tới tháng 3 năm 2026), đưa ra thay đổi lớn về xác thực.

Không tuân thủ có thể bị phạt 5.000-100.000 USD mỗi tháng, tăng phí giao dịch, mất quyền xử lý thanh toán thẻ và chịu trách nhiệm thiệt hại do gian lận. Ngoài hình phạt, rò rỉ dữ liệu chủ thẻ phá hủy niềm tin khách hàng và có thể dẫn tới kiện tập thể.

PCI DSS v4.0 gần với thực hành bảo mật hiện đại hơn, gồm khuyến nghị NIST 800-63B. Tiêu chuẩn thừa nhận quy tắc mật khẩu cũ cứng nhắc thường giảm bảo mật vì khuyến khích hành vi dễ đoán. Bản cập nhật linh hoạt hơn trong cách đáp ứng nhưng nâng chuẩn xác thực tổng thể.

Yêu cầu 8.3.6 quy định mật khẩu ít nhất 12 ký tự (tăng từ mức tối thiểu 7 trước đây). Nếu hệ thống không hỗ trợ 12 ký tự, mức tối thiểu tuyệt đối vẫn là 8, nhưng ngoại lệ phải được ghi lại và giải trình. Tổ chức nên lên kế hoạch hỗ trợ 12+ ký tự trên mọi hệ thống.

Về độ phức tạp, Yêu cầu 8.3.6 buộc mật khẩu chứa cả chữ số và chữ cái. Dù nhẹ hơn nhiều chính sách cũ yêu cầu hoa, thường, số, ký hiệu, đây là mức nền ngăn dùng PIN toàn số hoặc từ toàn chữ làm mật khẩu hệ thống.

Quan trọng: PCI DSS v4.0 đưa ra "cách tiếp cận tùy chỉnh" (Yêu cầu 8.3.6.a), cho phép dùng cơ chế xác thực thay thế (như cụm mật khẩu hoặc độ dài tối thiểu dài hơn không bắt phức tạp) nếu chứng minh được bảo mật tương đương hoặc cao hơn qua phân tích rủi ro có hồ sơ.

Yêu cầu 8.4.2 buộc MFA cho mọi truy cập vào môi trường dữ liệu chủ thẻ (CDE), không chỉ truy cập từ xa như trước. Mọi người truy cập hệ thống lưu, xử lý hoặc truyền dữ liệu chủ thẻ phải xác thực bằng ít nhất hai trong ba yếu tố: kiến thức (mật khẩu), sở hữu (token, thẻ thông minh) hoặc sinh trắc học.

Yêu cầu 8.4.3 mở rộng MFA cho mọi truy cập mạng từ xa từ ngoài mạng của tổ chức. Điều này áp dụng cho VPN, phiên desktop từ xa và mọi truy cập quản trị từ vị trí bên ngoài. MFA phải được triển khai ở cấp mạng hoặc hệ thống, không chỉ cấp ứng dụng.

Với triển khai MFA, PCI DSS yêu cầu các yếu tố độc lập — xâm phạm một yếu tố không ảnh hưởng tính toàn vẹn của yếu tố khác. Tiêu chuẩn cũng yêu cầu MFA không thể bị bỏ qua bởi bất kỳ ai, kể cả quản trị viên. Chống phát lại là bắt buộc: mỗi lần xác thực phải tạo token duy nhất, giới hạn thời gian.

Yêu cầu 8.3.9 buộc đổi mật khẩu người dùng ít nhất 90 ngày một lần. Điều này khác NIST 800-63B, vốn khuyến nghị không xoay vòng định kỳ. Tuy nhiên, PCI DSS v4.0 có cách tiếp cận tùy chỉnh: tổ chức có thể bỏ xoay vòng nếu triển khai phân tích liên tục, thời gian thực tình trạng bảo mật từng tài khoản qua giám sát tự động dấu hiệu xâm phạm.

Khi đổi, mật khẩu mới không được trùng bất kỳ mật khẩu nào trong bốn lần gần nhất (Yêu cầu 8.3.7). Điều này chặn kiểu đối phó đơn giản nhưng chưa xử lý hết thay đổi tăng dần. Tổ chức nên kiểm tra thêm độ tương đồng với mật khẩu cũ.

Với tài khoản dịch vụ và mật khẩu ứng dụng, Yêu cầu 8.6.3 đưa kiểm soát mới: đổi định kỳ ít nhất 12 tháng và khi nghi bị xâm phạm. Mật khẩu tài khoản dịch vụ tương tác phải được quản lý nghiêm ngặt như mật khẩu người dùng. Mật khẩu gắn cứng trong script và ứng dụng bị cấm rõ ràng.

Yêu cầu 8.3.4 buộc tạm khóa tài khoản sau không quá 10 lần đăng nhập sai. Thời gian khóa ít nhất 30 phút hoặc đến khi quản trị viên mở lại. Điều này chống tấn công vét cạn trực tuyến mà vẫn giữ khả năng sử dụng.

Hết hạn phiên không hoạt động (Yêu cầu 8.2.8) buộc tự động kết thúc phiên sau 15 phút không tương tác, ngăn truy cập trái phép khi người dùng rời máy. Với hệ thống cần tương tác liên tục (như bảng giám sát), có thể chấp nhận kiểm soát thay thế như khóa màn hình kèm xác thực lại.

PCI DSS v4.0 cũng yêu cầu mã hóa mọi thông tin xác thực khi truyền (Yêu cầu 8.3.2) và khi lưu (Yêu cầu 8.3.1). Không bao giờ lưu mật khẩu dạng mã hóa đảo ngược hoặc văn bản thường. Tiêu chuẩn yêu cầu rõ băm một chiều với salt riêng cho từng thông tin.

Triển khai trình quản lý mật khẩu cho cả nhóm là cách hiệu quả nhất đáp ứng PCI DSS mà vẫn giữ năng suất. 1Password Business, Bitwarden Organizations hoặc Dashlane Business cung cấp áp chính sách tập trung, kho chia sẻ cho thông tin nhóm, tạo mật khẩu tự động đúng độ dài và phức tạp, cùng nhật ký kiểm tra cho hồ sơ tuân thủ.

Với tài khoản dịch vụ và thông tin ứng dụng, dùng giải pháp quản lý bí mật như HashiCorp Vault, AWS Secrets Manager hoặc Azure Key Vault. Các công cụ này xoay vòng tự động, ghi log truy cập và mã hóa khi lưu — đáp ứng Yêu cầu 8.6.2, 8.6.3 và 8.3.1 trong một giải pháp.

Ghi chính sách mật khẩu bằng văn bản, gồm: độ dài tối thiểu (12+ ký tự), yêu cầu phức tạp, tần suất đổi (90 ngày cho người dùng, 12 tháng cho tài khoản dịch vụ), phạm vi MFA, ngưỡng khóa và thời gian hết hạn phiên. Hồ sơ này bắt buộc cho đánh giá tuân thủ PCI DSS.

Đào tạo nhóm hằng năm về thực hành bảo mật mật khẩu. Yêu cầu 12.6 buộc đào tạo nhận thức bảo mật gồm tạo mật khẩu an toàn, nhận diện lừa đảo và xử lý đúng thông tin xác thực. Theo dõi hoàn thành và lưu hồ sơ để kiểm tra.

Tài khoản dùng chung là lỗi kiểm toán thường gặp. Yêu cầu 8.2.1 buộc mọi người có ID riêng trước khi truy cập thành phần hệ thống. Tài khoản admin dùng chung, mật khẩu root dùng chung và đăng nhập nhóm chung phải bị loại bỏ. Mỗi người cần thông tin riêng, truy vết được.

Mật khẩu gắn cứng trong mã hoặc tệp cấu hình vi phạm Yêu cầu 8.6.2. Quét mã nguồn tìm thông tin nhúng và chuyển sang biến môi trường hoặc trình quản lý bí mật. Nơi giấu phổ biến: chuỗi kết nối cơ sở dữ liệu, tệp tích hợp API, script triển khai và tệp Docker compose.

Mật khẩu mặc định của nhà cung cấp phải đổi trước khi hệ thống vào vận hành (Yêu cầu 2.1.1), gồm thiết bị mạng, phần mềm cài đặt, máy chủ cơ sở dữ liệu và thiết bị IoT. Lập danh sách mọi thông tin mặc định và xác minh đã đổi khi thiết lập.

Ghi log chưa đủ là lỗi phổ biến khác. PCI DSS yêu cầu ghi mọi sự kiện xác thực (đăng nhập thành công, thất bại, đổi mật khẩu, khóa tài khoản) kèm thời gian và nhận dạng người dùng. Log phải được xem hằng ngày và lưu ít nhất một năm, với ba tháng gần nhất sẵn sàng phân tích.

PCI DSS v4.0 có bắt buộc đổi mật khẩu mỗi 90 ngày không? Yêu cầu 8.3.9 vẫn nêu mốc 90 ngày, nhưng cách tiếp cận tùy chỉnh cho phép thay bằng giám sát liên tục nếu chứng minh được kiểm soát tương đương. Hãy ghi lại quyết định và bằng chứng trong hồ sơ đánh giá.

Mật khẩu 12 ký tự có đủ để đạt chứng nhận? Độ dài 12 là mức tối thiểu của yêu cầu 8.3.6, không phải mục tiêu bảo mật. Với tài khoản quản trị và dịch vụ, nên dùng 20 ký tự trở lên hoặc cụm mật khẩu dài, kèm MFA và kiểm tra danh sách mật khẩu bị rò rỉ.

Tài khoản dịch vụ có cần MFA? Yêu cầu 8.4.2 áp dụng cho mọi truy cập vào CDE, nhưng tài khoản dịch vụ không tương tác thường được xử lý bằng kiểm soát thay thế như khóa bí mật, giới hạn nguồn và xoay vòng tự động. QSA sẽ yêu cầu bằng chứng cho lựa chọn đó, nên ghi rõ trong tài liệu kiểm soát.

Ví dụ hồ sơ thực tế: cửa hàng bán lẻ dùng thiết bị POS tích hợp có thể thuộc SAQ B hoặc SAQ B-IP; đơn vị thương mại điện tử lưu token thẻ thường thuộc SAQ A-EP. Hãy xác định loại SAQ với acquirer và QSA trước khi chọn mức kiểm soát, vì phạm vi CDE và yêu cầu quét ASV khác nhau giữa các mô hình.

Khi làm việc với acquirer, hãy phân biệt merchant ID, terminal ID, PAN, truncation, masking và tokenization. EMV và PIN pad thuộc phạm vi thiết bị đầu cuối; vault lưu token không thay thế yêu cầu bảo vệ khóa. Dùng đúng thuật ngữ giúp hồ sơ kiểm toán rõ ràng và tránh đánh giá sai phạm vi CDE. Ví dụ: chuỗi nhà hàng, đại lý du lịch trực tuyến và hãng taxi cũng thuộc phạm vi nếu họ nhận thẻ.