Che cos'è il certificato?

PCI DSS (Payment Card Industry Data Security Standard) è uno standard di sicurezza sviluppato per le organizzazioni che elaborano, trasmettono o archiviano i dati dei titolari di carta. Non si tratta di una legge ma di un regime contrattuale imposto dai circuiti di carte (Visa, Mastercard e altri). Il livello di conformità dipende dai livelli (Livello 1-4) stabiliti dal volume delle transazioni: le organizzazioni ad alto volume vengono sottoposte a una valutazione in loco da parte di un QSA qualificato e a un Report on Compliance (RoC), mentre quelle a volume inferiore utilizzano un questionario di autovalutazione (SAQ). La versione attualmente in vigore è PCI DSS v4.0.1.

A chi serve?

Siti di e-commerce e aziende che accettano pagamenti online
Rivenditori che utilizzano POS e terminali di pagamento
Prestatori di servizi di pagamento e istituti di pagamento
Data center e fornitori di servizi cloud che ospitano i dati delle carte
Le aziende accettano pagamenti con carta tramite un call center

È obbligatorio?

Non legalmente obbligatorio; è effettivamente obbligatorio a causa dei contratti con i circuiti di carte e le banche. La non conformità può comportare una multa, commissioni di transazione più elevate o la revoca del diritto di accettare carte. In caso di violazione dei dati, lo stato di conformità influisce direttamente sulla valutazione della responsabilità.

Campo di applicazione della norma

Obiettivo 1 — costruire e mantenere una rete e sistemi sicuri: controlli di sicurezza della rete, configurazione sicura
Obiettivo 2 — Proteggere i dati dei titolari di carta: protezione dei dati archiviati, crittografia durante la trasmissione su reti aperte
Obiettivo 3 — Mantenere un programma di gestione delle vulnerabilità: protezione contro malware, sistemi sicuri e sviluppo di software
Obiettivo 4 — implementare un forte controllo degli accessi: limitazione dell'accesso in base alle esigenze aziendali, autenticazione, controllo dell'accesso fisico
Obiettivo 5 — Monitorare e testare regolarmente le reti: registrazione e monitoraggio, testare regolarmente la sicurezza del sistema e della rete
Obiettivo 6 — mantenere una politica e un programma di sicurezza delle informazioni
Scoping: l'ambiente dei dati dei titolari di carta (CDE) e la segmentazione
Il percorso di validazione per livello: RoC (con QSA) o SAQ (autovalutazione)
Obblighi di ASV scanning e penetration testing
Rilascio dell'Attestato di Conformità (AoC)

Processo di certificazione

1Determinazione dell'ambito e del programmaVengono determinati i siti e i processi da sottoporre ad audit e la durata dell'audit richiesta dallo schema.
2Pre-valutazioneFacoltativamente viene effettuata un'analisi delle lacune; le lacune diventano visibili prima dell’audit principale.
3Audit in sitoL'esame dei registri, l'osservazione del sito e le interviste ai lavoratori vengono effettuati rispetto alla lista di controllo del programma.
4Rendicontazione dei rilieviI risultati sono riportati in base alla classificazione dello schema. Il risultato di questi schemi è un rapporto di audit, non un certificato.
5Azioni correttive e follow-upViene presentato un piano di azioni correttive per i risultati; si conclude con un audit di follow-up nell'ambito del programma.

Periodo di validità

Il periodo di validità delle relazioni di audit è stabilito dal sistema ed è generalmente compreso tra uno e due anni. Il report viene utilizzato per il periodo accettato dal marchio acquirente.

Documenti richiesti

Organizzazione e dettagli del sito
Organico e schema dei turni
Autorizzazioni e licenze legali
Politiche e procedure pertinenti
Registri delle buste paga, degli orari e del personale
Il diagramma del flusso dei dati dei titolari di carta e la topologia della rete
La definizione dell'ambito (CDE) e l'evidenza della segmentazione
L'inventario del sistema e gli standard di configurazione
Rapporti di scansione ASV e rapporti sui test di penetrazione
La matrice di autorizzazione all'accesso e i record di autenticazione
Politiche di sicurezza delle informazioni e piano di risposta agli incidenti
L'elenco dei fornitori di servizi di terze parti e il loro stato di conformità

Costo della certificazione

Non esiste un prezzo di listino fisso; il costo viene calcolato in base alle seguenti variabili e fornito per iscritto nel preventivo.

Il numero di siti da sottoporre ad audit e l'organico
La durata dell'audit prescritta dallo schema
Se è richiesta una pre-valutazione (gap analysis).
Se è necessario un audit di follow-up

Accreditamento

La maggior parte di questi schemi producono rapporti di audit, non documenti, e sono soggetti al sistema di approvazione del proprietario dello schema (ad esempio Sedex, amfori, RBA); L'accreditamento nel senso classico non si trova in ogni schema. La competenza del revisore e la validità del rapporto sono determinate dalle regole del proprietario dello schema.

L'ambito in cui questo schema può essere offerto varia in base al suo prodotto e alla sua attività; viene confermato per iscritto in fase di preventivo.

Ambito e autorizzazioni

Certificazioni correlate

Domande frequenti

Ho bisogno di un SAQ o di un RoC?

Dipende dal volume annuale delle transazioni con la tua carta e dal livello stabilito dal circuito della carta. Le organizzazioni di Livello 1 richiedono una valutazione da parte di un QSA qualificato e di un RoC; i livelli inferiori possono utilizzare l'autovalutazione con il relativo tipo di SAQ. Il tipo di SAQ applicabile dipende dal metodo di accettazione del pagamento.

Non memorizzo i dati della carta: sono ancora nell'ambito?

Molto probabilmente sì. Lo standard copre l'ELABORAZIONE e la TRASMISSIONE dei dati tanto quanto la loro archiviazione. Non memorizzarlo restringe notevolmente il campo di applicazione ma non lo elimina del tutto; per non rientrare nell'ambito di applicazione, il flusso di pagamento deve essere completamente esternalizzato a un fornitore esterno.

Perché la segmentazione è importante?

Separare l’ambiente dei dati dei titolari di carta dal resto della rete riduce notevolmente l’ambito della valutazione e quindi i costi. L'efficacia della segmentazione deve essere verificata con un penetration test.

Sicurezza dei dati delle carte di pagamento (PCI DSS)