簡介
在金融科技中，合規並不是「可有可無」—而是強制性。支付平台必須遵守一系列安全、隱私和報告法規。違規行為可能會導致數百萬美元的罰款、吊銷許可證以及失去客戶信任。
1. PCI-DSS — 支付卡產業資料安全標準
1.1 PCI-DSS 概述
PCI-DSS 是任何處理、儲存或傳輸支付卡資料的組織的強制性安全標準。
PCI-DSS v4.0 (2024+) — 12 Requirements:
├── Build & Maintain Secure Network
│ ├── 1. Firewall configuration
│ └── 2. No vendor-supplied defaults
├── Protect Cardholder Data
│ ├── 3. Protect stored data
│ └── 4. Encrypt transmission
├── Vulnerability Management
│ ├── 5. Anti-malware
│ └── 6. Secure development
├── Access Control
│ ├── 7. Restrict access (need-to-know)
│ ├── 8. Unique IDs for access
│ └── 9. Physical access control
├── Monitoring & Testing
│ ├── 10. Track & monitor access
│ └── 11. Regular security testing
└── Security Policy
└── 12. Information security policy
1.2 PCI-DSS 合規級別
| 水平 | 標準 | 請求 |
|---|---|---|
| 1 級 | >600 萬筆交易/年 | 年度現場審核（QSA） |
| 2 級 | 每年 100 萬至 600 萬筆交易 | 年度 SAQ、季度掃描 |
| 3級 | 每年 20K-100 萬筆交易 | 年度 SAQ、季度掃描 |
| 4級 | <20K transactions/year | Annual SAQ |
1.3 PCI-DSS 相容系統的設計
┌─────────────────────────────────────────────────────┐
│ PCI-DSS SCOPE │
│ ┌─────────────────────────────────────────────┐ │
│ │ Cardholder Data Environment (CDE) │ │
│ │ │ │
│ │ ┌──────────┐ ┌──────────┐ ┌─────────┐ │ │
│ │ │ Payment │ │ HSM │ │Tokenizer│ │ │
│ │ │ Service │ │ │ │ │ │ │
│ │ └──────────┘ └──────────┘ └─────────┘ │ │
│ │ │ │
│ │ Network Segmentation (VLAN/Firewall) │ │
│ └─────────────────────────────────────────────┘ │
│ │
│ ┌─────────────────────────────────────────────┐ │
│ │ Connected Systems (Reduced Scope) │ │
│ │ ┌──────────┐ ┌──────────┐ │ │
│ │ │ API GW │ │ Logging │ │ │
│ │ └──────────┘ └──────────┘ │ │
│ └─────────────────────────────────────────────┘ │
│ │
│ Out of Scope: Wallet Service, Reporting, etc. │
│ (if properly segmented) │
└─────────────────────────────────────────────────────┘
策略：透過令牌化最小化 PCI 範圍 — 立即用令牌替換卡片數據，其他服務僅處理令牌。
1.4 Tokenization Flow
Customer ─── PAN: 4111...1111 ───► Tokenizer ─── Token: tok_abc123 ──►
│
┌────▼────┐
│ HSM │ (Hardware Security Module)
│ Encrypt │
│ & Store │
└─────────┘
Everywhere else in the system: only tok_abc123 is used
PAN never leaves the CDE (Cardholder Data Environment)
2. PSD2 和開放銀行
2.1 PSD2 — Payment Services Directive 2
PSD2 是一項歐盟指令，要求銀行向第三方開放 API：
PSD2 Key Requirements:
├── Strong Customer Authentication (SCA)
│ ├── Knowledge (password, PIN)
│ ├── Possession (phone, token)
│ └── Inherence (biometrics)
│ → At least 2 of 3 factors required
│
├── Open Banking APIs
│ ├── Account Information Service (AIS)
│ ├── Payment Initiation Service (PIS)
│ └── Card-Based Payment Instrument (CBPII)
│
└── Consumer Protection
├── Reduced liability for unauthorized transactions
├── No surcharges for card payments
└── Faster complaint resolution
2.2 3D Secure 2 (3DS2) — SCA Implementation
┌──────────┐ ┌──────────┐ ┌──────────┐ ┌──────────┐
│ Customer │ │ Merchant │ │ Card │ │ Issuer │
│ │ │ (PSP) │ │ Network │ │ Bank │
└────┬─────┘ └────┬─────┘ └────┬─────┘ └────┬─────┘
│ │ │ │
│ Checkout │ │ │
├─────────────►│ │ │
│ │ 3DS Auth │ │
│ ├─────────────►│ │
│ │ │ Auth Req │
│ │ ├─────────────►│
│ │ │ │
│ │ │ Risk-based │
│ │ │ Decision │
│ │ │◄─────────────┤
│ │ │ │
│ Challenge (if needed) │ │
│◄────────────────────────────┤ │
│ OTP/Biometric │ │
├────────────────────────────►│ │
│ │ │ │
│ │ Auth Result │ │
│ │◄─────────────┤ │
│ Result │ │ │
│◄─────────────┤ │ │
3. 越南國家銀行的規定
3.1 法律框架
Hệ thống quy định FinTech tại Việt Nam:
├── Luật Ngân hàng Nhà nước (2010)
├── Luật Các tổ chức tín dụng (2024, sửa đổi)
├── Luật Giao dịch điện tử (2023)
├── Nghị định 101/2012 về thanh toán không dùng tiền mặt
│ └── Nghị định 35/2023 (sửa đổi)
├── Thông tư 39/2014 về trung gian thanh toán
├── Thông tư 23/2022 về dịch vụ ví điện tử
└── Sandbox FinTech (Nghị định 13/2023)
3.2 電子錢包的要求
| 請求 | 內容 |
|---|---|
| 許可證 | 必須取得越南國家銀行作為支付中介的許可 |
| 註冊資本 | 最低 500 億越南盾 |
| 了解您的客戶 | 透過 CCCD/eKYC 進行身份驗證 |
| 限制 | 未驗證錢包：1000萬。已驗證：1億 |
| 連結 | 必須連結到銀行帳戶 |
| 報告 | 定期向國家銀行報告 |
| 存檔 | 儲存交易至少 10 年 |
| 安全 | 符合SBV資訊安全標準 |
3.3 eKYC Requirements
eKYC Flow (theo quy định NHNN):
├── 1. Thu thập thông tin
│ ├── CCCD (Căn cước công dân gắn chip)
│ ├── NFC đọc chip CCCD
│ └── Video call / Liveness detection
├── 2. Xác minh
│ ├── OCR trích xuất thông tin CCCD
│ ├── Face matching (ảnh CCCD vs selfie)
│ ├── Liveness check (chống giả mạo)
│ └── Cross-check với CSDL quốc gia
├── 3. Phân loại rủi ro
│ ├── Low risk: Giao dịch < 10 triệu
│ ├── Medium risk: 10-100 triệu
│ └── High risk: > 1億（需進一步核實）
└── 4. 儲存與報告
├── 儲存KYC記錄>=5年
└── 依規定向SBV報告
4. Compliance Architecture
4.1 Compliance-by-Design Principles
┌──────────────────────────────────────────────────────────┐
│ 合規性設計 │
├──────────────────────────────────────────────────────────┤
│ │
│ 1. 資料最小化 │
│ → 只收集必要的資料 │
│ │
│ 2. 無所不在的加密 │
│ → 靜態 (AES-256)、傳輸中 (TLS 1.3) │
│ │
│ 3. 稽核追蹤 │
│ → 所有更改的不可變日誌 │
│ │
│ 4. 存取控制 │
│ → RBAC + 需要知道的原則 │
│ │
│ 5. 資料保留 │
│ → 策略驅動的保留與刪除 │
│ │
│ 6. 同意管理 │
│ → 明確同意，輕鬆撤回 │
│ │
└──────────────────────────────────────────────────────────┘
4.2 Audit Trail Design
-- 不可變的稽核日誌表
建立表audit_log (
id UUID 主鍵預設 gen_random_uuid(),
時間戳 TIMESTAMPTZ NOT NULL DEFAULT NOW(),
actor_id UUID NOT NULL,
actor_type VARCHAR(50) NOT NULL, -- '使用者', '系統', '管理員'
操作 VARCHAR(100) NOT NULL,
資源類型 VARCHAR(100) NOT NULL,
資源 ID UUID 不為空，
舊值 JSONB，
新值 JSONB，
ip_位址 INET,
使用者代理文本，
correlation_id UUID NOT NULL,
-- 不允許更新或刪除
簽入（操作（'創建'、'更新'、'刪除'、'讀取'、'導出'））
）；
-- Append-only：撤銷UPDATE和DELETE
撤銷更新，從 app_user 刪除審核日誌；
5. Compliance Monitoring & Reporting
5.1 Automated Compliance Checks
合規性檢查：
pci_dss：
- 名稱：“靜態加密”
檢查：“所有資料庫都使用 AES-256 加密”
頻率：每天
- 名稱：“訪問日誌記錄”
檢查：“記錄所有 CDE 訪問”
頻率：即時
- 名稱：“漏洞掃描”
檢查：“ASV 掃描已完成”
頻率：每季一次
恩恩：
- 名稱：“交易限制”
檢查：“強制執行錢包限制”
頻率：即時
- 名稱：“KYC 驗證”
檢查：“限制增加之前驗證的所有用戶”
頻率：活動中
- 名稱：“監管報告”
檢查：“提交的月度報告”
頻率：每月
總結
金融科技的合規性是不可或缺的基礎。要點：
- PCI-DSS：透過標記化、網路分段最小化範圍
- PSD2/SCA：3D Secure 2 用於強大的客戶身份驗證
- 越南 SBV：eKYC、錢包限額、定期報告
- 設計原則：資料最小化、加密、稽核跟踪
下一篇文章：我們將開始建立支付網關架構——從結帳到結算的端到端支付流程。