A fizetési kártyaipar (PCI) megfelelősége a PCI Security által kidolgozott 12 műszaki és működési szabványon alapul. Szabványügyi Tanács (SSC), egy független testület, amelyet 2006-ban az American Express, a Discover, a JCB International, a Mastercard és a Vízum. Ezek a szabványok minden olyan vállalkozásra vonatkoznak, amely hitelkártyaadatokat fogad el, továbbít vagy tárol. Azért hozták létre, hogy biztonságos környezetet biztosítsanak, amely megvédi az ügyfelek és az üzleti információkat az olyan problémákkal szemben, mint például az adatszivárgás.
A PCI-megfelelőség jobb megértéséhez fontos tudni, hogy ez mit jelent, milyen követelményeket támaszt, és hogyan működik mindez.
PCI-megfelelőségi definíció és követelmények
A PCI megfelelőség a PCI SSC által meghatározott hitelkártya-biztonsági és -védelmi szabványok betartása. Ezeket a szabványokat azért hozták létre, hogy biztonságos környezetet biztosítsanak minden olyan vállalkozás számára, amely feldolgozza a kártyabirtokos adatokat.
Míg a PCI SSC kidolgozta a szabványokat, a fizetési márkák és a kereskedők felelősek a megfelelőség betartatásáért.
Minden hitelkártya-márkának megvannak a saját PCI-követelményei, amelyeket a vállalkozásoknak be kell tartaniuk. A cégtulajdonosoknak minden fizetési márkánál ellenőrizniük kell, hogy megfelelnek-e az összes szükséges követelménynek.
- Alternatív név: Fizetőkártya-ipari adatbiztonsági szabvány
- Betűszó: PCI, PCI DSS
PCI megfelelőségi szabványok
A PCI DSS 12 szabványt hozott létre, amelyek mind műszaki, mind operatív rendszerelemekre vonatkoznak:
- Fenntartson tűzfalat a kártyatulajdonosok adatainak védelme érdekében
- Használjon magas szintű biztonsági jelszavakat az alapértelmezett rendszerjelszavak helyett
- Védje a kártyatulajdonosok tárolt adatait megfelelő biztonsági protokollokkal
- A kártyabirtokos adatok továbbításának titkosítása
- Védje meg az összes rendszert a rosszindulatú programok ellen, és rendszeresen frissítse a víruskereső programokat
- Biztonságos rendszerek és alkalmazások fejlesztése és karbantartása
- Korlátozza a hozzáférést a kártyatulajdonos adataihoz
- Az összes rendszerelemhez való hozzáférés azonosítása és hitelesítése
- Korlátozza a kártyatulajdonos adataihoz való fizikai hozzáférést
- Kövesse nyomon és figyelje a hálózathoz és a kártyatulajdonos adataihoz való hozzáférést
- Gyakran teszteli a biztonsági rendszereket és folyamatokat
- Fenntartson információbiztonsági szabályzatot minden alkalmazottra vonatkozóan
Az érzékeny kártyabirtokos információk védelme érdekében minden olyan vállalkozás felelőssége, amely feldolgozza, továbbítja és tárolja az ügyfélkártya-adatokat a PCI szabványok betartásának biztosítása érdekében. Ezek a szabványok segíthetnek a kereskedőknek védekezni a hackerek és információtolvajok ellen.
Ha nem teljesíti ezeket a követelményeket, a vállalkozás sebezhetőbbé válhat a pénzügyi károkkal szemben, és költséges, a hitelkártya-márkák által felszámított nem megfelelőségi díjakat eredményezhet.
Hogyan működik a PCI megfelelőség?
Minden kártyakibocsátónak megvannak a saját PCI-megfelelőségi irányelvei, ezért célszerű, ha a cégtulajdonosok minden kibocsátónál megkérdezik, hogy megfelelnek-e a megfelelő képesítéseknek. Ahhoz, hogy a vállalkozások PCI-kompatibilisek legyenek, egy három lépésből álló folyamaton kell keresztülmenniük, amely magában foglalja a hatókör meghatározását, értékelését és jelentését.
Hatáskör
A hatókör meghatározásakor a cégtulajdonosoknak azonosítaniuk kell az összes olyan rendszert, amelyek veszélyeztetése hatással lehet a kártyatulajdonosok adataira. A hatókör meghatározása általában egy éves folyamat, amely magában foglalja az összes rendszer és a kártyabirtokos adatok és a vállalkozás közötti kölcsönhatási módok értékelését. Ez a folyamat segít meghatározni a szükséges értékelés típusát, valamint annak mértékét és költségét.
Értékelés
A PCI-megfelelőség értékelési része egy önértékelő kérdőívből vagy egy minősített biztonsági értékelő által végzett helyszíni auditból áll. Azt, hogy egy vállalkozásnak milyen értékelésre lesz szüksége, a hitelkártya-társaság kereskedői szintje határozza meg. Például azoknak a vállalkozásoknak, amelyek évente a kibocsátó által meghatározott számú kártyatranzakciót dolgoznak fel, csak egy önértékelő kérdőívre van szükségük.
A vállalkozások tulajdonosai meghatározhatják kereskedői szintjüket az egyes hitelkártya-társaságok kijelölt webhelyein, például ezeken a webhelyeken Vízum, MasterCard, és American Express.
Jelentés
Miután a cégtulajdonosok elvégezték az önértékelést, jelenteniük kell azt a hitelkártya-társaságnak. Azoknak a vállalkozásoknak, amelyek jogosultak a személyes értékelésre, a megfelelőségi jelentést közvetlenül a fizetési kártya kibocsátójának kell benyújtaniuk. A PCI-megfelelőségi értékelésre csak évente van szükség, de előfordulhat, hogy a cégtulajdonosoknak negyedévente ellenőrizniük kell a biztonsági réseket egy jóváhagyott szkennelési gyártó által. Bármelyik értékelést is végezzük, az ellenőrzési eredmények jelentése a fizetési kártya kibocsátói felé a PCI megfelelőség utolsó lépése.
Kulcs elvitelek
- A PCI-megfelelőség a hitelkártya-ipari szabványok összessége, amelyet a kártyabirtokosok adatait elfogadó, továbbító és tároló vállalkozásoknak követniük kell.
- A vállalkozásoknak 12 műszaki és működési szabványt kell betartaniuk, hogy megfeleljenek a PCI-megfelelésnek.
- A PCI-kompatibilissé válás három lépésből áll: hatókör meghatározása, értékelése és jelentéstétel.
- Az értékelési folyamat egy önértékelő kérdőív kitöltését vagy egy helyszíni auditálást foglal magában.
