# PCI DSS 4.0 คืออะไร? คู่มือมาตรฐานความปลอดภัยข้อมูลบัตรเครดิตสำหรับธุรกิจไทย 2026
ในยุคที่ E-commerce และระบบชำระเงินออนไลน์กลายเป็นหัวใจของธุรกิจ SME ไทย การป้องกันข้อมูลบัตรเครดิตของลูกค้าไม่ใช่ทางเลือกอีกต่อไป แต่เป็นข้อบังคับที่ทุกธุรกิจที่เก็บ ส่งหรือประมวลผลข้อมูลบัตรต้องปฏิบัติตาม
PCI DSS 4.0 (Payment Card Industry Data Security Standard) คือมาตรฐานสากลฉบับใหม่ที่เปลี่ยนผ่านจาก v3.2.1 อย่างสมบูรณ์ในวันที่ 31 มีนาคม 2025 โดยเพิ่ม 64 ข้อกำหนดใหม่ที่เน้น Zero Trust, MFA และการจัดการความเสี่ยงจาก Phishing อย่างเข้มงวด ธุรกิจไทยที่รับบัตรเครดิต Visa, Mastercard, JCB หรือ AmEx ต้องปฏิบัติตามไม่ว่าจะเป็น Level 1 ถึง Level 4
บทความนี้จะสรุปสิ่งที่ PM และเจ้าของธุรกิจ SME ต้องรู้เกี่ยวกับ PCI DSS 4.0 ตั้งแต่ 12 Requirements หลัก การกำหนด Scope การเปลี่ยนแปลงสำคัญจาก v3.2.1 และแผนเตรียมความพร้อมสำหรับการตรวจประเมิน SAQ หรือ ROC ในปี 2026
PCI DSS 4.0 คืออะไร และใครต้องทำ
PCI DSS เป็นมาตรฐานที่ออกโดย PCI Security Standards Council (PCI SSC) ร่วมกันโดย Visa, Mastercard, American Express, Discover และ JCB เพื่อปกป้องข้อมูล Cardholder Data (CHD) และ Sensitive Authentication Data (SAD)
ธุรกิจที่ต้องปฏิบัติตามแบ่งออกเป็น 4 Levels ตามปริมาณธุรกรรม:
| Level | ปริมาณธุรกรรมต่อปี | รูปแบบการประเมิน |
|-------|----------------------|---------------------|
| Level 1 | มากกว่า 6 ล้าน | ROC โดย QSA |
| Level 2 | 1-6 ล้าน | SAQ + ตรวจโดย QSA |
| Level 3 | 20,000-1 ล้าน (E-com) | SAQ |
| Level 4 | น้อยกว่า 20,000 | SAQ (แนะนำ) |
SME ไทยส่วนใหญ่จะอยู่ใน Level 3 หรือ Level 4 ใช้การประเมินตนเอง (Self-Assessment Questionnaire — SAQ) แต่ก็ต้องมีหลักฐาน Attestation of Compliance (AOC) ที่ผ่านการตรวจสอบจริง ไม่ใช่แค่ติ๊กผ่าน
12 Requirements หลักของ PCI DSS 4.0
มาตรฐานแบ่งออกเป็น 6 Goals และ 12 Requirements ซึ่งเป็นกระดูกสันหลังของทุก Compliance Framework:
สิ่งที่เปลี่ยนไปใน PCI DSS 4.0 เทียบกับ v3.2.1
PCI DSS 4.0 ไม่ใช่แค่การ Update เลขเวอร์ชัน แต่เป็นการยกเครื่องวิธีคิดเรื่อง Security ไปสู่ Continuous Validation
ขั้นตอนเตรียม PCI DSS 4.0 Compliance สำหรับ SME
เปรียบเทียบ Approach: SAQ vs ROC vs Outsourced
| ประเด็น | SAQ ทำเอง | ROC โดย QSA | Outsource ไปยัง Gateway |
|--------|-----------|--------------|--------------------------|
| ค่าใช้จ่าย | ต่ำ (~0-50,000฿) | สูง (500,000฿+) | กลาง (ค่า Transaction) |
| เวลา | 1-3 เดือน | 3-6 เดือน | 1-2 สัปดาห์ |
| Scope | ทั้งระบบ | ทั้งระบบ + Evidence | ลดลงอย่างมาก |
| เหมาะกับ | SME Level 3-4 | Enterprise Level 1 | E-commerce SME ส่วนใหญ่ |
สำหรับ SME ไทยที่ทำ E-commerce แนะนำอย่างยิ่งให้ใช้ Payment Gateway ที่ PCI DSS Compliant แล้วใช้ iframe หรือ Redirect Checkout เพื่อให้ข้อมูลบัตรไม่ผ่านเซิร์ฟเวอร์ของเราเลย วิธีนี้จะลด Scope เหลือเพียง SAQ A ซึ่งใช้เวลาและงบประมาณน้อยที่สุด
สรุป + CTA
PCI DSS 4.0 เป็นมาตรฐานความปลอดภัยบัตรเครดิตที่ทุกธุรกิจรับชำระเงินต้องปฏิบัติตามตั้งแต่ 31 มีนาคม 2025 เป็นต้นไป
Key Takeaways
หากธุรกิจของคุณต้องการที่ปรึกษา PCI DSS 4.0 หรือพัฒนาระบบ Payment Gateway, Fraud Detection และ Security Architecture ติดต่อทีม ADS FIT เพื่อวางแผนเตรียมความพร้อมให้ครบ 12 Requirements และผ่านการตรวจประเมินได้อย่างมั่นใจ