В документе "Лучшие практики Visa по шифрованию полей данных" международная платежная система выделила ряд задач, которые необходимо решить при внедрении криптографических средств защиты данных о держателях карт, что в свою очередь необходимо для выполнения требований стандарта PCI DSS:

- ограничить циркуляцию данных о держателях карт и критичных аутентификационных данных в открытом виде только точками шифрования и расшифрования;

- использовать надежные решения по управлению ключами, соответствующие международным и/или региональным стандартам;

- использовать длины ключей и криптографические алгоритмы, соответствующие международным и/или региональным стандартам;

- защитить устройства, выполняющие криптографические операции, от физической и логической компрометации;

- для бизнес-процессов, использовать дополнительную учетную запись или идентификатор транзакции, которые не используют PAN после авторизации. Например, при выполнении повторяющихся платежных операций, поддержки программ лояльности клиента или управления инцидентами мошенничества.

Рекомендации Visa по этим вопросам на русском языке можно прочитать здесь.

Довольно часто поднимается вопрос о применении требований о запрете передачи PAN в открытом виде по открытым каналам связи (4.2) и запрете хранения PAN в открытом виде (3.4) к сообщениям электронной почты.

Электронная переписка состоит из двух технологических этапов - передачи сообщения по каналу связи и хранения сообщения на почтовом сервере или клиенте.

Что касается хранения сообщений, содержащих PAN, на почтовом сервере или клиенте, то здесь в любом случае применимо требование 3.4, предписывающее приведение PAN в нечитаемый вид во всех местах его хранения, и тут без шифрования уже не обойтись. Вот с передачей сообщения ситуация особая. Что касается передачи по открытым каналам, то тут всем всё понятно - при выходе почтового трафика во внешние сети, передаваемый PAN однозначно должен быть зашифрован. Больше вопросов вызывает ситуация, когда почтовый трафик не выходит за пределы среды обработки карточных данных, ведь в таком случае может показаться, что требование 4.2 не применимо и передача PAN в открытом виде допускается. Однако это не так, Совет PCI SSC даёт однозначное толкование этого требования - PAN должен быть зашифрован при почтовой пересылке как по внешним так и по внутренним каналам связи.