Conformitatea cu industria cardurilor de plată (PCI) se bazează pe un set de 12 standarde tehnice și operaționale dezvoltate de PCI Security Standards Council (SSC), un organism independent format în 2006 de American Express, Discover, JCB International, Mastercard și Visa. Aceste standarde se aplică oricărei companii care acceptă, transmite sau stochează datele cărților de credit. Acestea au fost create pentru a asigura un mediu sigur care protejează informațiile despre clienți și despre afaceri împotriva unor probleme precum încălcarea datelor.
Pentru a înțelege mai bine conformitatea PCI, este important să știți ce presupune aceasta, cerințele și cum funcționează totul.
Definiția și cerințele conformității PCI
Conformitatea PCI înseamnă respectarea unui set de standarde pentru securitatea și protecția cărților de credit stabilite de PCI SSC. Aceste standarde au fost create pentru a asigura un mediu sigur pentru orice afacere care procesează datele deținătorilor de card.
În timp ce PCI SSC a dezvoltat standardele, mărcile de plată și comercianții sunt responsabili pentru aplicarea conformității.
Fiecare marcă de card de credit poate avea propriile cerințe PCI specifice pe care companiile trebuie să le respecte. Proprietarii de afaceri ar trebui să verifice cu fiecare marcă de plată pentru a se asigura că îndeplinesc toate cerințele necesare.
- nume alternativ: Standardul de securitate a datelor pentru industria cardurilor de plată
- Acronim: PCI, PCI DSS
Standarde de conformitate PCI
Există 12 standarde create de PCI DSS care acoperă atât componentele tehnice, cât și operaționale ale sistemului:
- Mențineți un firewall pentru a proteja datele deținătorului cardului
- Utilizați parole de securitate de nivel înalt în locul parolelor implicite de sistem
- Protejați datele stocate ale titularului de card prin protocoale de securitate adecvate
- Criptați transmiterea datelor deținătorului cardului
- Protejați toate sistemele împotriva programelor malware și actualizați în mod regulat programele antivirus
- Dezvoltați și mențineți sisteme și aplicații securizate
- Restricționați accesul la informațiile deținătorului cardului
- Identificați și autentificați accesul la toate componentele sistemului
- Restricționați accesul fizic la informațiile deținătorului cardului
- Urmăriți și monitorizați toate accesul la rețea și datele deținătorilor de card
- Testați frecvent sistemele și procesele de securitate
- Menține o politică de securitate a informațiilor pentru tot personalul
Pentru a proteja informațiile sensibile ale titularului de card, este responsabilitatea fiecărei companii care prelucrează, transmite și stochează datele cardurilor clienților pentru a se asigura că standardele PCI sunt îndeplinite. Aceste standarde îi pot ajuta pe comercianți să se protejeze împotriva hackerilor și a hoților de informații.
Nerespectarea acestor cerințe poate lăsa o afacere mai vulnerabilă la daune financiare și ar putea duce la taxe costisitoare de neconformitate, evaluate de mărcile de carduri de credit.
Cum funcționează conformitatea PCI?
Fiecare emitent de carduri are propriile linii directoare de conformitate PCI, așa că este o idee bună ca proprietarii de afaceri să verifice cu fiecare emitent pentru a se asigura că îndeplinesc calificările corespunzătoare. Pentru a fi considerate conforme cu PCI, companiile trebuie să treacă printr-un proces în trei etape care include stabilirea domeniului, evaluarea și raportarea.
Scoping
În stabilirea domeniului de aplicare, proprietarii de afaceri trebuie să identifice toate sistemele care, dacă sunt compromise, ar putea afecta datele deținătorilor de card. Scoping este, în general, un proces anual care implică evaluarea tuturor sistemelor și modalităților în care datele deținătorilor de carduri interacționează cu o afacere. Acest proces va ajuta la determinarea tipului de evaluare necesar, precum și amploarea și costul.
Evaluarea
Partea de evaluare a conformității PCI constă fie într-un chestionar de autoevaluare, fie într-un audit la fața locului efectuat de un evaluator de securitate calificat. De ce evaluare are nevoie o companie este determinată de nivelul de comercianți al companiei de card de credit. De exemplu, companiile care procesează în funcție de numărul specificat de emitent de tranzacții cu cardul în fiecare an pot avea nevoie doar de un chestionar de autoevaluare.
Proprietarii de afaceri își pot determina nivelul de comerciant prin intermediul site-ului web desemnat al fiecărei companii de card de credit, cum ar fi acestea pentru Visa, MasterCard, și American Express.
Raportare
Odată ce proprietarii de afaceri completează autoevaluarea, vor trebui să o raporteze companiei cardului de credit. Companiile care se califică pentru o evaluare în persoană trebuie să trimită un Raport privind conformitatea direct emitentului cardului de plată. Evaluările conformității PCI sunt necesare doar anual, dar proprietarii de afaceri pot avea nevoie de scanări trimestriale ale vulnerabilităților efectuate de un furnizor de scanare aprobat. Indiferent de evaluarea efectuată, raportarea rezultatelor auditului către emitenții de carduri de plată este pasul final pentru conformitatea PCI.
Recomandări cheie
- Conformitatea PCI este setul de standarde din industria cardurilor de credit pe care trebuie să le respecte companiile care acceptă, transmit și stochează datele deținătorilor de carduri.
- Există 12 standarde tehnice și operaționale pe care companiile trebuie să le respecte pentru a îndeplini conformitatea PCI.
- Există un proces în trei pași pentru a deveni conform PCI: stabilirea domeniului, evaluarea și raportarea.
- Procesul de evaluare implică fie preluarea unui chestionar de autoevaluare, fie obținerea unui audit la fața locului.
