Wrażliwe dane uwierzytelniające (SAD)
Ta część danych karty, której PCI DSS zabrania sprzedawcom przechowywać po autoryzacji, choćby była najlepiej zaszyfrowana.
PCI DSS dzieli dane karty na dwa stosy. Numer karty, imię i nazwisko posiadacza oraz datę ważności wolno przechowywać, jeśli są chronione. Wrażliwych danych uwierzytelniających — pełnych danych ścieżki z paska magnetycznego lub ich odpowiednika z chipa, trzy- lub czterocyfrowego kodu weryfikacyjnego z karty oraz PIN-u lub bloku PIN — przechowywać nie wolno. To właśnie wartości potrzebne do sklonowania karty albo zakupów online, więc mają zniknąć, gdy tylko wystawca odpowie.
Jak na ramy bezpieczeństwa, reguła jest wyjątkowo brutalna. Szyfrowanie nie pomaga, a potrzeba biznesowa nie usprawiedliwia; jedynym wyjątkiem są wystawcy, którzy takich danych naprawdę potrzebują. Audytorzy mimo to co roku znajdują je w logach, zrzutach debugowania i bazach, gdzie ktoś kiedyś wydrukował całe żądanie autoryzacji „tylko na chwilę”.