Sensitive authentication data (SAD)
Het deel van de kaartgegevens dat handelaren volgens PCI DSS na autorisatie niet mogen bewaren, hoe goed versleuteld ook.
PCI DSS verdeelt kaartgegevens in twee stapels. Kaartnummer, naam van de kaarthouder en vervaldatum mogen worden opgeslagen als ze beschermd zijn. Gevoelige authenticatiegegevens niet: de volledige trackdata van de magneetstrip of het chipequivalent daarvan, de verificatiecode van drie of vier cijfers op de kaart, en de pincode of het pinblok. Dit zijn precies de waarden die nodig zijn om een kaart te klonen of er online mee te winkelen, dus ze horen te verdwijnen zodra de uitgever heeft geantwoord.
Voor een beveiligingskader is de regel ongewoon botweg. Versleuteling helpt niet en zakelijke noodzaak is geen excuus; uitgevers die de data werkelijk nodig hebben, vormen de enige uitzondering. Toch vinden auditors ze elk jaar weer in logbestanden, debugdumps en databases waar iemand ooit het hele autorisatieverzoek “even tijdelijk” heeft weggeschreven.