PCI DSS untuk bisnis: siapa yang perlu dan apa yang disiapkan

Apa itu PCI DSS?

PCI DSS adalah standar keamanan data untuk pembayaran kartu, diterbitkan PCI Security Standards Council (PCI SSC). Standar ini mencakup persyaratan teknis dan operasional untuk melindungi data pembayaran.

Lingkupnya meliputi pihak yang menyimpan, memproses, atau mengirim data kartu dan data autentikasi sensitif, serta pihak yang dapat memengaruhi keamanan lingkungan data kartu. Karena itu, pertanyaannya bukan hanya “apakah nomor kartu masuk ke database kami?”

Pada pemeriksaan 27 September 2026, perpustakaan resmi PCI SSC menampilkan PCI DSS v4.0.1. Gunakan dokumen dan formulir yang sesuai versi serta kegiatan Anda. Artikel ini adalah pengantar, bukan daftar lengkap persyaratan atau penetapan lingkup suatu perusahaan.

Siapa yang menentukan bukti yang harus diserahkan?

PCI SSC menyusun standar dan alat pelaporannya. Ketentuan program kepatuhan dan validasi ditetapkan oleh pihak seperti merek kartu atau acquirer, yaitu bank/pihak yang menangani penerimaan pembayaran kartu bagi merchant.

Merchant berarti bisnis yang menerima pembayaran kartu untuk barang atau jasanya. Peran penyedia layanan pembayaran berbeda; panduan pengantar ini berfokus pada merchant.

Sebagai langkah awal, minta pihak yang mengelola program kepatuhan Anda menjelaskan kanal pembayaran, dokumen yang diminta, lingkup, serta jadwal penyerahannya. Jangan memilih formulir hanya karena bisnis masih kecil atau volume transaksi belum besar.

PCI DSS adalah standar industri pembayaran. Pembahasan ini tidak menetapkan izin usaha atau menggantikan pemeriksaan aturan Indonesia. Untuk kebutuhan lain pada toko online, baca panduan kepatuhan toko online.

Sudah memakai payment gateway, apakah masih perlu?

Ya, outsourcing tidak menghapus seluruh tanggung jawab merchant. FAQ 1092 PCI SSC menjelaskan bahwa merchant tetap perlu memastikan kepatuhan penyedia untuk layanan yang digunakan, memiliki perjanjian tertulis tentang tanggung jawab, memantau status kepatuhan setidaknya setiap tahun, dan memahami pembagian tugas. Cara validasinya perlu dikonfirmasi dengan pengelola program kepatuhan.

Contoh fiktif: toko memakai halaman pembayaran milik penyedia, tetapi tim toko masih mengelola website yang mengarahkan pembeli ke halaman tersebut. Tim perlu mengetahui siapa yang boleh mengubah tujuan tautan pembayaran dan bagaimana perubahan diperiksa. Pernyataan “semuanya diurus gateway” belum menjelaskan pekerjaan itu.

Lanjutkan ke PCI DSS saat memakai payment gateway untuk membedakan pengalihan halaman dan formulir yang ditanam di website.

Apa bedanya SAQ, AOC dan ROC?

Dokumen	Kegunaan singkat
SAQ — Self-Assessment Questionnaire	Kuesioner penilaian mandiri bagi lingkungan yang memenuhi kriteria penggunaannya. Jenisnya harus sesuai lingkungan.
AOC — Attestation of Compliance	Formulir pernyataan kepatuhan terkait hasil penilaian.
ROC — Report on Compliance	Laporan hasil penilaian kepatuhan.

PCI SSC mengakui dokumen dalam format resmi untuk validasi, bukan sembarang sertifikat bertuliskan “PCI compliant”. Minta bukti yang sesuai program dan layanan yang dinilai. Tidak semua merchant memakai jenis pelaporan yang sama; konfirmasikan kelayakan SAQ dengan acquirer atau merek kartu.

Untuk memeriksa dokumen penyedia, siapkan pertanyaan praktis: apakah nama layanan cocok, lingkupnya mencakup integrasi yang dipakai, dan bukti apa yang perlu diperbarui? Simpan hasil pembahasan, bukan hanya logo atau tangkapan layar halaman penjualan.

Dari mana mulai menyiapkan tim?

Catat satu alur pembayaran dari pelanggan sampai hasil transaksi diterima sistem toko. Libatkan pemilik bisnis, pengembang, operasi, dan pihak yang mengelola hubungan dengan penyedia pembayaran.

Gunakan checklist persiapan PCI DSS untuk mencatat bukti, penanggung jawab dan pekerjaan terbuka. Hindari memasukkan data kartu asli ke bahan diskusi. Checklist ini membantu persiapan; penilaian tetap harus mengikuti dokumen resmi dan ketentuan program Anda.