Kart Verisi Güvenliği (PCI DSS)

PCI DSS (Payment Card Industry Data Security Standard), kart sahibi verisini işleyen, ileten veya saklayan kuruluşlar için geliştirilmiş güvenlik standardıdır. Bir yasa değil, kart şemalarının (Visa, Mastercard ve diğerleri) sözleşmesel olarak dayattığı bir rejimdir. Uyum düzeyi işlem hacmine göre belirlenen seviyelere (Level 1-4) bağlıdır: yüksek hacimli kuruluşlarda yetkili bir QSA tarafından yerinde değerlendirme ve Uygunluk Raporu (RoC), düşük hacimlilerde ise öz değerlendirme anketi (SAQ) uygulanır. Yürürlükteki sürüm PCI DSS v4.0.1'dir.

• E-ticaret siteleri ve online ödeme alan işletmeler
• POS ve ödeme terminali kullanan perakendeciler
• Ödeme hizmeti sağlayıcıları ve ödeme kuruluşları
• Kart verisi barındıran veri merkezi ve bulut sağlayıcıları
• Çağrı merkezi üzerinden kartla ödeme alan işletmeler

Yasal olarak zorunlu değildir; kart şemalarıyla ve bankalarla yapılan sözleşmeler nedeniyle fiilen zorunludur. Uyumsuzluk hâlinde para cezası, işlem ücretlerinin artırılması veya kart kabul yetkisinin iptali gibi sonuçlar doğabilir. Bir veri ihlali durumunda uyum durumu sorumluluk değerlendirmesinde doğrudan etkilidir.

• Hedef 1 — Güvenli ağ ve sistemler: ağ güvenlik kontrolleri, güvenli yapılandırma
• Hedef 2 — Kart sahibi verisinin korunması: saklanan verinin korunması, açık ağlarda iletim sırasında şifreleme
• Hedef 3 — Zafiyet yönetimi: kötü amaçlı yazılıma karşı koruma, güvenli sistem ve yazılım geliştirme
• Hedef 4 — Güçlü erişim kontrolü: iş gereksinimine göre erişim kısıtlama, kimlik doğrulama, fiziksel erişim kontrolü
• Hedef 5 — İzleme ve test: günlük kaydı ve izleme, sistem ve ağ güvenliğinin düzenli test edilmesi
• Hedef 6 — Bilgi güvenliği politikası ve programı
• Kapsam belirleme: kart verisi ortamı (CDE) ve segmentasyon
• Seviyeye göre doğrulama yolu: RoC (QSA ile) veya SAQ (öz değerlendirme)
• ASV taraması ve sızma testi yükümlülükleri
• Uygunluk Beyanı (AoC) düzenlenmesi

1. 1Kapsam ve Program BelirlenmesiDenetlenecek sahalar, süreçler ve şemanın gerektirdiği denetim günü belirlenir.
2. 2Ön Değerlendirmeİsteğe bağlı olarak boşluk analizi yapılır; asıl denetim öncesi eksikler görünür hâle gelir.
3. 3Saha DenetimiŞemanın soru listesi üzerinden kayıt incelemesi, saha gözlemi ve çalışan görüşmeleri yapılır.
4. 4Bulguların RaporlanmasıBulgular şemanın sınıflandırmasına göre raporlanır. Bu şemaların çıktısı belge değil, denetim raporudur.
5. 5Düzeltici Faaliyet ve TakipBulgular için düzeltici faaliyet planı sunulur; şemaya göre takip denetimiyle kapatılır.

Denetim raporlarının geçerlilik süresi şemaya göre belirlenir ve çoğunlukla bir ile iki yıl arasındadır. Rapor, alıcı markanın kabul ettiği süre boyunca kullanılır.

• Kuruluş ve saha bilgileri
• Çalışan sayısı ve vardiya düzeni
• Yasal izin ve ruhsatlar
• İlgili politika ve prosedürler
• Bordro, mesai ve personel kayıtları
• Kart verisi akış şeması ve ağ topolojisi
• Kapsam (CDE) tanımı ve segmentasyon kanıtı
• Sistem envanteri ve yapılandırma standartları
• ASV tarama raporları ve sızma testi raporları
• Erişim yetki matrisi ve kimlik doğrulama kayıtları
• Bilgi güvenliği politikaları ve olay müdahale planı
• Üçüncü taraf hizmet sağlayıcı listesi ve uyum durumları

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

• Denetlenecek saha sayısı ve çalışan sayısı
• Şemanın öngördüğü denetim günü
• Ön değerlendirme (boşluk analizi) istenip istenmediği
• Takip denetimi gerekip gerekmediği

Bu şemaların çoğu belge değil denetim raporu üretir ve şema sahibinin (ör. Sedex, amfori, RBA) kendi onay sistemine tabidir; klasik anlamda akreditasyon her şemada bulunmaz. Denetçi yetkinliği ve rapor geçerliliği şema sahibinin kurallarına göre belirlenir.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

• SOC 1Finansal Raporlama Kontrolleri
• SOC 2Hizmet Kuruluşu Güven Kontrolleri
• TISAXOtomotiv Bilgi Güvenliği Değerlendirmesi
• ISO/IEC 27001Bilgi Güvenliği Yönetimi
• ISO/IEC 27017Bulut Güvenliği
• ISO/IEC 27018Bulutta Kişisel Veri
• ISO/IEC 27701Gizlilik Bilgi Yönetimi
• ISO/IEC 42001Yapay Zeka Yönetim Sistemi