Pematuhan PCI

Apakah Pematuhan PCI?

Pematuhan industri kad pembayaran (PCI) diberi mandat oleh syarikat kad kredit untuk membantu memastikan keselamatan transaksi kad kredit dalam industri pembayaran. Pematuhan industri kad pembayaran merujuk kepada piawaian teknikal dan operasi yang dipatuhi oleh perniagaan untuk menjamin dan melindungi data kad kredit yang disediakan oleh pemegang kad dan dihantar melalui transaksi pemprosesan kad. Piawaian PCI untuk pematuhan dibangunkan dan diuruskan oleh Majlis Piawaian Keselamatan PCI.

Memahami Pematuhan PCI

Suruhanjaya Perdagangan Persekutuan (FTC) bertanggungjawab untuk mengawasi pemprosesan kad kredit kerana ia berada di bawah keperluan untuk perlindungan dan pengawasan pengguna. Walaupun tidak semestinya terdapat mandat kawal selia untuk pematuhan PCI, ia dianggap sebagai mandatori melalui preseden mahkamah.

Secara umum, pematuhan PCI ialah komponen teras bagi mana-mana protokol keselamatan syarikat kad kredit. Ia biasanya diberi mandat oleh syarikat kad kredit dan dibincangkan dalam perjanjian rangkaian kad kredit.

Majlis Piawaian PCI bertanggungjawab untuk pembangunan piawaian untuk pematuhan PCI. Piawaian ini digunakan untuk pemprosesan pedagang dan juga telah diperluaskan untuk menggariskan keperluan untuk transaksi Internet yang disulitkan . Entiti utama lain yang turut dikaitkan dengan penetapan standard dalam industri kad kredit termasuk The Card Association Network dan National Automated Clearing House (NACHA).

Keperluan untuk Pematuhan PCI

Piawaian pematuhan PCI memerlukan peniaga dan perniagaan lain untuk mengendalikan maklumat kad kredit dengan cara yang selamat yang membantu mengurangkan kemungkinan pemegang kad mempunyai maklumat akaun kewangan yang sensitif dicuri. Jika peniaga tidak mengendalikan maklumat kad kredit mengikut Piawaian PCI, maklumat kad itu boleh digodam dan digunakan untuk pelbagai tindakan penipuan. Selain itu, maklumat sensitif tentang pemegang kad boleh digunakan dalam penipuan identiti.

Mematuhi PCI bermakna secara konsisten mematuhi satu set garis panduan yang ditetapkan oleh Majlis Piawaian PCI. Pematuhan PCI dikawal oleh Majlis Piawaian PCI, sebuah organisasi yang ditubuhkan pada tahun 2006 untuk tujuan mengurus keselamatan kad kredit.

Keperluan yang dibangunkan oleh Majlis dikenali sebagai Piawaian Keselamatan Data Industri Kad Pembayaran (PCI DSS). PCI DSS mempunyai 12 keperluan utama, 78 keperluan asas, dan lebih 400 prosedur ujian. Garis panduan ini juga dianggap sebagai amalan terbaik keselamatan. 12 keperluan utamanya termasuk yang berikut:

Laksanakan tembok api untuk melindungi data
Perlindungan kata laluan yang sesuai
Lindungi data pemegang kad
Penyulitan data pemegang kad yang dihantar
Gunakan perisian antivirus
Kemas kini perisian dan menyelenggara sistem keselamatan
Hadkan akses kepada data pemegang kad
ID unik diberikan kepada mereka yang mempunyai akses kepada data
Hadkan akses fizikal kepada data
Buat dan pantau log akses
Uji sistem keselamatan secara berkala
Buat dasar yang didokumenkan dan boleh diikuti

Versi terbaharu PCI DSS telah dikeluarkan pada Mei 2018 dan dirujuk sebagai versi 3.2.1. Secara keseluruhannya, enam objektif dan 12 keperluan menggariskan satu siri langkah yang mesti diikuti oleh pemproses kad kredit secara berterusan. Syarikat mula-mula diminta menilai rangkaian dan sistem mereka, yang melibatkan infrastruktur teknologi maklumat, proses perniagaan dan prosedur pengendalian kad kredit.

Faedah Pematuhan PCI

Penyelenggaraan berterusan dan penilaian sebarang jurang dalam keselamatan juga sangat penting untuk mengelakkan kecurian maklumat pemegang kad sensitif, seperti keselamatan sosial dan nombor lesen memandu, apabila boleh.

Syarikat dikehendaki menyediakan laporan pematuhan secara tetap sebagai sebahagian daripada perjanjian pemprosesan kad mereka. Pemantauan, penilaian dan audit Piawaian Keselamatan Data Industri Kad Pembayaran semuanya merupakan bahagian penting dalam jabatan keselamatan syarikat.

Semua syarikat yang memproses maklumat kad kredit dikehendaki mengekalkan pematuhan PCI seperti yang diarahkan oleh perjanjian pemprosesan kad mereka. Pematuhan PCI adalah standard industri dan perniagaan tanpanya boleh mengakibatkan denda yang besar untuk pelanggaran perjanjian dan kecuaian. Tanpa pematuhan PCI, syarikat juga sangat terdedah kepada kecurian, penipuan dan pelanggaran data.

95%

Peratusan pelanggaran keselamatan siber yang disebabkan oleh kesilapan manusia.

Faedah pematuhan termasuk pengurangan risiko pelanggaran data, melindungi data pemegang kad, sekali gus mengelakkan peluang untuk kecurian identiti. Adalah amalan yang baik untuk syarikat mematuhi kerana ia mengurangkan sebarang denda yang berkaitan dengan pelanggaran data, membantu reputasi jenama syarikat,. memastikan pelanggan gembira dan yakin bahawa mereka menjalankan perniagaan dengan syarikat yang bertanggungjawab, yang membawa kepada kesetiaan jenama.

Pada separuh pertama 2020, terdapat 36 bilion rekod yang terdedah melalui pelanggaran data. Lapan puluh enam peratus daripada pelanggaran adalah bermotifkan kewangan dan dengan pasaran keselamatan maklumat global dijangka mencecah $170 bilion pada 2020, risiko kewangan lebih tinggi. Melindungi data pemegang kad bukan sahaja baik untuk perniagaan tetapi juga merupakan perkara yang betul untuk dilakukan, memastikan orang ramai tidak dicederakan secara negatif atau mengalami sebarang kerugian kewangan.

Pematuhan PCI dan Pelanggaran Data

Pematuhan PCI membantu mengelakkan aktiviti penipuan dan mengurangkan pelanggaran data. Verizon menyediakan penilaian tahunan keselamatan pembayaran dalam "Laporan Keselamatan Pembayaran Verizon." Laporan 2019 menumpukan keseluruhan bahagian kepada PCI DSS, yang dipanggil "Keadaan pematuhan PCI DSS, 2019: Dan 12 keperluan utama." Beberapa sorotan PCI DSS daripada "Laporan Keselamatan Pembayaran Verizon 2019" termasuk yang berikut:

36.7% organisasi secara aktif menyelenggara program PCI DSS pada tahun 2018.
Rantau Asia-Pasifik mengatasi Amerika, Eropah, Timur Tengah dan Afrika.
Dari perspektif industri, hospitaliti agak ketinggalan berbanding sektor lain.

Soalan Lazim Pematuhan PCI

Apakah maksud mematuhi PCI?

Mematuhi PCI bermaksud bahawa mana-mana syarikat atau organisasi yang menerima, menghantar atau menyimpan data peribadi pemegang kad adalah mematuhi pelbagai langkah keselamatan yang digariskan oleh Majlis Piawaian Keselamatan PCI untuk memastikan data tersebut disimpan dengan selamat dan peribadi.

Adakah pematuhan PCI diperlukan oleh undang-undang?

Tidak ada mandat kawal selia yang memerlukan pematuhan PCI, tetapi ia dianggap sebagai mandatori melalui preseden mahkamah.

Bagaimanakah saya boleh mematuhi PCI?

Untuk menjadi patuh PCI, anda mesti terlebih dahulu menentukan soal selidik penilaian kendiri yang perlu anda ikuti untuk menjadi patuh. Sebaik sahaja anda menyelesaikan soal selidik, maka anda perlu melengkapkan dan memegang bukti imbasan kelemahan yang lulus dengan Vendor Pengimbasan yang Diluluskan PCI SSC. Pengimbasan terpakai kepada sesetengah peniaga sahaja. Anda kemudiannya perlu melengkapkan Pengesahan pematuhan. Langkah terakhir ialah menyerahkan semua maklumat di atas.

Siapa yang mesti mematuhi PCI?

Mana-mana syarikat atau organisasi yang menerima, menghantar atau menyimpan data peribadi pemegang kad.

Garisan bawah

Pematuhan PCI merujuk kepada piawaian teknikal dan operasi yang ditetapkan oleh Majlis Piawaian Keselamatan PCI yang perlu dilaksanakan dan dikekalkan oleh organisasi. Matlamat untuk mematuhi PCI adalah untuk melindungi data pemegang kad dan digunakan untuk mana-mana organisasi yang menerima, menghantar atau menyimpan data tersebut. Mematuhi PCI ialah amalan perniagaan yang baik kerana ia mengutamakan keselamatan data pengguna dan juga memberi manfaat kepada organisasi melalui reputasi jenama yang positif.

##Sorotan

Syarikat yang mengikuti dan mencapai Piawaian Keselamatan Data Industri Kad Pembayaran (PCI DSS) dianggap mematuhi PCI.
Mematuhi PCI mengurangkan pelanggaran data, melindungi data pemegang kad, mengelakkan denda dan meningkatkan reputasi jenama.
PCI DSS mempunyai 12 keperluan utama, 78 keperluan asas dan 400 prosedur ujian untuk memastikan organisasi mematuhi PCI.
Majlis Piawaian Keselamatan PCI bertanggungjawab untuk membangunkan PCI DSS.
Pematuhan PCI tidak diperlukan oleh undang-undang tetapi dianggap wajib melalui preseden mahkamah.