# PCI DSS 4.0.1: Tulevaisuuteen ajoitetut vaatimukset ja varmuuskopioinnin todisteet

> PCI DSS 4.0.1:n tulevaisuuteen ajoitetut vaatimukset ovat nyt pakollisia. Tässä kerrotaan, mitä jokainen QSA haluaa nähdä varmuuskopioinnin, palautuksen ja eheyden valvonnasta, ja mitä tarkastajat merkitsevät useimmin.

Source: https://loopbackup.com/fi/blog/pci-dss-4-0-1-future-dated-controls-backup
Publisher: Loop Backup
Content language: fi

---

## Yleiskatsaus

PCI DSS 4.0.1 korvasi version 4.0 kesäkuussa 2024. Siirtymäaika versiosta 3.2.1 päättyi maaliskuussa 2024, ja **tulevaisuuteen ajoitetut vaatimukset** tulivat pakollisiksi **31. maaliskuuta 2025** alkaen. Kaikki arvioinnit tuosta päivästä eteenpäin arvioidaan täyden sääntöjoukon mukaisesti.

Vuoden 2026 arvioinnin yleisin epäonnistumisen syy ei ole uudet tunnistautumis- tai skriptaussäännöt, vaan **riittämättömät varmuuskopiointi- ja palautustodisteet**.

## Mitä 4.0.1 vaatii varmuuskopioinnilta

Useat vaatimukset liittyvät suoraan varmuuskopiointiin ja palautukseen:

- **Vaatimus 9.4**, tietovälineiden turvallinen käsittely ja varmuuskopioiden offline-tallennus
- **Vaatimus 12.10**, tietoturvaloukkauksen reagointisuunnitelma, joka sisältää palautusmenettelyt
- **Vaatimus 6.5**, muutoshallinnan todisteet, jotka kattavat varmuuskopiointikonfiguraatiot
- **Vaatimus 10**, varmuuskopioinnin käyttöoikeuksien valvontalokit, säilytetty vähintään 12 kuukautta (3 kuukautta välittömästi saatavilla)

Uusi "räätälöity lähestymistapa" antaa mahdollisuuden ehdottaa vaihtoehtoisia kontrolleja, mutta **objektiivisten todisteiden** rima on korkea: dokumentoidut palautustestit, lokien säilytys ja todistusaineiston säilytysketju.

## Mitä tarkastajat useimmin merkitsevät

1. Ei dokumentoitua palautustestiä viimeisen 12 kuukauden ajalta
2. Varmuuskopioinnin ylläpitäjätunnusten jakaminen operaattoreiden kesken
3. Ei erottelua tuotantotunnusten ja varmuuskopioinnin tunnusten välillä
4. Varmuuskopiot tallennettu samalle tuotannon kanssa samalle riskialueelle
5. Ei eheyden tarkistusta palautetulle datalle

## Miten [Loop Backup](/) auttaa

[Loop Backup](/cloud-backup-for-business) sisältää muuttumattomat varmuuskopiot, operaattorikohtaiset valvontalokit, roolipohjaisen järjestelmänvalvojan käyttöoikeuden ja yhden napsautuksen palautustestiraportit, jotka täyttävät QSA-vaatimukset. Katso [Miksi erillisellä varmuuskopiointiyhteydellä on merkitystä](/why-separate-backup-access).

## Lopputulos

PCI DSS 4.0.1 ei ole enää "tulossa pian", sitä arvioidaan jo tänään. Jos viimeisin dokumentoitu palautustestisi on yli vuoden vanha, olet jo säännösten vastainen.