Τι είναι το πιστοποιητικό;

Το PCI DSS (Payment Card Industry Data Security Standard) είναι ένα πρότυπο ασφαλείας που αναπτύχθηκε για οργανισμούς που επεξεργάζονται, διαβιβάζουν ή αποθηκεύουν δεδομένα κατόχου κάρτας. Δεν είναι νόμος αλλά συμβατικό καθεστώς που επιβάλλεται από τα συστήματα καρτών (Visa, Mastercard και άλλα). Το επίπεδο συμμόρφωσης εξαρτάται από τα επίπεδα (Επίπεδο 1-4) που ορίζονται από τον όγκο συναλλαγών: οι οργανισμοί υψηλού όγκου υποβάλλονται σε επιτόπια αξιολόγηση από πιστοποιημένο QSA και Έκθεση Συμμόρφωσης (RoC), ενώ οι μικρότερου όγκου χρησιμοποιούν ένα Ερωτηματολόγιο Αυτοαξιολόγησης (SAQ). Η έκδοση που ισχύει αυτήν τη στιγμή είναι PCI DSS v4.0.1.

Ποιοι το χρειάζονται;

Ιστότοποι ηλεκτρονικού εμπορίου και επιχειρήσεις που λαμβάνουν ηλεκτρονικές πληρωμές
Πωλητές λιανικής που χρησιμοποιούν POS και τερματικά πληρωμών
Πάροχοι υπηρεσιών πληρωμών και ιδρύματα πληρωμών
Κέντρο δεδομένων και πάροχοι cloud που φιλοξενούν δεδομένα καρτών
Επιχειρήσεις που λαμβάνουν πληρωμές με κάρτα μέσω τηλεφωνικού κέντρου

Είναι υποχρεωτικό;

Δεν είναι νομικά υποχρεωτικό. είναι ουσιαστικά υποχρεωτικό λόγω συμβάσεων με τα συστήματα καρτών και τις τράπεζες. Η μη συμμόρφωση μπορεί να οδηγήσει σε πρόστιμο, υψηλότερες χρεώσεις συναλλαγής ή ανάκληση του δικαιώματος αποδοχής καρτών. Σε περίπτωση παραβίασης δεδομένων, η κατάσταση συμμόρφωσης επηρεάζει άμεσα την αξιολόγηση της ευθύνης.

Πεδίο εφαρμογής του προτύπου

Στόχος 1 — Δημιουργία και διατήρηση ενός ασφαλούς δικτύου και συστημάτων: έλεγχοι ασφάλειας δικτύου, ασφαλής διαμόρφωση
Στόχος 2 — Προστασία δεδομένων κατόχου κάρτας: προστασία αποθηκευμένων δεδομένων, κρυπτογράφηση κατά τη μετάδοση μέσω ανοιχτών δικτύων
Στόχος 3 — Διατήρηση ενός προγράμματος διαχείρισης ευπάθειας: προστασία από κακόβουλο λογισμικό, ασφαλή συστήματα και ανάπτυξη λογισμικού
Στόχος 4 — Εφαρμογή ισχυρού ελέγχου πρόσβασης: περιορισμός της πρόσβασης βάσει επιχειρηματικής ανάγκης, έλεγχος ταυτότητας, έλεγχος φυσικής πρόσβασης
Στόχος 5 — Τακτική παρακολούθηση και δοκιμή δικτύων: καταγραφή και παρακολούθηση, τακτική δοκιμή συστήματος και ασφάλεια δικτύου
Στόχος 6 — Διατήρηση πολιτικής και προγράμματος ασφάλειας πληροφοριών
Πεδίο εφαρμογής: το περιβάλλον δεδομένων κατόχου κάρτας (CDE) και τμηματοποίηση
Η διαδρομή επικύρωσης ανά επίπεδο: RoC (με QSA) ή SAQ (αυτοαξιολόγηση)
Υποχρεώσεις σάρωσης ASV και δοκιμών διείσδυσης
Έκδοση της Βεβαίωσης Συμμόρφωσης (AoC)

Διαδικασία πιστοποίησης

1Καθορισμός Πεδίου και ΠρογράμματοςΚαθορίζονται οι τοποθεσίες και οι διαδικασίες που θα ελεγχθούν και η διάρκεια ελέγχου που απαιτεί το σύστημα.
2προαξιολόγησηΠροαιρετικά πραγματοποιείται ανάλυση χάσματος. τα κενά γίνονται ορατά πριν από τον κύριο έλεγχο.
3Επιτόπιος έλεγχοςΗ ανασκόπηση των αρχείων, η παρατήρηση του χώρου και οι συνεντεύξεις εργαζομένων πραγματοποιούνται βάσει της λίστας ελέγχου του συστήματος.
4Αναφορά των ευρημάτωνΤα ευρήματα αναφέρονται σύμφωνα με την ταξινόμηση του συστήματος. Το αποτέλεσμα αυτών των συστημάτων είναι μια έκθεση ελέγχου, όχι ένα πιστοποιητικό.
5Διορθωτικές ενέργειες και παρακολούθησηΥποβάλλεται σχέδιο διορθωτικής δράσης για τα πορίσματα. κλείνει με έλεγχο παρακολούθησης στο πλαίσιο του καθεστώτος.

Διάρκεια ισχύος

Η περίοδος ισχύος των εκθέσεων ελέγχου καθορίζεται από το σύστημα και είναι κυρίως μεταξύ ενός και δύο ετών. Η αναφορά χρησιμοποιείται για την περίοδο αποδοχής της επωνυμίας αγοράς.

Απαιτούμενα έγγραφα

Στοιχεία οργάνωσης και τοποθεσίας
Αριθμός προσωπικού και μοτίβο βάρδιας
Νόμιμες άδειες και άδειες
Σχετικές πολιτικές και διαδικασίες
Μητρώα μισθοδοσίας, χρόνου και προσωπικού
Το διάγραμμα ροής δεδομένων κατόχου κάρτας και η τοπολογία δικτύου
Ο ορισμός του πεδίου εφαρμογής (CDE) και η απόδειξη της τμηματοποίησης
Το απόθεμα του συστήματος και τα πρότυπα διαμόρφωσης
Αναφορές σάρωσης ASV και αναφορές δοκιμής διείσδυσης
Ο πίνακας πρόσβασης-εξουσιοδότησης και οι εγγραφές ελέγχου ταυτότητας
Πολιτικές ασφάλειας πληροφοριών και σχέδιο αντιμετώπισης περιστατικών
Η λίστα των τρίτων παρόχων υπηρεσιών και η κατάσταση συμμόρφωσής τους

Κόστος πιστοποίησης

Δεν υπάρχει σταθερή τιμή καταλόγου· το κόστος υπολογίζεται βάσει των παρακάτω μεταβλητών και παρέχεται γραπτώς στην προσφορά.

Ο αριθμός των τοποθεσιών που θα ελεγχθούν και ο αριθμός των ατόμων
Η διάρκεια του ελέγχου που ορίζει το σχέδιο
Εάν ζητείται προαξιολόγηση (ανάλυση κενών).
Εάν απαιτείται έλεγχος παρακολούθησης

Διαπίστευση

Τα περισσότερα από αυτά τα συστήματα παράγουν εκθέσεις ελέγχου, όχι έγγραφα, και υπόκεινται στο σύστημα έγκρισης του κατόχου του συστήματος (π.χ. Sedex, amfori, RBA). Η διαπίστευση με την κλασική έννοια δεν συναντάται σε κάθε σύστημα. Η ικανότητα του ελεγκτή και η εγκυρότητα της έκθεσης καθορίζονται από τους κανόνες του κατόχου του συστήματος.

Το πεδίο εφαρμογής στο οποίο μπορεί να προσφερθεί αυτό το σχήμα ποικίλλει ανάλογα με το προϊόν και τη δραστηριότητά σας· επιβεβαιώνεται γραπτώς στο στάδιο της προσφοράς.

Πεδίο εφαρμογής και εξουσιοδοτήσεις

Σχετικές πιστοποιήσεις

Συχνές ερωτήσεις

Χρειάζομαι SAQ ή RoC;

Εξαρτάται από τον ετήσιο όγκο συναλλαγών της κάρτας σας και το επίπεδο που έχει οριστεί από το πρόγραμμα καρτών. Οι οργανισμοί επιπέδου 1 απαιτούν αξιολόγηση από πιστοποιημένο QSA και RoC. Τα χαμηλότερα επίπεδα μπορούν να χρησιμοποιήσουν την αυτοαξιολόγηση με τον σχετικό τύπο SAQ. Ο τύπος SAQ που ισχύει εξαρτάται από τη μέθοδο αποδοχής πληρωμής.

Δεν αποθηκεύω δεδομένα κάρτας — εξακολουθώ να είμαι εντός του πεδίου εφαρμογής;

Το πιθανότερο είναι ναι. Το πρότυπο καλύπτει την ΕΠΕΞΕΡΓΑΣΙΑ και τη ΔΙΑΒΙΒΑΣΗ δεδομένων όσο και την αποθήκευσή τους. Η μη αποθήκευσή του περιορίζει σημαντικά το πεδίο εφαρμογής, αλλά δεν το εξαλείφει εντελώς. Για να είναι εκτός του πεδίου εφαρμογής, η ροή πληρωμών πρέπει να ανατεθεί πλήρως σε εξωτερικό πάροχο.

Γιατί έχει σημασία η κατάτμηση;

Ο διαχωρισμός του περιβάλλοντος δεδομένων κατόχου κάρτας από το υπόλοιπο δίκτυο μειώνει σημαντικά το εύρος της αξιολόγησης και συνεπώς το κόστος. Η αποτελεσματικότητα της τμηματοποίησης πρέπει να επαληθευτεί με μια δοκιμή διείσδυσης.

Ασφάλεια δεδομένων καρτών πληρωμής (PCI DSS)