Что это за сертификат?

PCI DSS (Стандарт безопасности данных индустрии платежных карт) — это стандарт безопасности, разработанный для организаций, которые обрабатывают, передают или хранят данные держателей карт. Это не закон, а договорной режим, налагаемый карточными схемами (Visa, Mastercard и другими). Уровень соответствия зависит от уровней (уровни 1–4), установленных в зависимости от объема транзакций: крупные организации проходят оценку на месте с помощью квалифицированного QSA и отчета о соответствии (RoC), а организации с меньшим объемом используют анкету самооценки (SAQ). В настоящее время действует версия PCI DSS v4.0.1.

Кому он нужен?

Сайты электронной коммерции и предприятия, принимающие онлайн-платежи
Розничные торговцы, использующие POS и платежные терминалы
Поставщики платежных услуг и платежные учреждения
Дата-центры и облачные провайдеры, размещающие данные карт
Предприятия, принимающие оплату картой через колл-центр

Обязателен ли он?

Не является юридически обязательным; это фактически обязательно из-за договоров с карточными схемами и банками. Несоблюдение может привести к штрафу, увеличению комиссии за транзакцию или лишению права принимать карты. В случае утечки данных статус соответствия напрямую влияет на оценку ответственности.

Область применения стандарта

Цель 1. Создание и поддержание безопасной сети и систем — средства контроля сетевой безопасности, безопасная конфигурация.
Цель 2 — Защита данных держателей карт: защита хранимых данных, шифрование при передаче по открытым сетям.
Цель 3. Поддержание программы управления уязвимостями — защита от вредоносного ПО, безопасность систем и разработка программного обеспечения.
Цель 4. Внедрить строгий контроль доступа — ограничение доступа по потребностям бизнеса, аутентификация, контроль физического доступа.
Цель 5 — Регулярный мониторинг и тестирование сетей: ведение журнала и мониторинг, регулярное тестирование системы и сетевой безопасности.
Цель 6. Поддержание политики и программы информационной безопасности.
Обзор: среда данных держателей карт (CDE) и сегментация
Путь проверки по уровням: RoC (с QSA) или SAQ (самооценка)
Обязательства по ASV-сканированию и тестированию на проникновение
Выдача сертификата соответствия (AoC)

Процесс сертификации

1Определение объема и программыОпределяются площадки и процессы, подлежащие аудиту, а также продолжительность аудита, требуемая схемой.
2Предварительная оценкаФакультативно проводится анализ пробелов; пробелы становятся видимыми еще до проведения основного аудита.
3Аудит на площадкеПроверка записей, наблюдение за объектом и собеседования с работниками проводятся в соответствии с контрольным списком схемы.
4Отчётность о выявленных фактахРезультаты сообщаются в соответствии с классификацией схемы. Результатом этих схем является аудиторский отчет, а не сертификат.
5Корректирующие действия и контрольПо результатам проверки представляется план корректирующих действий; он закрывается с последующей проверкой согласно схеме.

Срок действия

Срок действия аудиторских отчетов установлен схемой и обычно составляет от одного до двух лет. Отчет используется за период, который принимает покупательный бренд.

Необходимые документы

Подробности об организации и сайте
Численность и график сменности
Юридические разрешения и лицензии
Соответствующие политики и процедуры
Заработная плата, учет рабочего времени и кадровый учет
Схема потока данных о держателях карт и топология сети
Определение области действия (CDE) и доказательства сегментации
Стандарты инвентаризации и конфигурации системы
Отчеты о сканировании ASV и отчеты о тестах на проникновение
Матрица авторизации доступа и записи аутентификации
Политики информационной безопасности и план реагирования на инциденты
Список сторонних поставщиков услуг и их статус соответствия

Стоимость сертификации

Фиксированной прейскурантной цены нет; стоимость рассчитывается на основе следующих переменных и предоставляется в письменном виде в предложении.

Количество проверяемых объектов и численность персонала
Продолжительность проверки, предусмотренная схемой
Требуется ли предварительная оценка (анализ пробелов)
Требуется ли повторный аудит

Аккредитация

Большинство этих схем составляют аудиторские отчеты, а не документы, и подлежат собственной системе одобрения владельца схемы (например, Sedex, amfori, RBA); Аккредитация в классическом понимании присутствует не во всех схемах. Компетентность аудитора и достоверность отчета определяются правилами владельца схемы.

Область, в которой может быть предложена эта схема, зависит от вашей продукции и деятельности; подтверждается в письменном виде на этапе предложения.

Область применения и разрешения

Связанные сертификации

Частые вопросы

Нужен ли мне SAQ или RoC?

Это зависит от годового объема транзакций по карте и уровня, установленного карточной схемой. Организациям уровня 1 требуется оценка квалифицированным QSA и RoC; более низкие уровни могут использовать самооценку с соответствующим типом опросного листа. Какой тип опросного листа применяется, зависит от вашего метода приема платежей.

Я не храню данные карты — я все еще в зоне действия?

Скорее всего, да. Стандарт охватывает ОБРАБОТКУ и ПЕРЕДАЧУ данных, а также их хранение. Отсутствие его хранения заметно сужает область применения, но не исключает его полностью; чтобы выйти за рамки, поток платежей должен быть полностью передан внешнему поставщику.

Почему сегментация имеет значение?

Отделение среды данных о держателях карт от остальной сети заметно сокращает объем оценки и, следовательно, стоимость. Эффективность сегментации необходимо проверить с помощью теста на проникновение.

Безопасность данных платёжных карт (PCI DSS)