Cardholder data (CHD) is de betaalkaartinformatie die PCI DSS bestaat om te beschermen: het primaire rekeningnummer (PAN) op zichzelf, of het PAN samen met de naam van de kaarthouder, de vervaldatum of de servicecode. Elk systeem dat het opslaat, verwerkt of doorgeeft valt binnen de cardholder data environment (CDE) — en binnen de PCI DSS-scope.
Wat telt als cardholder data?
| Data-element | Categorie | Opslag toegestaan? |
|---|---|---|
| Primair rekeningnummer (PAN) | CHD | ✓ mits onleesbaar gemaakt (sterke cryptografie, truncatie) |
| Naam kaarthouder | CHD (met PAN) | ✓ met bescherming |
| Vervaldatum | CHD (met PAN) | ✓ met bescherming |
| Servicecode | CHD (met PAN) | ✓ met bescherming |
| Volledige trackdata (magneetstrip / chip) | SAD | ✗ nooit na autorisatie |
| CAV2/CVC2/CVV2/CID-beveiligingscode | SAD | ✗ nooit na autorisatie |
| PIN / PIN-blok | SAD | ✗ nooit na autorisatie |
De splitsing is belangrijk omdat de regels in soort verschillen, niet in gradatie: CHD mag worden opgeslagen mits goed beschermd; sensitive authentication data (SAD) mag na autorisatie in het algemeen helemaal niet worden opgeslagen, versleuteld of niet.
Wat is de cardholder data environment (CDE)?
De CDE is alles wat CHD of SAD opslaat, verwerkt of doorgeeft — systemen, netwerksegmenten, mensen, processen — plus elk systeem met onbeperkte connectiviteit daarnaartoe. De PCI DSS-scope volgt de CDE, en daarom is zoveel compliance-engineering eigenlijk scope-engineering: tokenisatie, externe betaalverwerkers, gehoste velden en segmentatie bestaan om het PAN uit je eigen systemen te houden en de CDE klein. De kosten van PCI-compliance volgen de omvang van de CDE meer dan de omvang van het bedrijf.
Waar kaartdata op websites werkelijk lekt
Het klassieke CDE-gesprek gaat over databases en netwerken. De moderne verliesroute is de betaalpagina zelf: e-skimmingscripts lezen het PAN en de CVV uit formuliervelden in de browser van de klant, voordat de data ooit je (of je verwerkers) servers bereikt. De kaartdata wordt gestolen op het enige moment dat ze in klare tekst bestaat — terwijl de klant typt.
Daarom haalde PCI DSS 4.0.1 de browser binnen de scope. Eis 6.4.3 vraagt een geautoriseerde, onderbouwde inventaris van elk script op de betaalpagina, en eis 11.6.1 vraagt detectie wanneer de pagina die de browser van de consument ontvangt wordt gemanipuleerd. Beide gelden zelfs wanneer de kaartinvoer in een gehoste iframe gebeurt, omdat de omliggende pagina die kan overlappen of manipuleren — de reden dat QSA's nu bewijs op browserniveau vragen, en wat csides PCI Shield uit echte sessies verzamelt.
CHD vs PII vs PHI
Cardholder data overlapt met persoonsgegevens in het algemeen, maar is smaller. Een naam plus e-mail is PII maar geen CHD; een PAN is beide. In zorg-checkouts kan hetzelfde formulier tegelijk CHD en gezondheidsinformatie raken, waardoor PCI DSS-verplichtingen bovenop de trackingregels van HIPAA komen. De rode draad door alle drie de regimes: je kunt geen data beschermen die je de pagina niet ziet verlaten.
