Memahami Konsep PCI DSS Compliance Database
Tidak ada satu pun basis data tunggal atau terbuka untuk umum yang mencakup seluruh entitas patuh standar PCI DSS di dunia. Keamanan data pemegang kartu melarang publikasi massal daftar perusahaan yang patuh demi mencegah risiko eksploitasi keamanan. Namun, organisasi yang memerlukan verifikasi kepatuhan mitra bisnis dapat mengakses direktori resmi yang dikelola langsung oleh PCI Security Standards Council (PCI SSC) serta daftar penyedia layanan tervalidasi dari masing-masing merek kartu pembayaran utama (Visa, Mastercard, American Express, Discover, dan JCB).
Pencarian basis data kepatuhan biasanya merujuk pada tiga entitas utama: Daftar QSA (Qualified Security Assessor) yang mengaudit kepatuhan, daftar Merchant/Service Provider yang telah divalidasi oleh lembaga penilai, serta direktori resmi dari jaringan pembayaran global. Setiap entitas memiliki portal verifikasi mandiri yang diperbarui secara berkala setiap bulan untuk memastikan akurasi status keamanan.
Direktori Resmi dan Sumber Verifikasi Kepatuhan
Untuk memverifikasi apakah sebuah perusahaan, penyedia gerbang pembayaran (payment gateway), atau pemroses kartu benar-benar memiliki sertifikasi PCI DSS yang sah, Anda harus merujuk langsung ke direktori resmi yang disediakan oleh badan standar dan jaringan kartu.
| Nama Direktori / Portal | Penyelenggara | Fungsi Utama | Tautan / Akses Resmi |
|---|---|---|---|
| PCI SSC Approved Companies | PCI Security Standards Council | Daftar QSA, ASV, dan P2PE terakreditasi resmi | pcisecuritystandards.org |
| Visa Global Registry of Service Providers | Visa Inc. | Database penyedia layanan dan merchant patuh PCI DSS | visa.com/splisting |
| Mastercard Compliant Service Provider List | Mastercard | Daftar entitas yang divalidasi patuh oleh Mastercard | mastercard.com |
| PCI SSC Document Library | PCI Security Standards Council | Pusat dokumen standar, SAQ, dan persyaratan terbaru | pcisecuritystandards.org/documents |
Langkah Verifikasi Status Kepatuhan Mitra Bisnis
Jika Anda perlu memeriksa apakah vendor atau platform pihak ketiga yang Anda gunakan benar-benar mematuhi standar PCI DSS Level 1 hingga Level 4, ikuti prosedur validasi standar industri berikut:
- Identifikasi Kategori Entitas: Tentukan apakah mitra Anda bertindak sebagai Merchant (pedagang) atau Service Provider (penyedia layanan pembayaran/infrastruktur).
- Minta Dokumen AOC (Attestation of Compliance): Minta salinan dokumen AOC terbaru yang ditandatangani oleh Qualified Security Assessor (QSA) atau diisi secara mandiri melalui Self-Assessment Questionnaire (SAQ).
- Cek Direktori Global Visa/Mastercard: Masukkan nama perusahaan penyedia layanan ke dalam Visa Global Registry of Service Providers untuk memastikan mereka terdaftar secara aktif.
- Validasi Masa Berlaku Sertifikat: Pastikan sertifikat PCI DSS tidak melebihi batas waktu satu tahun sejak tanggal penerbitan, karena audit kepatuhan bersifat wajib tahunan.
Level Kepatuhan PCI DSS dan Batasan Akses Data
Tingkat kepatuhan (compliance level) menentukan bagaimana sebuah perusahaan divalidasi dan dicatat dalam database internal lembaga keuangan atau jaringan kartu:
| Level PCI DSS | Kriteria Volume Transaksi Tahunan | Metode Validasi |
|---|---|---|
| Level 1 | Lebih dari 6 juta transaksi per tahun (atau mengalami pelanggaran data) | Audit on-site tahunan oleh QSA + Pemindaian ASV triwulanan |
| Level 2 | 1 juta hingga 6 juta transaksi per tahun | SAQ (Self-Assessment Questionnaire) + Pemindaian ASV triwulanan |
| Level 3 | 20.000 hingga 1 juta transaksi e-commerce per tahun | SAQ yang relevan + Pemindaian ASV triwulanan |
| Level 4 | Di bawah 20.000 transaksi e-commerce atau total volume kecil | SAQ yang relevan + Praktik keamanan yang disarankan |
Tips Keamanan dan Menghindari Penipuan Sertifikasi
Banyak perusahaan klaim sepihak menggunakan lencana "PCI DSS Compliant" tanpa verifikasi yang sah. Selalu lakukan tindakan pencegahan berikut:
Jangan Percaya Klaim Tanpa Bukti: Selalu minta nomor referensi atau laporan AOC langsung dari vendor.
Periksa Kredensial QSA: Pastikan auditor yang menandatangani laporan terdaftar aktif dalam daftar Qualified Security Assessor di situs resmi PCI SSC.
Waspadai Phishing Direktori Palsu: Hindari memasukkan kredensial perusahaan ke situs web pihak ketiga yang menjanjikan "Pemeriksaan Database PCI DSS Instan" tanpa domain resmi berakhiran .org atau domain finansial terpercaya.