PCI DSS atitiktis

PCI DSS taikomas kiekvienam prekybininkui ir paslaugų teikėjui, kuris saugo, tvarko ar perduoda mokėjimo kortelių duomenis arba gali paveikti jų saugumą. Tai ne įstatymas: jo reikalauja kortelių schemos per jūsų ekvairerį ir sutartis. 4.0.1 versija yra vienintelė galiojanti, o visi jos reikalavimai taikomi nuo 2025 m. kovo 31 d.

Ko reikalauja

Pagrindinės prievolės paprastais žodžiais, su straipsniu ar skyriumi, iš kurio jos kyla.

  • 1–2 reikalavimai

    Tinklo saugumo kontrolės priemonės aplink kortelės turėtojo duomenų aplinką ir sustiprintos konfigūracijos su pakeistomis gamintojo numatytosiomis reikšmėmis.

  • 3–4 reikalavimai

    Saugokite kuo mažiau kortelių duomenų, niekada nesaugokite jautrių autentifikavimo duomenų po autorizacijos, saugomus kortelių numerius padarykite neįskaitomus ir šifruokite juos viešuose tinkluose.

  • 5–6 reikalavimai

    Apsisaugokite nuo kenkėjiškos programinės įrangos ir sukčiavimo, kritinius atnaujinimus įdiekite per mėnesį, kurkite programinę įrangą saugiai ir kontroliuokite mokėjimo puslapių scenarijus.

  • 7–9 reikalavimai

    Prieiga pagal būtinumo žinoti principą, unikalus kiekvieno asmens ID, daugiaveiksnis autentifikavimas jungiantis prie aplinkos ir fizinė sauga, įskaitant kortelių terminalus.

  • 10–11 reikalavimai

    Registruokite prieigą žurnaluose ir peržiūrėkite juos kasdien, pažeidžiamumų skenavimus atlikite kas tris mėnesius, o įsiskverbimo testus – kasmet.

  • 12 reikalavimas

    Saugumo politika, tikslinės rizikos analizės, kasmet patvirtinama apimtis, sąmoningumo mokymai, paslaugų teikėjų priežiūra ir reagavimo į incidentus planas.

  • Atitikties patvirtinimas

    Kasmet patvirtinkite atitiktį savianalizės klausimynu arba kvalifikuoto saugumo vertintojo (QSA) atitikties ataskaita ir atitikties patvirtinimu (AOC).

Kaip tai apima Atitic

Ką produktas daro šiai sistemai, naudodamas tuos pačius įrašus kaip ir visoms kitoms.

  • 12 reikalavimų ir priedas paslaugų teikėjams kataloge, susieti su jūsų politikomis, kontrolės priemonėmis ir įrodymais; tie, kurie taikomi tik paslaugų teikėjams, tai nurodo, o prekybininkai juos pažymi kaip netaikomus nurodydami priežastį.

  • Bibliotekos kontrolės priemonės, susietos su PCI DSS, su patikrinimų planais ir rezultatais; ISO 27001 susiejimas įskaito jau atliktą darbą.

  • Ketvirtiniai pažeidžiamumų skenavimai, belaidžių tinklų patikra, kas šešis mėnesius atliekama taisyklių peržiūra, kasmetinis įsiskverbimo testas, apimties ir atitikties patvirtinimas kaip pasikartojančios veiklos valdymo kalendoriuje su atsakingais asmenimis ir priminimais.

  • Mokėjimų paslaugų teikėjai tiekėjų registre su peržiūros datomis ir jų atitikties patvirtinimu, pridėtu kaip įrodymas.

  • Fasttrack klausia, kaip priimate mokėjimus kortelėmis, ir nurodo, ar PCI DSS privalomas, ar rekomenduojamas, ir kodėl.

Kas yra kataloge

Atitikties sistemos sritys Atitic ir kiek reikalavimų turi kiekviena. Kai ją pritaikote, kiekvienas reikalavimas tampa eilute, už kurią atsakote ir kurią susiejate su politikomis, įrodymais ir kontrolės priemonėmis.

  • 1 Tinklo saugumo kontrolės priemonės5
  • 2 Saugios konfigūracijos3
  • 3 Saugomų sąskaitos duomenų apsauga7
  • 4 Perduodamų kortelės turėtojo duomenų apsauga2
  • 5 Apsauga nuo kenkėjiškos programinės įrangos4
  • 6 Saugios sistemos ir programinė įranga5
  • 7 Prieiga pagal būtinumo žinoti principą3
  • 8 Identifikavimas ir autentifikavimas6
  • 9 Fizinė prieiga prie kortelės turėtojo duomenų5
  • 10 Žurnalai ir stebėsena7
  • 11 Reguliarus saugumo testavimas6
  • 12 Politikos ir programos10
  • A1 Kelių klientų paslaugų teikėjai2

Susijusios atitikties sistemos: ISO 27001

Dažni klausimai

Ar PCI DSS taikomas, jei kortelių duomenis tvarko mokėjimų paslaugų teikėjas?

Taip, tik daug mažesne apimtimi. Atitiktį vis tiek turite patvirtinti kasmet, dažniausiai trumpu savianalizės klausimynu, pavyzdžiui, SAQ A, kai klientai moka teikėjo mokėjimo puslapyje, ir liekate atsakingi už puslapį, kuris juos ten nukreipia.

Savianalizės klausimynas ar atitikties ataskaita?

Tai priklauso nuo jūsų lygio, kurį kortelių schemos nustato pagal metinį operacijų skaičių. Dauguma prekybininkų pildo savianalizės klausimyną; didžiausiems prekybininkams ir ribą viršijantiems paslaugų teikėjams reikia kvalifikuoto saugumo vertintojo (QSA) atitikties ataskaitos. Kas taikoma jums, nurodo jūsų ekvaireris.

Ar Atitic saugo kortelių duomenis?

Ne, ir neturėtų: nedėkite kortelių numerių į įrodymų failus ir pastabas. Atitic saugo įrašus, politikas ir įrodymus apie jūsų kortelių duomenų aplinką, bet ne pačius kortelių duomenis.

Santrauka orientacijai, ne teisinė konsultacija. Lemiamas yra oficialus tekstas.

Išbandykite su savo duomenimis

Pritaikykite PCI DSS nemokamu bandomuoju laikotarpiu, susiekite jau turimus įrodymus ir pamatykite, ko dar trūksta.

Pradėti nemokamą bandymą