Känsliga autentiseringsdata (SAD)
Den del av kortdatan som PCI DSS förbjuder handlare att spara efter auktoriseringen, oavsett hur väl den krypteras.
PCI DSS delar kortdata i två högar. Kortnummer, namn och giltighetstid får sparas om de skyddas. Känsliga autentiseringsdata får det inte: hela spårdatan från magnetremsan eller chipets motsvarighet, den tre- eller fyrsiffriga verifieringskoden på kortets baksida samt PIN-koden och PIN-blocket. Det är exakt de uppgifter som behövs för att klona ett kort eller handla med det på nätet, och därför ska de vara borta i samma stund som utgivaren svarat.
Regeln är ovanligt kategorisk för att vara ett säkerhetsramverk. Kryptering hjälper inte och affärsbehov är inget argument, med undantag för utgivare som själva behöver uppgifterna. Ändå hittar granskare dem år efter år i loggfiler, felsökningsdumpar och databaser där någon för länge sedan skrev ut hela auktoriseringsbegäran "tillfälligt".