ما هي الشهادة؟
PCI DSS (معيار أمان بيانات صناعة بطاقات الدفع) هو معيار أمان تم تطويره للمؤسسات التي تقوم بمعالجة بيانات حامل البطاقة أو نقلها أو تخزينها. إنه ليس قانونًا ولكنه نظام تعاقدي تفرضه أنظمة البطاقات (فيزا وماستركارد وغيرها). يعتمد مستوى الامتثال على المستويات (المستوى 1-4) التي يحددها حجم المعاملات: تخضع المؤسسات ذات الحجم الكبير لتقييم ميداني بواسطة QSA مؤهل وتقرير عن الامتثال (RoC)، بينما تستخدم المنظمات ذات الحجم الأقل استبيان التقييم الذاتي (SAQ). الإصدار المعمول به حاليًا هو PCI DSS v4.0.1.
لمن هو مطلوب؟
- مواقع التجارة الإلكترونية والشركات التي تقبل الدفع عبر الإنترنت
- تجار التجزئة الذين يستخدمون نقاط البيع ومحطات الدفع
- مقدمو خدمات الدفع ومؤسسات الدفع
- يستضيف مركز البيانات ومقدمو الخدمات السحابية بيانات البطاقة
- الشركات التي تتلقى مدفوعات البطاقة من خلال مركز الاتصال
هل هو إلزامي؟
ليس إلزاميا من الناحية القانونية؛ إنه إلزامي فعليًا بسبب العقود المبرمة مع مخططات البطاقات والبنوك. يمكن أن يؤدي عدم الامتثال إلى غرامة أو ارتفاع رسوم المعاملات أو إلغاء الحق في قبول البطاقات. في حالة حدوث خرق للبيانات، تؤثر حالة الامتثال بشكل مباشر على تقييم المسؤولية.
نطاق المواصفة
- الهدف 1 — بناء وصيانة شبكة وأنظمة آمنة: ضوابط أمان الشبكة، والتكوين الآمن
- الهدف 2 — حماية بيانات حامل البطاقة: حماية البيانات المخزنة والتشفير أثناء النقل عبر الشبكات المفتوحة
- الهدف 3 — الحفاظ على برنامج لإدارة الثغرات الأمنية: الحماية من البرامج الضارة والأنظمة الآمنة وتطوير البرامج
- الهدف 4 — تنفيذ تحكم قوي في الوصول: تقييد الوصول حسب احتياجات العمل، والمصادقة، والتحكم في الوصول المادي
- الهدف 5 — مراقبة الشبكات واختبارها بانتظام: التسجيل والمراقبة، واختبار النظام وأمن الشبكة بانتظام
- الهدف 6 — الحفاظ على سياسة وبرنامج أمن المعلومات
- تحديد النطاق: بيئة بيانات حامل البطاقة (CDE) والتجزئة
- مسار التحقق حسب المستوى: RoC (مع QSA) أو SAQ (التقييم الذاتي)
- التزامات مسح ASV واختبار الاختراق
- إصدار شهادة الامتثال (AoC)
عملية منح الشهادة
- 1تحديد النطاق والبرنامجيتم تحديد المواقع والعمليات المطلوب تدقيقها، ومدة التدقيق التي يتطلبها النظام.
- 2التقييم المسبقيتم إجراء تحليل الفجوات بشكل اختياري؛ تصبح الفجوات واضحة قبل التدقيق الرئيسي.
- 3التدقيق الميدانييتم إجراء مراجعة السجلات ومراقبة الموقع وإجراء مقابلات مع العمال وفقًا لقائمة المراجعة الخاصة بالمخطط.
- 4الإبلاغ عن النتائجيتم الإبلاغ عن النتائج وفقًا لتصنيف المخطط. وتكون مخرجات هذه المخططات عبارة عن تقرير تدقيق، وليس شهادة.
- 5الإجراء التصحيحي والمتابعةيتم تقديم خطة عمل تصحيحية للنتائج. يتم إغلاقه مع متابعة التدقيق بموجب المخطط.
مدة الصلاحية
يتم تحديد فترة صلاحية تقارير التدقيق من قبل النظام وتتراوح في الغالب بين سنة وسنتين. يتم استخدام التقرير للفترة التي تقبلها العلامة التجارية المشترية.
المستندات المطلوبة
- تفاصيل التنظيم والموقع
- عدد الموظفين ونمط التحول
- التصاريح والتراخيص القانونية
- السياسات والإجراءات ذات الصلة
- كشوف المرتبات والوقت وسجلات الموظفين
- مخطط تدفق بيانات حامل البطاقة وطوبولوجيا الشبكة
- تعريف النطاق (CDE) وأدلة التجزئة
- جرد النظام ومعايير التكوين
- تقارير فحص ASV وتقارير اختبار الاختراق
- مصفوفة ترخيص الوصول وسجلات المصادقة
- سياسات أمن المعلومات وخطة الاستجابة للحوادث
- قائمة موفري الخدمات الخارجيين وحالة امتثالهم
تكلفة الشهادة
لا يوجد سعر قائمة ثابت؛ يتم حساب التكلفة بناءً على المتغيرات التالية وتقديمها كتابياً في عرض السعر.
- عدد المواقع المراد تدقيقها وعدد الموظفين
- مدة التدقيق التي يحددها المخطط
- ما إذا كان مطلوبًا إجراء تقييم مسبق (تحليل الفجوات).
- ما إذا كانت هناك حاجة إلى تدقيق المتابعة
الاعتماد
تنتج معظم هذه المخططات تقارير تدقيق، وليس مستندات، وتخضع لنظام الموافقة الخاص بمالك المخطط (مثل Sedex، وamfori، وRBA)؛ الاعتماد بالمعنى الكلاسيكي غير موجود في كل مخطط. يتم تحديد كفاءة المدقق وصحة التقرير من خلال قواعد مالك المخطط.
يختلف النطاق الذي يمكن تقديم هذا المخطط ضمنه حسب منتجكم ونشاطكم؛ ويتم تأكيده كتابياً في مرحلة عرض السعر.
النطاق والتفويضاتشهادات ذات صلة
الأسئلة الشائعة
هل أحتاج إلى SAQ أو RoC؟
يعتمد ذلك على حجم معاملات بطاقتك السنوية والمستوى الذي يحدده نظام البطاقة. تتطلب مؤسسات المستوى الأول تقييمًا من قبل QSA مؤهل وRoC؛ يمكن للمستويات الأدنى استخدام التقييم الذاتي مع نوع SAQ ذي الصلة. يعتمد نوع SAQ المطبق على طريقة قبول الدفع الخاصة بك.
لا أقوم بتخزين بيانات البطاقة — هل ما زلت ضمن النطاق؟
على الأرجح، نعم. يغطي المعيار معالجة البيانات ونقلها بقدر ما يغطي تخزينها. يؤدي عدم تخزينها إلى تضييق النطاق بشكل ملحوظ ولكنه لا يلغيها تمامًا؛ لكي يقع خارج النطاق، يجب أن يتم الاستعانة بمصادر خارجية بالكامل لتدفق الدفعات لمزود خارجي.
لماذا يهم التجزئة؟
يؤدي فصل بيئة بيانات حامل البطاقة عن بقية الشبكة إلى تقليل نطاق التقييم بشكل ملحوظ وبالتالي التكلفة. يجب التحقق من فعالية التجزئة من خلال اختبار الاختراق.