PCI PIN Security
Kortindustrins regelverk för hur PIN-koder krypteras, flyttas och hanteras — PCI DSS lillebror, men med betydligt fler HSM:er.
Kraven ges ut av PCI Security Standards Council och gäller alla som tar emot, översätter eller verifierar PIN-koder: kortinlösare, processorer och bankernas egna växlar. PIN får bara finnas i klartext inuti godkänd hårdvara, i praktiken en HSM, och ska i övrigt färdas som ett krypterat PIN-block enligt ISO 9564.
Nyckelhanteringen är kärnan. Dubbel kontroll och delad kunskap gäller för allt som rör huvudnycklar — ingen enskild person får någonsin se en hel nyckel. Den mest kännbara ändringen på senare år är kravet på nyckelblock som TR-31, infört i faser fram till 2025, så att en nyckel inte längre kan användas till något annat än det den skapades för.