Совет по стандартам безопасности данных индустрии платежных карт (PCI SSC), созданный ведущими международными платежными системами Visa, MC, Amex, Diners, Discovery и JCB, разработал правила и документы PCI DSS, которые определяют принципы и политику безопасности индустрии платежных карт. Данные правила устанавливают требования к организациям, принимающим или обрабатывающим транзакции по платежным картам: банкам, торгово-сервисным предприятиям, организациям, обрабатывающим платежи.
Правила и документы доступны здесь.
Все торгово-сервисные предприятия, хранящие, обрабатывающие или передающие данные о держателях карт, должны соответствовать стандартам PCI DSS.
Элементы данных карт и сенситивные данные аутентификации:
|
Элемент данных |
Хранение разрешено |
Данные должны храниться в нечитаемом виде |
|
Номер карты (PAN) |
Да |
Да |
|
Имя, фамилия держателя карты |
Да |
Нет |
|
Код услуги |
Да |
Нет |
|
Срок действия |
Да |
Нет |
|
Полные данные треков |
Нет |
Запрещено |
|
CVV2/CVC2 |
Нет |
Запрещено |
|
ПИН/ПИН-блок |
Нет |
Запрещено |
Как убедиться о соответствии требованиям PCI DSS?
Банк ежегодно информирует торгово-сервисные предприятия о выполняемых действиях, необходимых для обеспечения соответствия стандартам PCI DSS. Данные требования приведены в таблице.
Торгово-сервисные предприятия делятся на четыре уровня в зависимости от количества ежегодно обрабатываемых транзакций по картам одного бренда (т.е. MC, VISA, Amex и др.). Торгово-сервисные предприятия с 1-го по 3-ий уровень должны проинформировать о статусе своего соответствия банк, обеспечивающий прием платежных карт. Торгово-сервисным предприятиям 4-го уровня настоятельно рекомендуется заполнить анкету самооценки (SAQ) и отправить ее банку, обеспечивающему прием платежных карт.
| Уровень |
Критерии сделок торгово-сервисных предприятий |
Действия торгово-сервисных предприятий |
Частота |
| 1-й уровень |
Торгово-сервисные предприятия, обрабатывающие более 6 млн. транзакций по картам MasterCard или VISA в год |
Внешний аудит безопасности, выполняемый Квалифицированным экспертом безопасности (QSA) |
Ежегодно |
| Сканирование сети, выполняемое сертифицированным поставщиком услуг сканирования (ASV) или квалифицированным экспертом безопасности (QSA) |
Ежеквартально |
| 2-й уровень |
Торгово-сервисные предприятия, обрабатывающие от 1 до 6 млн. транзакций по картам MasterCard или VISA в год |
QSA или ISA |
Ежегодно |
| Сканирование сети, выполняемое сертифицированным поставщиком услуг сканирования (ASV) или квалифицированным экспертом безопасности (QSA) |
Ежеквартально |
| 3-й уровень |
Торгово-сервисные предприятия э-коммерции, обрабатывающие от 20 000 до 1 млн. транзакций по картам MasterCard или VISA в год |
Ежегодное заполнение анкеты самооценки (SAQ) по выбору торгово-сервисного предприятия |
Ежегодно |
| Сканирование сети, выполняемое сертифицированным поставщиком услуг сканирования (ASV) или квалифицированным экспертом безопасности (QSA) |
Ежеквартально |
| 4- уровень |
Другие торгово-сервисные предприятия |
Ежегодное заполнение анкеты самооценки (SAQ) по выбору торгово-сервисного предприятия |
Рекомендовано - ежегодно |
| Сканирование сети, выполняемое сертифицированным поставщиком услуг сканирования (ASV) или квалифицированным экспертом безопасности (QSA) |
Рекомендовано - ежегодно |
Важно! Торгово-сервисные предприятия должны проводить:
- Аудит безопасности, выполняемый сертифицированным аудитором, который выступает в качестве квалифицированного эксперта безопасности (QSA) от поставщиков услуг, приведенных на официальном сайте PCI DSS.
- Сканирование сети, выполняемое квалифицированным поставщиком решений сканирования, который выступает в качестве сертифицированного поставщика услуг сканирования (ASV) или квалифицированного эксперта безопасности (QSA). Сертифицированный поставщик услуг сканирования (ASV) может выполнять сканирование для предприятий электронной торговли и предприятий с физическими местами торговли, но не имеет право проводить ежегодные аудиты.
- Внутренний аудит, в рамках которого необходимо ответить на вопросы анкеты самооценки (SAQ). Содержание анкеты зависит от технического решения.
Требования и цели PCI DSS
12 требований и целей, приведенные в таблице ниже, помогут вам понять, какие действия должны проводиться для обеспечения соответствия правилам PCI DSS.
| Цели |
Требования PCI DSS |
| Построить и поддерживать защищенные сети и системы |
1. Установить и поддерживать конфигурацию брандмауэра для защиты данных держателей карт.
2. Не использовать пароли к системам и другие параметры безопасности по умолчанию, заданные производителем.
|
| Защищать данные держателей карт |
3. Защищать хранимые данные держателей карт.
4. Шифровать данные держателей карт при передаче через сети общего пользования.
|
| Поддерживать программу управления уязвимостями |
5. Защищать все системы от вредоносного программного обеспечения и регулярно обновлять антивирусное программное обеспечение.
6. Разрабатывать и поддерживать безопасные системы и приложения.
|
| Внедрять строгие меры контроля доступа |
7. Ограничивать доступ к данным о держателях карт в соответствии с необходимостью бизнеса.
8. Идентифицировать и аутентифицировать доступ к системным компонентам.
9. Ограничивать физический доступ к данным о держателях карт.
|
| Осуществлять регулярный мониторинг и тестирование сетей |
10. Отслеживать и вести мониторинг всего доступа к сетевым ресурсам и данным о держателях карт.
11. Регулярно тестировать системы и процессы безопасности.
|
| Поддерживать политику информационной безопасности |
12. Поддерживать политику информационной безопасности для всех работников. |
Для получения более подробной информации посетите https://www.pcisecuritystandards.org/
