Конфиденциальные аутентификационные данные (SAD)
Часть данных карты, которую PCI DSS запрещает продавцам хранить после авторизации, как бы надёжно она ни была зашифрована.
PCI DSS делит данные карты на две кучи. Номер карты, имя держателя и срок действия хранить можно, если они защищены. Конфиденциальные аутентификационные данные хранить нельзя: полные данные дорожки магнитной полосы или их аналог в чипе, трёх- или четырёхзначный код проверки на карте, а также ПИН-код или ПИН-блок. Это именно те значения, которых хватает, чтобы клонировать карту или делать с ней покупки в интернете, поэтому они должны исчезнуть сразу, как только эмитент ответил.
Для стандарта безопасности правило необычно жёсткое. Шифрование не спасает, а деловая необходимость — не оправдание; единственное исключение — эмитенты, которым эти данные действительно нужны. Тем не менее аудиторы из года в год находят их в лог-файлах, дампах отладки и базах, куда кто-то «на минуточку» выводил весь запрос на авторизацию.