QueryProxy veritabanımızın PCI DSS'i geçmesini sağlar mı?

Hayır. PCI DSS, tüm kart sahibi verisi ortamınıza göre yetkili bir değerlendirici tarafından ya da öz değerlendirmeyle değerlendirilir. QueryProxy, hangi ifadeyi kimin çalıştırdığı ve kimin onayladığı gibi veritabanı erişimi kanıtlarını üretmeye yardım eder. Kapsamınızı değiştirmez.

QueryProxy hangi PCI DSS gereksinimleriyle ilgilidir?

Erişimi iş gereği bilmesi gerekenlerle kısıtlayan Requirement 7, kullanıcıları tanımlayan ve erişimi doğrulayan Requirement 8 ve erişimi loglayıp izleyen Requirement 10. Ağ segmentasyonu ve saklanan hesap verisinin şifrelenmesi gibi diğer gereksinimler QueryProxy'nin yaptığı işin dışındadır.

Maskeleme QueryProxy'yi ya da veritabanını PCI kapsamından çıkarır mı?

Bunu varsaymayın. Kart verisini tutan veritabanı kapsamda kalır. Maskeleme kuralları saklanan sonuç dosyalarına düşeni azaltır, ama yalnızca kuralların eşleştiği değerler için; QueryProxy'nin kendisi de kart sahibi verisi saklayan bir sisteme giden yolun üzerindedir. Değerlendiricinize kapsamı nasıl belirlediğini sorun.

QueryProxy kart numaralarını maskeler mi?

Varsayılan kural seti, gerçek ihraççı aralıklarına daraltılmış, partial stratejisini kullanan bir kredi kartı numarası içerik kuralı ve kart sütunları için sütun kuralları içerir. Hiçbir kuralla eşleşmeyen değer olduğu gibi döner; bu yüzden kurallarınızı kendi verinizde test edin.

Geliştiriciler QueryProxy üzerinden ham kart verisini görebilir mi?

Sonuçlar yazılmadan önce kurallarınızla maskelenir, dolayısıyla maskelenmiş bir değer maskesiz saklanmaz. Kurallarınızın kaçırdığı bir sütun ya da biçim olduğu gibi döner. QueryProxy'nin bağlandığı veritabanı kullanıcısı kendisine verilenleri yine de okuyabilir.

PCI DSS ve veritabanı erişim denetimi

PCI DSS, ödeme kartı verisini saklayan, işleyen ya da ileten kuruluşlar için geçerlidir. Bir veritabanının kapsamda olup olmadığı ve geçip geçmediğiniz, ortamınızın değerlendirmesiyle belirlenir. QueryProxy bunların hiçbirine karar veremez. Bir veritabanına kimin eriştiğini ve orada ne yaptığını yöneten kontroller için kanıt üretmeye yardım edebilir.

Bu sayfa hukuki ya da denetim tavsiyesi değildir. Bir gereksinimi ortamınızda neyin karşıladığına değerlendiriciniz karar verir.

Hangi PCI DSS gereksinimleri veritabanı erişimiyle ilgilidir?

Bu sayfa, PCI Security Standards Council tarafından yayımlanan standardın 4.0.1 sürümüne atıf yapar (başlıklar 2026-10-13 tarihinde kontrol edildi). Üç gereksinim veritabanı erişimiyle ilgilidir; v4.0.1’deki başlıkları şöyledir:

Requirement 7: Restrict Access to System Components and Cardholder Data by Business Need to Know.
Requirement 8: Identify Users and Authenticate Access to System Components.
Requirement 10: Log and Monitor All Access to System Components and Cardholder Data.

Ayrıntıyı alt gereksinimler taşır ve değerlendiricinizin test ettiği kısım onlardır. Bu özetten değil, standardın kendisinden, PCI SSC doküman kütüphanesinden okuyun.

QueryProxy hangi kanıtı üretebilir?

QueryProxy bu gereksinimler için kanıt üretmeye yardım eder. Hiçbirini tek başına karşılamaz.

Gereksinim	QueryProxy’nin ürettiği	Kapsamadığı
7: İş gereği bilme ihtiyacına göre erişim	Geliştirici yalnızca bir DBA’nın yetkilendirdiği bağlantılara ulaşır. Dört rol, kimin göndereceğini, onaylayacağını ve denetleyeceğini ayırır. Büyük okumalar sınırlanır: `LIMIT` içermeyen bir `SELECT` varsayılan olarak 1000 satır alır ve 10000’in üzerindeki hiçbir `LIMIT` kabul edilmez (SQL korumaları).	Her kişinin iş ihtiyacının ne olduğuna karar vermek ve veritabanı kullanıcısının kendi yetkilerinin neye izin verdiği. O kullanıcıya yalnızca işin gerektirdiği ayrıcalıkları verin.
8: tanımlama ve doğrulama	Kullanıcılar tek tek oturum açar, üretim kimlik bilgisi QueryProxy’de AES-256 ile şifreli kalır ve bir geliştiriciye hiç verilmez (onay akışı referansı); yöneticiler, DBA’ler ya da tüm kullanıcılar için TOTP ile iki aşamalı doğrulama zorunlu tutulabilir (yapılandırma).	Parola ve çok faktörlü doğrulama politikanızın bütünü ve QueryProxy’yi çevreleyen sistemlere kimlik doğrulama.
10: erişimi loglama ve izleme	Her talep denetim girdileri yazar: gönderim, karar, süre ve etkilenen satırlarla yürütme, sonuç indirmeleri, girişler ve yapılandırma değişiklikleri. Denetim satırları uygulama üzerinden düzenlenemez ya da silinemez ve bir Denetçi bunları okuyup dışa aktarabilir.	Log incelemesi, alarm, saat senkronizasyonu ve saklama. Dokümantasyon denetim kaydı için bir saklama süresi belirtmez.

Denetim kaydı, bir kişinin bir ifadeyi istediğini, başka bir kişinin onayladığını ve ifadenin çalıştığını gösterir. Onay akışı sayfası bir talebin nasıl ilerlediğini anlatır, akış referansı ise rolleri ve denetim girdilerini listeler.

Maskeleme kart sahibi verisiyle nasıl ilişkilidir?

Maskeleme bir sonuç yazılırken çalışır, dolayısıyla maskesiz sonuç hiç saklanmaz. Varsayılan kural seti kart numaraları için (partial stratejisi) ve kart sütunları için birer kural içerir. Bkz. dinamik veri maskeleme ve maskeleme referansı.

Bu, sonuç dosyalarına ne kadar kart sahibi verisi girdiğini azaltır. Veritabanını kapsamdan çıkarmaz ve yalnızca kuralların tanıdığını maskeler. Beklenmedik bir sütundaki ya da biçimdeki kart numarası saklandığı gibi döner. Kurallara güvenmeden önce gerçek sütun adları ve biçimleriyle test edin.

Kuruluşunuza ne kalır?

Kart sahibi verisi ortamınızı, kapsamını ve varsa segmentasyonu tanımlamak.
Saklanan hesap verisini korumak ve anahtarları yönetmek.
QueryProxy’nin bağlandığı veritabanı kullanıcısının yetkileri. Okuma bağlantıları için yalnızca SELECT yetkili kullanıcı en güvenli seçim olmayı sürdürür.
Logları incelemek, saklamak ve gösterdiklerine göre harekete geçmek.
Sunucuyu ve uygulamanın kendi veritabanını sertleştirmek. Bkz. üretim güvenliği.
Değerlendirme: bir değerlendirici ya da anket seçmek ve kanıtın geri kalanını toplamak.

Sınırlar neler?

QueryProxy yalnızca kendi üzerinden yapılan talepleri loglar. Veritabanına giden diğer yollar onun denetim kaydında girdi bırakmaz.
SQL guard bir yasak listesidir ve doğası gereği eksiktir. Yetkilendirme sınırı DBA’nın onayıdır.
Maskeleme kural tabanlıdır ve kart verisini kendi başına tespit etmez.
Veritabanı, her QueryProxy talebi için tek bir bağlantı kullanıcısı görür. Kendi logları kişiyi değil o hesabı gösterir. Bir bireye atfetme QueryProxy’nin denetim kaydında durur; bir değerlendirici Requirement 8 ve 10’u test ettiğinde bu önem kazanır.
QueryProxy kullanmak size PCI DSS doğrulaması kazandırmaz.

Ne zaman ihtiyacınız yok?

Kart verisi saklamıyor, işlemiyor ya da iletmiyorsanız PCI DSS veritabanlarınız için geçerli değildir, bu sayfa da değildir. Tüm kart verisini bir ödeme işlemcisi tutuyor ve veritabanlarınız yalnızca token saklıyorsa maruziyetiniz farklıdır; değerlendiricinizle doğrulayın. Bir bastion host ve veritabanı denetim loglaması değerlendiricinizi zaten tatmin ediyorsa QueryProxy’nin katacağı az olabilir. Bastion host ile karşılaştırma farkı gösterir.

İlgili okumalar: SOC 2, ISO 27001 ve veritabanı erişim denetimi nedir.

Sık sorulanlar

QueryProxy veritabanımızın PCI DSS'i geçmesini sağlar mı?: Hayır. PCI DSS, tüm kart sahibi verisi ortamınıza göre yetkili bir değerlendirici tarafından ya da öz değerlendirmeyle değerlendirilir. QueryProxy, hangi ifadeyi kimin çalıştırdığı ve kimin onayladığı gibi veritabanı erişimi kanıtlarını üretmeye yardım eder. Kapsamınızı değiştirmez.
QueryProxy hangi PCI DSS gereksinimleriyle ilgilidir?: Erişimi iş gereği bilmesi gerekenlerle kısıtlayan Requirement 7, kullanıcıları tanımlayan ve erişimi doğrulayan Requirement 8 ve erişimi loglayıp izleyen Requirement 10. Ağ segmentasyonu ve saklanan hesap verisinin şifrelenmesi gibi diğer gereksinimler QueryProxy'nin yaptığı işin dışındadır.
Maskeleme QueryProxy'yi ya da veritabanını PCI kapsamından çıkarır mı?: Bunu varsaymayın. Kart verisini tutan veritabanı kapsamda kalır. Maskeleme kuralları saklanan sonuç dosyalarına düşeni azaltır, ama yalnızca kuralların eşleştiği değerler için; QueryProxy'nin kendisi de kart sahibi verisi saklayan bir sisteme giden yolun üzerindedir. Değerlendiricinize kapsamı nasıl belirlediğini sorun.
QueryProxy kart numaralarını maskeler mi?: Varsayılan kural seti, gerçek ihraççı aralıklarına daraltılmış, partial stratejisini kullanan bir kredi kartı numarası içerik kuralı ve kart sütunları için sütun kuralları içerir. Hiçbir kuralla eşleşmeyen değer olduğu gibi döner; bu yüzden kurallarınızı kendi verinizde test edin.
Geliştiriciler QueryProxy üzerinden ham kart verisini görebilir mi?: Sonuçlar yazılmadan önce kurallarınızla maskelenir, dolayısıyla maskelenmiş bir değer maskesiz saklanmaz. Kurallarınızın kaçırdığı bir sütun ya da biçim olduğu gibi döner. QueryProxy'nin bağlandığı veritabanı kullanıcısı kendisine verilenleri yine de okuyabilir.