Shoda s odvětvím platebních karet (PCI) je založena na souboru 12 technických a provozních standardů vyvinutých PCI Security Standards Council (SSC), nezávislý orgán vytvořený v roce 2006 společnostmi American Express, Discover, JCB International, Mastercard a Vízum. Tyto standardy platí pro všechny podniky, které přijímají, přenášejí nebo ukládají údaje o kreditních kartách. Byly vytvořeny, aby zajistily bezpečné prostředí, které chrání informace o zákaznících a podnikání před problémy, jako je narušení dat.
Abyste lépe porozuměli shodě PCI, je důležité vědět, co to obnáší, požadavky a jak to všechno funguje.
Definice a požadavky PCI Compliance
Soulad s PCI je dodržování souboru standardů pro zabezpečení a ochranu kreditních karet stanovených PCI SSC. Tyto standardy byly vytvořeny, aby zajistily bezpečné prostředí pro jakýkoli podnik, který zpracovává data držitelů karet.
Zatímco PCI SSC vyvinula standardy, platební značky a obchodníci jsou zodpovědní za prosazování souladu.
Každá značka kreditních karet může mít své vlastní specifické požadavky PCI, které musí podniky dodržovat. Majitelé firem by si měli ověřit u každé platební značky, zda splňují všechny nezbytné požadavky.
- Alternativní jméno: Standard zabezpečení dat odvětví platebních karet
- Akronym: PCI, PCI DSS
PCI Compliance Standards
PCI DSS vytvořilo 12 standardů, které pokrývají jak technické, tak provozní systémové komponenty:
- Pro ochranu dat držitelů karet udržujte firewall
- Místo výchozích systémových hesel používejte hesla na vysoké úrovni zabezpečení
- Chraňte uložená data držitelů karet pomocí správných bezpečnostních protokolů
- Šifrujte přenos dat držitele karty
- Chraňte všechny systémy před malwarem a pravidelně aktualizujte antivirové programy
- Vyvíjet a udržovat zabezpečené systémy a aplikace
- Omezte přístup k informacím o držiteli karty
- Identifikujte a ověřte přístup ke všem komponentám systému
- Omezte fyzický přístup k informacím o držiteli karty
- Sledujte a monitorujte veškerý přístup k síti a datům držitelů karet
- Často testujte bezpečnostní systémy a procesy
- Udržujte politiku zabezpečení informací pro všechny zaměstnance
Za ochranu citlivých informací o držitelích karet odpovídá každý podnik, který zpracovává, přenáší a uchovává údaje o zákaznických kartách, aby bylo zajištěno splnění standardů PCI. Tyto standardy mohou obchodníkům pomoci chránit se před hackery a zloději informací.
Nesplnění těchto požadavků může způsobit, že podnik bude zranitelnější vůči finančním škodám a mohlo by to vést k nákladným poplatkům za nedodržení stanovené značkami kreditních karet.
Jak funguje soulad s PCI?
Každý vydavatel karty má své vlastní pokyny pro shodu s PCI, takže je dobré, aby si majitelé firem ověřili u každého vydavatele, zda splňují náležité kvalifikace. Aby byly podniky považovány za vyhovující PCI, musí projít třístupňovým procesem, který zahrnuje stanovení rozsahu, posouzení a vykazování.
Stanovení rozsahu
Při stanovení rozsahu musí majitelé firem identifikovat všechny systémy, které by v případě ohrožení mohly ovlivnit data držitelů karet. Stanovení rozsahu je obecně roční proces, který zahrnuje hodnocení všech systémů a způsobů interakce dat držitelů karet s firmou. Tento proces pomůže určit typ potřebného posouzení, jakož i rozsah a náklady.
Posuzování
Část hodnocení shody s PCI sestává buď ze sebehodnotícího dotazníku, nebo z auditu na místě, který provádí kvalifikovaný bezpečnostní hodnotitel. Jaké hodnocení bude podnik potřebovat, je určeno obchodními úrovněmi společnosti vydávající kreditní karty. Například podniky, které každý rok zpracovávají v rámci stanoveného počtu karetních transakcí vydavatele, mohou potřebovat pouze sebehodnotící dotazník.
Majitelé firem mohou určit svou obchodní úroveň prostřednictvím webových stránek každé společnosti vydávající kreditní karty, jako jsou tyto pro Vízum, Mastercard, a American Express.
Hlášení
Jakmile vlastníci firem dokončí sebehodnocení, budou to muset nahlásit společnosti vydávající kreditní karty. Podniky, které splňují podmínky pro osobní posouzení, musí Zprávu o shodě předložit přímo vydavateli platební karty. Posouzení shody s PCI je vyžadováno pouze jednou ročně, ale majitelé firem mohou potřebovat čtvrtletní kontroly zranitelnosti prováděné schváleným dodavatelem skenování. Bez ohledu na to, jaké hodnocení je provedeno, je hlášení výsledků auditu vydavatelům platebních karet posledním krokem pro dodržování PCI.
Klíčové věci
- Soulad s PCI je soubor standardů v odvětví kreditních karet, které musí podniky přijímající, přenášející a ukládající data držitelů karet dodržovat.
- Existuje 12 technických a provozních standardů, které musí podniky dodržovat, aby splnily požadavky PCI.
- Proces, jak dosáhnout shody s PCI, se skládá ze tří kroků: stanovení rozsahu, posouzení a vykazování.
- Proces hodnocení zahrnuje buď vyplnění sebehodnotícího dotazníku, nebo provedení auditu na místě.
