Ödeme kartı endüstrisi (PCI) uyumluluğu, PCI Security tarafından geliştirilen bir dizi 12 teknik ve operasyonel standarda dayanmaktadır. Standards Council (SSC), 2006 yılında American Express, Discover, JCB International, Mastercard ve Vize. Bu standartlar, kredi kartı verilerini kabul eden, ileten veya depolayan tüm işletmeler için geçerlidir. Veri ihlalleri gibi sorunlara karşı müşteri ve işletme bilgilerini koruyan güvenli bir ortam sağlamak için oluşturulmuştur.
PCI uyumluluğunu daha iyi anlamak için neleri gerektirdiğini, gereksinimleri ve nasıl çalıştığını bilmek önemlidir.
PCI Uyumluluk Tanımı ve Gereksinimleri
PCI uyumluluğu, PCI SSC tarafından belirlenen kredi kartı güvenliği ve koruması için bir dizi standarda bağlılıktır. Bu standartlar, kart sahibi verilerini işleyen tüm işletmeler için güvenli bir ortam sağlamak amacıyla oluşturulmuştur.
PCI SSC standartları geliştirirken, uyumluluğun sağlanmasından ödeme markaları ve satıcılar sorumludur.
Her kredi kartı markasının, işletmelerin uyması gereken kendine özgü PCI gereksinimleri olabilir. İşletme sahipleri, gerekli tüm gereksinimleri karşıladıklarından emin olmak için her bir ödeme markasını kontrol etmelidir.
- Alternatif isim: Ödeme Kartı Sektörü Veri Güvenliği Standardı
- kısaltma: PCI, PCI DSS
PCI Uyumluluk Standartları
PCI DSS tarafından oluşturulan ve hem teknik hem de operasyonel sistem bileşenlerini kapsayan 12 standart vardır:
- Kart sahibi verilerini korumak için bir güvenlik duvarı oluşturun
- Varsayılan sistem parolaları yerine üst düzey güvenlik parolaları kullanın
- Saklanan kart sahibi verilerini uygun güvenlik protokolleri aracılığıyla koruyun
- Kart sahibi verilerinin iletimini şifreleyin
- Tüm sistemleri kötü amaçlı yazılımlara karşı koruyun ve virüsten koruma programlarını düzenli olarak güncelleyin
- Güvenli sistemler ve uygulamalar geliştirin ve sürdürün
- Kart sahibi bilgilerine erişimi kısıtlama
- Tüm sistem bileşenlerine erişimi tanımlayın ve doğrulayın
- Kart sahibi bilgilerine fiziksel erişimi kısıtlama
- Ağ ve kart sahibi verilerine tüm erişimi izleyin ve izleyin
- Güvenlik sistemlerini ve süreçlerini sık sık test edin
- Tüm personel için bir bilgi güvenliği politikası sürdürün
Hassas kart sahibi bilgilerini korumak için, PCI standartlarının karşılanmasını sağlamak müşteri kartı verilerini işleyen, ileten ve depolayan her işletmenin sorumluluğundadır. Bu standartlar, tüccarların bilgisayar korsanlarına ve bilgi hırsızlarına karşı korunmalarına yardımcı olabilir.
Bu gereksinimlerin karşılanmaması, bir işletmeyi mali zarara karşı daha savunmasız bırakabilir ve kredi kartı markaları tarafından değerlendirilen yüksek maliyetli uyumsuzluk ücretleriyle sonuçlanabilir.
PCI Uyumluluğu Nasıl Çalışır?
Her kartı veren kuruluşun kendi PCI uyumluluk yönergeleri vardır, bu nedenle işletme sahiplerinin uygun nitelikleri karşıladıklarından emin olmak için her bir kartı veren kuruluşla görüşmeleri iyi bir fikirdir. İşletmelerin PCI uyumlu olarak değerlendirilmesi için kapsam belirleme, değerlendirme ve raporlamayı içeren üç aşamalı bir süreçten geçmesi gerekir.
kapsam belirleme
Kapsam belirlemede, işletme sahiplerinin, güvenliği ihlal edildiğinde kart sahibi verilerini etkileyebilecek tüm sistemleri belirlemesi gerekir. Kapsam belirleme, genellikle, kart sahibi verilerinin bir işletmeyle etkileşime girdiği tüm sistemlerin ve yolların değerlendirilmesini içeren yıllık bir süreçtir. Bu süreç, ihtiyaç duyulan değerlendirme türünün yanı sıra büyüklük ve maliyetin belirlenmesine yardımcı olacaktır.
değerlendirme
PCI uyumluluğunun değerlendirme kısmı, bir öz-değerlendirme anketinden veya kalifiye bir güvenlik değerlendiricisi tarafından yürütülen bir yerinde denetimden oluşur. Bir işletmenin hangi değerlendirmeye ihtiyaç duyacağı, kredi kartı şirketinin üye iş yeri seviyelerine göre belirlenir. Örneğin, her yıl kart çıkaran kuruluşun belirlediği sayıda kart işlemi gerçekleştiren işletmelerin yalnızca bir öz değerlendirme anketine ihtiyacı olabilir.
İşletme sahipleri, tüccar seviyelerini her bir kredi kartı şirketinin belirlediği web sitesi aracılığıyla belirleyebilir; Vize, MasterCard, Ve American Express.
Raporlama
İşletme sahipleri öz-değerlendirmeyi tamamladıktan sonra bunu kredi kartı şirketine bildirmeleri gerekir. Yüz yüze değerlendirmeye hak kazanan işletmeler, doğrudan ödeme kartını veren kuruluşa bir Uygunluk Raporu sunmalıdır. PCI uyumluluk değerlendirmeleri yalnızca yıllık olarak gereklidir, ancak işletme sahipleri, onaylı bir tarama satıcısı tarafından yürütülen üç aylık güvenlik açığı taramalarına ihtiyaç duyabilir. Hangi değerlendirme yapılırsa yapılsın, denetim sonuçlarının ödeme kartı veren kuruluşlara bildirilmesi PCI uyumluluğu için son adımdır.
Temel Çıkarımlar
- PCI uyumluluğu, kart sahibi verilerini kabul eden, ileten ve saklayan işletmelerin uyması gereken kredi kartı sektörü standartları setidir.
- PCI uyumluluğunu karşılamak için işletmelerin uyması gereken 12 teknik ve operasyonel standart vardır.
- PCI uyumlu hale gelmek için üç adımlı bir süreç vardır: kapsam belirleme, değerlendirme ve raporlama.
- Değerlendirme süreci, bir öz-değerlendirme anketi almayı veya yerinde denetim almayı içerir.
