Objetivo de control 1: los PINs utilizados en las transacciones regidas por estos requisitos se procesan utilizando equipos y metodologías que garantizan su seguridad.

Requisito 1: los HSMs utilizados por AWS Payment Cryptography se evaluaron como parte de nuestra evaluación del PIN PCI. Para los clientes que utilizan el servicio, los requisitos 1 a 3 y 1 a 4 están «vigentes» en relación con el HSM gestionado por el servicio. Los resultados de HSM indicarán que las pruebas fueron certificadas por la QPA. AWS El certificado de conformidad con el PIN está disponible para consultarlo. AWS Artifact Será necesario inventariar y hacer referencia a otros SCD de su solución, como el POI.

Requisito 2: La documentación de sus procedimientos debe especificar cómo PINs se protege al titular de la tarjeta en lo que respecta a la divulgación a su personal, los protocolos de traducción del PIN implementados y la protección durante el procesamiento en línea y fuera de línea. Además, la documentación debe contener un resumen de los métodos de administración de claves criptográficas utilizados en cada zona.

Requisito 3: El POI debe estar configurado para el cifrado y la transmisión seguros del PIN. AWS La criptografía de pagos solo admite las traducciones de bloques de PIN especificadas en el requisito 3-3.

Requisito 4: La aplicación no debe almacenar bloques de PIN. Los bloques de PIN, incluso cifrados, no deben conservarse en los diarios o registros de transacciones. El servicio no almacena los bloques de PIN y la evaluación de los PIN verifica que no estén en los registros.

Tenga en cuenta que el estándar de seguridad PCI PIN se aplica a la adquisición, «la gestión, el procesamiento y la transmisión seguros de los datos del número de identificación personal (PIN) durante el procesamiento de transacciones con tarjetas de pago en línea ATMs y fuera de línea en los terminales point-of-sale (POS)», tal como se indica en la norma. Sin embargo, el estándar se utiliza a menudo para evaluar la gestión de claves criptográficas para pagos que no están dentro del ámbito previsto. Esto puede incluir los casos de uso del emisor en los que PINs se almacenan. Las excepciones a los requisitos para estos casos deben acordarse con el público destinatario de la evaluación.