امنیت داده کارت پرداخت (PCI DSS)

PCI DSS (استاندارد امنیت داده‌های صنعت کارت پرداخت) یک استاندارد امنیتی است که برای سازمان‌هایی که داده‌های دارنده کارت را پردازش، انتقال یا ذخیره می‌کنند توسعه یافته است. این یک قانون نیست، بلکه یک رژیم قراردادی است که توسط طرح های کارت (ویزا، مسترکارت و غیره) تحمیل شده است. سطح انطباق به سطوح (سطح 1-4) تعیین شده توسط حجم تراکنش بستگی دارد: سازمان‌های با حجم بالا توسط یک QSA واجد شرایط و یک گزارش در مورد انطباق (RoC) مورد ارزیابی در محل قرار می‌گیرند، در حالی که سازمان‌های با حجم پایین‌تر از پرسشنامه خود ارزیابی (SAQ) استفاده می‌کنند. نسخه موجود در حال حاضر PCI DSS v4.0.1 است.

• سایت های تجارت الکترونیک و مشاغلی که پرداخت های آنلاین را انجام می دهند
• خرده فروشانی که از POS و پایانه های پرداخت استفاده می کنند
• ارائه دهندگان خدمات پرداخت و موسسات پرداخت
• مرکز داده و ارائه دهندگان ابری که داده های کارت را میزبانی می کنند
• کسب و کارهایی که از طریق یک مرکز تماس با کارت پرداخت می کنند

از نظر قانونی اجباری نیست؛ به دلیل قرارداد با طرح های کارت و بانک ها، عملاً اجباری است. عدم تطابق می تواند منجر به جریمه، کارمزد تراکنش بالاتر یا لغو حق پذیرش کارت شود. در صورت نقض داده ها، وضعیت انطباق مستقیماً بر ارزیابی مسئولیت تأثیر می گذارد.

• هدف 1 — ایجاد و حفظ یک شبکه و سیستم های امن: کنترل های امنیتی شبکه، پیکربندی ایمن
• هدف 2 — محافظت از داده های دارنده کارت: محافظت از داده های ذخیره شده، رمزگذاری در حین انتقال از طریق شبکه های باز
• هدف 3 — حفظ یک برنامه مدیریت آسیب پذیری: محافظت در برابر بدافزار، سیستم های امن و توسعه نرم افزار
• هدف 4 — اجرای کنترل دسترسی قوی: محدود کردن دسترسی بر اساس نیاز تجاری، احراز هویت، کنترل دسترسی فیزیکی
• هدف 5 — نظارت و آزمایش منظم شبکه ها: ثبت و نظارت، آزمایش منظم سیستم و امنیت شبکه
• هدف 6 — سیاست و برنامه امنیت اطلاعات را حفظ کنید
• محدوده: محیط داده دارنده کارت (CDE) و تقسیم بندی
• مسیر اعتبار سنجی بر اساس سطح: RoC (با QSA) یا SAQ (خودارزیابی)
• تعهدات اسکن ASV و تست نفوذ
• صدور گواهی انطباق (AoC)

1. 1تعیین محدوده و برنامهمکان ها و فرآیندهای مورد ممیزی و مدت زمان ممیزی مورد نیاز طرح تعیین می شود.
2. 2پیش ارزیابیتجزیه و تحلیل شکاف به صورت اختیاری انجام می شود. شکاف ها قبل از حسابرسی اصلی قابل مشاهده است.
3. 3ممیزی در محلبررسی سوابق، مشاهده سایت و مصاحبه با کارگران بر اساس چک لیست طرح انجام می شود.
4. 4گزارش یافته‌هایافته ها بر اساس طبقه بندی طرح گزارش می شوند. خروجی این طرح ها یک گزارش حسابرسی است نه گواهی.
5. 5اقدام اصلاحی و پیگیرییک برنامه اقدام اصلاحی برای یافته ها ارائه می شود. با ممیزی بعدی تحت این طرح بسته شده است.

مدت اعتبار گزارش های حسابرسی توسط این طرح تعیین می شود و بیشتر بین یک تا دو سال است. گزارش برای دوره ای که برند خریدار می پذیرد استفاده می شود.

• جزئیات سازمان و سایت
• تعداد کار و الگوی شیفت
• مجوزها و مجوزهای قانونی
• سیاست ها و رویه های مربوطه
• سوابق حقوق، زمان و پرسنل
• نمودار جریان داده دارنده کارت و توپولوژی شبکه
• تعریف دامنه (CDE) و شواهد تقسیم بندی
• موجودی سیستم و استانداردهای پیکربندی
• گزارش‌های اسکن ASV و گزارش‌های تست نفوذ
• ماتریس دسترسی-مجوز و سوابق احراز هویت
• سیاست های امنیت اطلاعات و طرح واکنش به حادثه
• لیست ارائه دهندگان خدمات شخص ثالث و وضعیت انطباق آنها

قیمت فهرست ثابتی وجود ندارد؛ هزینه بر اساس متغیرهای زیر محاسبه و به‌صورت مکتوب در پیش‌فاکتور ارائه می‌شود.

• تعداد سایت هایی که باید ممیزی شوند و تعداد کارمندان
• مدت ممیزی که طرح تعیین می کند
• اینکه آیا یک پیش ارزیابی (تحلیل شکاف) درخواست شده است یا خیر
• اینکه آیا یک ممیزی بعدی مورد نیاز است یا خیر

اکثر این طرح‌ها گزارش‌های حسابرسی تولید می‌کنند، نه اسناد، و مشمول سیستم تأیید مالک طرح (مانند Sedex، amfori، RBA) هستند. اعتباربخشی به معنای کلاسیک در هر طرحی یافت نمی شود. صلاحیت حسابرس و اعتبار گزارش توسط قوانین مالک طرح تعیین می شود.

دامنه‌ای که این طرح می‌تواند در آن ارائه شود بسته به محصول و فعالیت شما متفاوت است؛ در مرحله پیش‌فاکتور به‌صورت مکتوب تأیید می‌شود.

• SOC 1کنترل های گزارشگری مالی
• SOC 2کنترل های اعتماد سازمان خدمات
• TISAXارزیابی امنیت اطلاعات خودرو
• ISO/IEC 27001مدیریت امنیت اطلاعات
• ISO/IEC 27017امنیت ابری
• ISO/IEC 27018داده های شخصی در فضای ابری
• ISO/IEC 27701مدیریت اطلاعات حریم خصوصی
• ISO/IEC 42001سیستم مدیریت هوش مصنوعی