ISO 27001 PCI DSS का कितना हिस्सा कवर करता है?

ISO 27001 और PCI DSS कई एक-जैसे विषयों को कवर करते हैं, फिर भी ISMS अधिकांश PCI आवश्यकताएँ पूरी नहीं करता। कारण विषयों की कमी नहीं, बल्कि विवरण की कमी है।

Paul Gillet के अनुसार · 2026-05-19 · 4 मिनट पढ़ने का समय

कार्ड भुगतान स्वीकार करने वाले और पहले से ISO 27001 ISMS चलाने वाले संगठन अक्सर मानते हैं कि PCI DSS एक छोटा विस्तार होगा। आँकड़े कुछ और कहते हैं। यहाँ देखें कि ISO 27001 पूरे PCI DSS v4.0.1 के साथ आवश्यकता-दर-आवश्यकता कैसे मेल खाता है, और अंतर विषयों के ओवरलैप से बड़ा क्यों है।

मुख्य आँकड़ा

260 PCI DSS आवश्यकताएँ में से 77 (30%) ISO 27001 में किसी चीज़ से मैप होते हैं, 76 केवल ढीले तौर पर संबंधित हैं और 107 का हमारे डेटा में कोई मैपिंग नहीं है। गैप रिपोर्ट खोलें →

PCI DSS की एक-तिहाई से कम आवश्यकताएँ ISO 27001 की किसी भी चीज़ से मैप होती हैं, और लगभग उतनी ही केवल ढीले तौर पर संबंधित हैं। लगभग हर PCI विषय Annex A में कहीं न कहीं मौजूद है, इसलिए यह विषय का अंतर नहीं है। यह विवरण का अंतर है।

ओवरलैप कहाँ है

PCI DSS अनुभाग	मैप किया गया	ढीले तौर पर संबंधित	कोई मैपिंग नहीं
Requirement 1: Install and maintain network security controls	19 में से 4	3	12
Requirement 2: Apply secure configurations to all system components	11 में से 2	3	6
Requirement 3: Protect stored account data	29 में से 8	7	14
Requirement 4: Protect cardholder data with strong cryptography during transmission	6 में से 2	2	2
Requirement 5: Protect all systems and networks from malicious software	13 में से 4	5	4
Requirement 6: Develop and maintain secure systems and software	19 में से 10	3	6
Requirement 7: Restrict access to system components and cardholder data by business need to know	12 में से 3	3	6
Requirement 8: Identify users and authenticate access to system components	29 में से 6	15	8
Requirement 9: Restrict physical access to cardholder data	27 में से 8	9	10
Requirement 10: Log and monitor all access to system components and cardholder data	27 में से 6	10	11
Requirement 11: Test security of systems and networks regularly	21 में से 3	6	12
Requirement 12: Support information security with organizational policies and programs	37 में से 21	10	6
Appendix A: additional requirements	10 में से 0	0	10

ISO 27001 है, PCI DSS चाहिए। आवश्यकता-दर-आवश्यकता: गैप रिपोर्ट खोलें →

ओवरलैप PCI DSS के उन हिस्सों में केंद्रित है जो किसी भी सुरक्षा मानक जैसे लगते हैं: हर आवश्यकता की शुरुआत में नीतियाँ और भूमिकाएँ, आवश्यकता 12 में जोखिम और शासन, आवश्यकता 7 में एक्सेस नियंत्रण के सिद्धांत, और घटना प्रतिक्रिया। ISO 27001 का प्रबंधन तंत्र और Annex A इन्हें अच्छी तरह कवर करते हैं।

एक घिसे हुए कार्ड भुगतान टर्मिनल की तस्वीर, जिसकी स्क्रीन खाली है, एक छोटे दुकान काउंटर पर कैश ड्रॉअर के बगल में रखा है — PCI DSS काउंटर पर रखे भुगतान टर्मिनल तक पहुँचता है।

PCI DSS का अधिकांश हिस्सा नया काम क्यों है

PCI DSS निर्देशात्मक है, जबकि ISO 27001 जोखिम-आधारित है। Annex A कहता है "तकनीकी कमज़ोरियों का प्रबंधन करें"; PCI DSS बताता है कि कैसे, कितनी बार और किस स्कैनर से। बिना मैपिंग वाली पंक्तियों में अधिकतर ऐसी ही आवश्यकताएँ हैं:

खाता डेटा का प्रबंधन (आवश्यकता 3): प्राधिकरण के बाद वह क्या जो कभी संग्रहीत नहीं किया जा सकता, प्रदर्शित होने पर PAN को मास्क करना, जहाँ भी संग्रहीत हो वहाँ उसे अपठनीय बनाना, और विस्तृत कुंजी-प्रबंधन प्रक्रियाएँ।
विशिष्ट आवृत्तियाँ: हर तीन महीने और महत्वपूर्ण बदलावों के बाद आंतरिक कमज़ोरी स्कैन, Approved Scanning Vendor द्वारा बाहरी स्कैन, लॉग समीक्षा, और हर छह महीने में एक्सेस समीक्षा।
विशिष्ट तकनीकी सेटिंग्स: कार्डधारक डेटा वातावरण में सभी एक्सेस के लिए MFA, सत्र समय-सीमा, पासवर्ड की लंबाई और लॉकआउट सीमाएँ।
भुगतान-विशिष्ट नियंत्रण: भुगतान पेज की स्क्रिप्ट प्रबंधन और छेड़छाड़ पहचान, तथा कार्ड-रीडिंग उपकरणों की छेड़छाड़ के लिए जाँच।
लक्षित जोखिम विश्लेषण: v4.0 में ऐसे जोखिम विश्लेषण आए जो कुछ गतिविधियों की आवृत्ति तय करते हैं, और उन्हें दस्तावेज़ित करना अनिवार्य है।

ISO 27001 यह सब जोखिम उपचार के ज़रिए आपकी पसंद पर छोड़ता है। PCI DSS आपके लिए तय कर देता है।

ISMS फिर भी क्या देता है

मैप हुआ एक-तिहाई हिस्सा मामूली नहीं है। ऐसा ISMS जिसमें कार्डधारक डेटा वातावरण दायरे में हो, वह नीति ढाँचा, जोखिम मूल्यांकन, भूमिकाएँ, आपूर्तिकर्ता प्रबंधन, घटना प्रतिक्रिया और आंतरिक ऑडिट देता है, जिन पर PCI अनुपालन साल-दर-साल निर्भर करता है। आवश्यकता 12 ISO के खंड 4 से 10 का सारांश जैसी लगती है, और ISMS वाले संगठन आमतौर पर पाते हैं कि PCI DSS का शासन वाला पक्ष सीधा है।

योजना कैसे बनाएँ

कार्डधारक डेटा वातावरण को ISMS के दायरे में लाएँ, और PCI DSS को अपनी कानूनी और संविदात्मक आवश्यकताओं में जोड़ें (A.5.31)।
ISO 27001 → PCI DSS गैप रिपोर्ट चलाएँ और हर बिना मैपिंग वाली आवश्यकता को खोजने वाली मैपिंग नहीं, बल्कि डिज़ाइन किया जाने वाला नियंत्रण मानें।
नियंत्रण बनाने से पहले दायरा घटाएँ: सेगमेंटेशन, टोकनाइज़ेशन और आउटसोर्स किए गए भुगतान पेज PCI DSS के बड़े हिस्से को दायरे से बाहर कर सकते हैं।
अपने ISMS नियंत्रणों में PCI की आवृत्तियाँ उपयोग करें, ताकि एक ही नियंत्रण दोनों को पूरा करे: ISO किसी भी अच्छी तरह तर्कसंगत आवृत्ति से संतुष्ट होता है, इसलिए PCI की आवृत्ति चुनें।

ISO 27001 बनाम PCI DSS तुलना में दोनों दिशाओं की हर आवश्यकता सूचीबद्ध है। PCI DSS का पाठ PCI SSC का कॉपीराइट है, इसलिए इस साइट पर आवश्यकता के शीर्षक हमारे अपने संक्षिप्त सारांश हैं।

प्रश्न

क्या ISO 27001 प्रमाणन PCI DSS को संतुष्ट करता है?

नहीं। कार्ड ब्रांड ISO प्रमाणन के बावजूद PCI DSS सत्यापन (Report on Compliance या Self-Assessment Questionnaire) की माँग करते हैं। ISMS कार्यक्रम चलाने में मदद करता है, लेकिन PCI की अधिकांश आवश्यकताएँ Annex A से अधिक विशिष्ट हैं।

ISO 27001 PCI DSS की कौन-सी आवश्यकताएँ सबसे अच्छी तरह कवर करता है?

शासन और नीति (आवश्यकता 12), एक्सेस नियंत्रण के सिद्धांत (7) और घटना प्रतिक्रिया अच्छी तरह मैप होते हैं। अंतर विशिष्ट तकनीकी सेटिंग्स, आवृत्तियों और खाता डेटा के प्रबंधन में केंद्रित हैं।

2026-10-27 तक का डेटा: इस पोस्ट के आँकड़े वर्तमान क्रॉसवॉक से गणना किए गए हैं और उसके बदलने पर अपडेट होते हैं। क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. यह अनुपालन सलाह नहीं है।

PCI DSS v4.0.1 का कितना हिस्सा ISO 27001 वास्तव में कवर करता है?