Kepatuhan industri kartu pembayaran (PCI) didasarkan pada 12 standar teknis dan operasional yang dikembangkan oleh Keamanan PCI Standards Council (SSC), sebuah badan independen yang dibentuk pada tahun 2006 oleh American Express, Discover, JCB International, Mastercard, dan Visa. Standar ini berlaku untuk semua bisnis yang menerima, mengirimkan, atau menyimpan data kartu kredit. Mereka dibuat untuk memastikan lingkungan yang aman yang melindungi informasi pelanggan dan bisnis terhadap masalah seperti pelanggaran data.
Untuk lebih memahami kepatuhan PCI, penting untuk mengetahui apa yang diperlukan, persyaratan, dan cara kerjanya.
Definisi dan Persyaratan Kepatuhan PCI
Kepatuhan PCI adalah kepatuhan terhadap serangkaian standar untuk keamanan dan perlindungan kartu kredit yang ditetapkan oleh PCI SSC. Standar ini dibuat untuk memastikan lingkungan yang aman untuk setiap bisnis yang memproses data pemegang kartu.
Sementara PCI SSC mengembangkan standar, merek pembayaran dan pedagang bertanggung jawab untuk menegakkan kepatuhan.
Setiap merek kartu kredit mungkin memiliki persyaratan PCI spesifiknya sendiri yang harus diikuti oleh bisnis. Pemilik bisnis harus memeriksa setiap merek pembayaran untuk memastikan mereka memenuhi semua persyaratan yang diperlukan.
- nama alternatif: Standar Keamanan Data Industri Kartu Pembayaran
- Akronim: PCI, PCI DSS
Standar Kepatuhan PCI
Ada 12 standar yang dibuat oleh PCI DSS yang mencakup komponen sistem teknis dan operasional:
- Pertahankan firewall untuk melindungi data pemegang kartu
- Gunakan kata sandi keamanan tingkat tinggi alih-alih kata sandi sistem default
- Lindungi data pemegang kartu yang tersimpan melalui protokol keamanan yang tepat
- Mengenkripsi transmisi data pemegang kartu
- Lindungi semua sistem dari malware dan perbarui program anti-virus secara rutin
- Mengembangkan dan memelihara sistem dan aplikasi yang aman
- Batasi akses ke informasi pemegang kartu
- Identifikasi dan autentikasi akses ke semua komponen sistem
- Batasi akses fisik ke informasi pemegang kartu
- Lacak dan pantau semua akses ke data jaringan dan pemegang kartu
- Sering-seringlah menguji sistem dan proses keamanan
- Menjaga kebijakan keamanan informasi untuk semua personel
Untuk melindungi informasi sensitif pemegang kartu, setiap bisnis bertanggung jawab memproses, mengirim, dan menyimpan data kartu pelanggan untuk memastikan standar PCI terpenuhi. Standar ini dapat membantu pedagang melindungi dari peretas dan pencuri informasi.
Tidak memenuhi persyaratan ini dapat membuat bisnis lebih rentan terhadap kerugian finansial dan dapat mengakibatkan biaya ketidakpatuhan yang mahal yang dinilai oleh merek kartu kredit.
Bagaimana Cara Kerja Kepatuhan PCI?
Setiap penerbit kartu memiliki pedoman kepatuhan PCI sendiri, jadi sebaiknya pemilik bisnis memeriksa setiap penerbit untuk memastikan mereka memenuhi kualifikasi yang tepat. Agar dianggap sesuai dengan PCI, bisnis harus melalui proses tiga langkah yang mencakup pelingkupan, penilaian, dan pelaporan.
Pelingkupan
Dalam pelingkupan, pemilik bisnis perlu mengidentifikasi semua sistem yang jika disusupi dapat memengaruhi data pemegang kartu. Pelingkupan umumnya merupakan proses tahunan yang melibatkan evaluasi semua sistem dan cara data pemegang kartu berinteraksi dengan bisnis. Proses ini akan membantu menentukan jenis asesmen yang dibutuhkan serta besaran dan biayanya.
Menilai
Porsi penilaian kepatuhan PCI terdiri dari kuesioner penilaian mandiri atau audit di tempat yang dilakukan oleh penilai keamanan yang berkualifikasi. Penilaian mana yang dibutuhkan bisnis ditentukan oleh tingkat pedagang perusahaan kartu kredit. Misalnya, bisnis yang memproses berdasarkan jumlah transaksi kartu yang ditentukan penerbit setiap tahun mungkin hanya memerlukan kuesioner penilaian mandiri.
Pemilik bisnis dapat menentukan level pedagang mereka melalui situs web yang ditunjuk oleh masing-masing perusahaan kartu kredit, seperti ini untuk Visa, MasterCard, Dan American Express.
Pelaporan
Setelah pemilik bisnis menyelesaikan penilaian mandiri, mereka harus melaporkannya ke perusahaan kartu kredit. Bisnis yang memenuhi syarat untuk penilaian langsung harus menyerahkan Laporan Kepatuhan kepada penerbit kartu pembayaran secara langsung. Penilaian kepatuhan PCI hanya diwajibkan setiap tahun, tetapi pemilik bisnis mungkin memerlukan pemindaian kerentanan triwulanan yang dilakukan oleh vendor pemindaian yang disetujui. Apapun penilaian yang dilakukan, melaporkan hasil audit kepada penerbit kartu pembayaran merupakan langkah terakhir untuk kepatuhan PCI.
Takeaway kunci
- Kepatuhan PCI adalah seperangkat standar industri kartu kredit yang harus diikuti oleh bisnis yang menerima, mentransmisikan, dan menyimpan data pemegang kartu.
- Ada 12 standar teknis dan operasional yang perlu dipatuhi oleh bisnis untuk memenuhi kepatuhan PCI.
- Ada proses tiga langkah untuk menjadi patuh pada PCI: pelingkupan, penilaian, dan pelaporan.
- Proses penilaian melibatkan pengambilan kuesioner penilaian diri atau mendapatkan audit di tempat.
