Dati di autenticazione sensibili (SAD)
La parte dei dati della carta che il PCI DSS vieta agli esercenti di conservare dopo l'autorizzazione, per quanto ben cifrata.
Il PCI DSS divide i dati della carta in due gruppi. Numero della carta, nome del titolare e data di scadenza possono essere conservati se protetti. I dati di autenticazione sensibili no: l'intera traccia della banda magnetica o il suo equivalente nel chip, il codice di verifica di tre o quattro cifre stampato sulla carta, il PIN o il PIN block. Sono esattamente i valori necessari per clonare una carta o usarla online, e devono quindi sparire nel momento in cui l'emittente ha risposto.
Per un quadro normativo sulla sicurezza, la regola è insolitamente netta. La cifratura non basta e l'esigenza aziendale non è una scusa; l'unica eccezione riguarda gli emittenti che ne hanno effettivamente bisogno. Eppure i valutatori continuano a trovarli, anno dopo anno, in file di log, dump di debug e database in cui qualcuno aveva stampato l'intera richiesta di autorizzazione «solo per ora».