Съответствието с индустрията на разплащателните карти (PCI) се основава на набор от 12 технически и оперативни стандарта, разработени от PCI Security Съвет по стандартите (SSC), независим орган, създаден през 2006 г. от American Express, Discover, JCB International, Mastercard и Виза. Тези стандарти се прилагат за всеки бизнес, който приема, предава или съхранява данни за кредитни карти. Те са създадени, за да осигурят сигурна среда, която защитава информацията за клиентите и бизнеса срещу проблеми като пробиви на данни.
За да разберете по-добре съответствието с PCI, е важно да знаете какво включва то, изискванията и как работи всичко.
Дефиниция и изисквания за съответствие с PCI
Съответствието с PCI е придържане към набор от стандарти за сигурност и защита на кредитни карти, определени от PCI SSC. Тези стандарти са създадени, за да осигурят сигурна среда за всеки бизнес, който обработва данни на картодържател.
Докато PCI SSC разработи стандартите, марките за плащане и търговците са отговорни за налагането на съответствие.
Всяка марка кредитна карта може да има свои специфични PCI изисквания, които фирмите трябва да следват. Собствениците на фирми трябва да се консултират с всяка платежна марка, за да се уверят, че отговарят на всички необходими изисквания.
- Алтернативно име: Стандарт за сигурност на данните в сектора на платежните карти
- акроним: PCI, PCI DSS
Стандарти за съответствие с PCI
Има 12 стандарта, създадени от PCI DSS, които обхващат както технически, така и операционни системни компоненти:
- Поддържайте защитна стена, за да защитите данните на картодържателя
- Използвайте пароли за сигурност от високо ниво вместо системни пароли по подразбиране
- Защитете съхранените данни на картодържателя чрез подходящи протоколи за сигурност
- Криптирайте предаването на данните на картодържателя
- Защитете всички системи срещу злонамерен софтуер и актуализирайте редовно антивирусните програми
- Разработвайте и поддържайте сигурни системи и приложения
- Ограничете достъпа до информацията за картодържателя
- Идентифицирайте и удостоверявайте достъпа до всички компоненти на системата
- Ограничете физическия достъп до информацията на картодържателя
- Проследявайте и наблюдавайте целия достъп до мрежата и данните на картодържателя
- Често тествайте системи и процеси за сигурност
- Поддържайте политика за информационна сигурност за целия персонал
За защита на чувствителната информация на притежателя на карта е отговорност на всеки бизнес, който обработва, предава и съхранява данни за клиентски карти, за да гарантира, че са изпълнени PCI стандартите. Тези стандарти могат да помогнат на търговците да се предпазят от хакери и крадци на информация.
Неспазването на тези изисквания може да направи бизнеса по-уязвим към финансови щети и може да доведе до скъпи такси за неспазване, оценени от марките на кредитни карти.
Как работи съответствието с PCI?
Всеки издател на карта има свои собствени насоки за съответствие с PCI, така че е добра идея собствениците на фирми да се консултират с всеки издател, за да се уверят, че отговарят на подходящите квалификации. За да се считат за съвместими с PCI, фирмите трябва да преминат през процес от три стъпки, който включва обхват, оценка и докладване.
Определяне на обхвата
При определянето на обхвата собствениците на фирми трябва да идентифицират всички системи, които, ако бъдат компрометирани, могат да повлияят на данните на картодържателя. Определянето на обхвата обикновено е годишен процес, който включва оценка на всички системи и начини, по които данните на картодържателя взаимодействат с бизнеса. Този процес ще помогне да се определи вида на необходимата оценка, както и мащабът и цената.
Оценяване
Частта за оценка на съответствието с PCI се състои или от въпросник за самооценка, или от одит на място, извършен от квалифициран оценител на сигурността. От каква оценка ще се нуждае бизнесът се определя от нивата на търговеца на компанията за кредитни карти. Например, фирми, които обработват под определения от издателя брой транзакции с карти всяка година, може да се нуждаят само от въпросник за самооценка.
Собствениците на фирми могат да определят нивото си на търговец чрез определения уебсайт на всяка компания за кредитни карти, като тези за Виза, Mastercard, и American Express.
Докладване
След като собствениците на бизнес завършат самооценката, те ще трябва да го докладват на компанията за кредитни карти. Предприятията, които отговарят на условията за лична оценка, трябва да подадат доклад за съответствие директно до издателя на платежната карта. Оценките за съответствие с PCI се изискват само годишно, но собствениците на фирми може да се нуждаят от тримесечни сканирания за уязвимости, извършвани от одобрен доставчик на сканиране. Която и оценка да се направи, докладването на резултатите от одита на издателите на платежни карти е последната стъпка за съответствие с PCI.
Ключови изводи
- Съответствието с PCI е набор от стандарти на индустрията за кредитни карти, които фирмите, приемащи, предаващи и съхраняващи данни на картодържатели, трябва да следват.
- Има 12 технически и оперативни стандарта, които фирмите трябва да спазват, за да отговарят на изискванията на PCI.
- Съществува процес в три стъпки, за да станете съвместими с PCI: обхват, оценка и докладване.
- Процесът на оценяване включва попълване на въпросник за самооценка или получаване на одит на място.
