Överensstämmelse med betalkortsindustrin (PCI) baseras på en uppsättning av 12 tekniska och operativa standarder utvecklade av PCI Security Standards Council (SSC), ett oberoende organ bildat 2006 av American Express, Discover, JCB International, Mastercard och Visum. Dessa standarder gäller för alla företag som accepterar, överför eller lagrar kreditkortsdata. De skapades för att säkerställa en säker miljö som skyddar kund- och affärsinformation mot problem som dataintrång.
För att bättre förstå PCI-efterlevnad är det viktigt att veta vad det innebär, kraven och hur allt fungerar.
PCI Compliance Definition och krav
PCI-efterlevnad är att följa en uppsättning standarder för kreditkortssäkerhet och skydd som fastställts av PCI SSC. Dessa standarder skapades för att säkerställa en säker miljö för alla företag som behandlar kortinnehavarens data.
Medan PCI SSC utvecklade standarderna är betalningsmärkena och handlarna ansvariga för att upprätthålla efterlevnaden.
Varje kreditkortsmärke kan ha sina egna specifika PCI-krav som företag måste följa. Företagsägare bör kontrollera med varje betalningsmärke för att säkerställa att de uppfyller alla nödvändiga krav.
- alternativt namn: Payment Card Industry Data Security Standard
- Akronym: PCI, PCI DSS
PCI Compliance Standards
Det finns 12 standarder skapade av PCI DSS som täcker både tekniska och operativa systemkomponenter:
- Underhåll en brandvägg för att skydda kortinnehavarens data
- Använd säkerhetslösenord på hög nivå istället för standardsystemlösenord
- Skydda lagrade korthållardata genom lämpliga säkerhetsprotokoll
- Kryptera överföringen av kortinnehavarens data
- Skydda alla system mot skadlig programvara och uppdatera antivirusprogram regelbundet
- Utveckla och underhålla säkra system och applikationer
- Begränsa tillgången till kortinnehavarens information
- Identifiera och autentisera åtkomst till alla systemkomponenter
- Begränsa fysisk åtkomst till kortinnehavarens information
- Spåra och övervaka all åtkomst till nätverks- och kortinnehavardata
- Testa ofta säkerhetssystem och processer
- Upprätthålla en informationssäkerhetspolicy för all personal
För att skydda känslig kortinnehavarinformation är det varje företags ansvar som behandlar, överför och lagrar kundkortsdata för att säkerställa att PCI-standarder uppfylls. Dessa standarder kan hjälpa handlare att skydda sig mot hackare och informationstjuvar.
Att inte uppfylla dessa krav kan göra ett företag mer sårbart för ekonomiska skador och kan resultera i dyra avgifter för att inte följa efterlevnaden som bedöms av kreditkortsmärken.
Hur fungerar PCI Compliance?
Varje kortutgivare har sina egna PCI-efterlevnadsriktlinjer, så det är en bra idé för företagsägare att kontrollera med varje utfärdare för att säkerställa att de uppfyller de rätta kvalifikationerna. För att anses vara PCI-kompatibla måste företag gå igenom en process i tre steg som inkluderar omfattning, bedömning och rapportering.
Omfattning
När det gäller scoping måste företagsägare identifiera alla system som om de äventyras kan påverka kortinnehavarens data. Omfattning är i allmänhet en årlig process som involverar utvärdering av alla system och sätt kortinnehavarens data interagerar med ett företag. Denna process kommer att hjälpa till att bestämma vilken typ av bedömning som behövs samt storlek och kostnad.
Bedömer
Bedömningsdelen av PCI-efterlevnad består av antingen ett självutvärderingsformulär eller en revision på plats utförd av en kvalificerad säkerhetsbedömare. Vilken bedömning ett företag behöver bestäms av kreditkortsföretagets handelsnivåer. Till exempel kan företag som behandlar en emittents specificerade antal korttransaktioner varje år bara behöva ett självutvärderingsformulär.
Företagsägare kan bestämma sin säljarnivå genom varje kreditkortsföretags utsedda webbplats, som dessa för Visum, Mastercard, och American Express.
Rapportering
När företagsägare har slutfört självutvärderingen måste de rapportera det till kreditkortsföretaget. Företag som kvalificerar sig för en personlig bedömning måste skicka in en rapport om efterlevnad till betalkortsutgivaren direkt. PCI-efterlevnadsbedömningar krävs endast årligen, men företagsägare kan behöva kvartalsvisa sårbarhetsskanningar utförda av en godkänd skanningsleverantör. Oavsett vilken bedömning som görs, är rapportering av revisionsresultaten till betalkortsutgivare det sista steget för PCI-efterlevnad.
Viktiga takeaways
- PCI-överensstämmelse är kreditkortsbranschens uppsättning standarder som företag som accepterar, överför och lagrar korthållardata måste följa.
- Det finns 12 tekniska och operativa standarder som företag måste följa för att uppfylla PCI-efterlevnad.
- Det finns en process i tre steg för att bli PCI-kompatibel: omfattning, bedömning och rapportering.
- Bedömningsprocessen innebär antingen att du tar ett självutvärderingsformulär eller får en revision på plats.
