PCI DSS

Den aktuella versionen av sidan har ännu inte granskats av erfarna bidragsgivare och kan skilja sig väsentligt från versionen som granskades den 31 mars 2020; kontroller kräver 16 redigeringar .

Payment Card Industry Data Security Standard (PCI DSS) (från engelska "payment card industry security standard") är en datasäkerhetsstandard för betalkort som etablerats av de internationella betalningssystemen Visa , MasterCard , American Express , JCB och Discover . [1] PCI-säkerhetsstandarder är utformade för att skydda betalningsdata under hela livscykeln för en betalning och för att tillhandahålla tekniska lösningar som devalverar denna data och därigenom avskräcker brottslingar från att stjäla den. [2]

Om betalkortsbranschens datasäkerhetsstandard

Överensstämmelse med PCI DSS-kraven innebär ett övergripande tillvägagångssätt för att säkerställa informationssäkerheten för betalkortsdata. [3] Behovet av PCI DSS-efterlevnad fastställs av betalsystemoperatörer som en del av deras egna säkerhetsprogram.

Till exempel:

Alla organisationer som lagrar, överför eller behandlar kortdata för dessa betalningssystem måste följa PCI DSS-kraven. Dessutom upprättar betalningssystem regler för att bekräfta överensstämmelse med PCI DSS. [3]

Nationella (lokala) betalningssystem kan också specificera kravet på PCI DSS-överensstämmelse i sina säkerhetsprogram och fastställa krav för överensstämmelsebekräftelseschemat. Till exempel, i betalningssystemet " Mir " definieras behovet av överensstämmelse med PCI DSS i standarden för PS "Mir" "Säkerhetsprogram". [4] Programmet definierar även organisationsnivåer och rapporteringskrav.

Sedan september 2006 har standarden införts av Visas internationella betalningssystem i CEMEA- regionen ( Central- och Östeuropa , Mellanöstern och Afrika ) som obligatorisk respektive, dess effekt gäller även Ryssland . Därför måste tjänsteleverantörer ( bearbetningscentraler , betalningsgateways , internetleverantörer ) som arbetar direkt med VisaNet genomgå ett revisionsförfarande för att uppfylla kraven i standarden.

Sedan 2012 har certifiering blivit obligatoriskt för alla organisationer som arbetar med bankkort. [5]

PCI DSS Compliance Statement

Olika internationella betalningssystem har olika krav för processen att verifiera överensstämmelse med PCI DSS-krav.

Vanligtvis varierar bekräftelsescheman för organisationer beroende på antalet korttransaktioner som behandlas. Varje organisation tilldelas en viss nivå med motsvarande krav som de måste uppfylla. Som en del av kraven på betalningssystem tillhandahålls årliga revisioner av organisationer för efterlevnad av PCI DSS eller självutvärdering.

Följande metoder är tillgängliga för att verifiera överensstämmelse med PCI DSS-krav:

Överensstämmelsekontrollmetoden, eller kombinationen av metoder, väljs beroende på nivån på handlaren eller tjänsteleverantören.

Nivåer av handels- och tjänsteföretag

Ett handels- och tjänsteföretag (TSE) är en organisation som accepterar betalkort som betalning för sålda varor eller tjänster. Exempel på handels- och serviceföretag är butiker, restauranger, hotell och nätbutiker.

Enligt Visa-klassificering:

Nivå 1:

Krav för bedömning av överensstämmelse:

Nivå 2:

Krav för bedömning av överensstämmelse:

Nivå 3:

Krav för bedömning av överensstämmelse:

Nivå 4:

Krav för bedömning av överensstämmelse:

Enligt MasterCard-klassificering:

Nivå 1:

Krav för bedömning av överensstämmelse:

Nivå 2:

Krav för bedömning av överensstämmelse:

Nivå 3:

Krav för bedömning av överensstämmelse:

Nivå 4:

Krav för bedömning av överensstämmelse:

Tjänsteleverantörsnivåer

Tjänsteleverantörer är organisationer som tillhandahåller olika tjänster, främst inom informationsteknologi , till handlare, inlösenbanker och emittenter och direkt till internationella betalningssystem. Samtidigt får organisationen - tjänsteleverantören - tillgång till uppgifter om kortinnehavare. Exempel på tjänsteleverantörer är leverantörer av bearbetningscenter , betalningsgateways, datacenter, tokenisering och punkt-till-punkt-kryptering ( P2PE ).

Enligt Visa-klassificering:

Nivå 1:

Krav för bedömning av överensstämmelse:

Nivå 2:

Krav för bedömning av överensstämmelse:

Enligt MasterCard-klassificering:

Nivå 1:

Certifieringskrav:

Nivå 2:

Krav för bedömning av överensstämmelse:

Revisionsföretag PCI QSA

Som framgår av klassificeringen ska certifiering på högsta nivåer utföras av ett revisionsföretag med status som Qualified Security Assessor (PCI QSA). För andra nivåer är involvering av QSA inte ett obligatoriskt krav. QSA kan dock tillhandahålla konsulttjänster för alla nivåer av överensstämmelsebedömning. .

Revisionsföretag PCI PA-QSA

Det finns en relaterad PCI DSS-säkerhetsstandard för betalningsapplikationer - Payment Card Industry Payment Application - Data Security Standard (PCI PA-DSS). Tillverkare av programvara som är involverad i behandlingen av betalningstransaktioner måste certifiera ansökningar enligt PA-DSS-standarden. Enligt kraven i de internationella betalningssystemen Visa och MasterCard måste alla handlare och tjänsteleverantörer , från och med den  1 juli 2012, endast använda betalningsapplikationer certifierade enligt PA-DSS-standarden. Kontrollen av uppfyllandet av detta krav tilldelas förvärvande banker. Certifiering av betalningsansökningar enligt PA-DSS-standarden kan utföras av företag med PCI PA-QSA-status .

PCI DSS-krav

PCI DSS definierar följande sex kontrollområden och 12 grundläggande säkerhetskrav.

Bygga och underhålla ett säkert nätverk

Skydda kortinnehavarens data

Programstöd för sårbarhetshantering

Genomförande av strikta åtkomstkontrollåtgärder

Regelbunden nätverksövervakning och testning

Stöd för informationssäkerhetspolicy

Versioner av PCI DSS-standarden

PCI SSC Council följer en treårig standarduppdateringscykel. Första året är det introduktion av standarden i branschen, andra året är det insamling av feedback i form av kommentarer och önskemål från deltagarna i betalkortsbranschen, tredje året är det utarbetande av en ny version av standarden . PCI SSC Community Meeting-konferenser hålls mellan scenerna, som består av amerikanska och europeiska sessioner. Under konferenserna diskuterar deltagande organisationer, internationella betalningssystem, konsulter och QSAs, samt handlare och tjänsteleverantörer framtiden för standarden och relaterade dokument.

Historik över standardändringar:

Anteckningar

  1. ↑ Vad är PCI DSS (Payment Card Industry Data Security Standard)? - Definition från WhatIs.com  (engelska) . Söksäkerhet . Tillträdesdatum: 16 september 2022.
  2. ↑ Standarder  _  _ . PCI Security Standards Council . Tillträdesdatum: 16 september 2022.
  3. ↑ 1 2 Vanliga   frågor ? . PCI Security Standards Council . Tillträdesdatum: 16 september 2022.
  4. ↑ Säkerhetsprogram .
  5. ↑ PCI DSS-standard: vad är det, krav, hur man får ett certifikat . itglobal.com . Tillträdesdatum: 16 september 2022.
  6. ↑ Säkra framtiden för betalningar: PCI SSC publicerar PCI Data Security Standard   v4.0 ? . PCI Security Standards Council . Tillträdesdatum: 16 september 2022.

Länkar