Zgodność z PCI
Co to jest zgodność z PCI?
Zgodność z branżą kart płatniczych (PCI) jest wymagana przez firmy obsługujące karty kredytowe,. aby zapewnić bezpieczeństwo transakcji kartami kredytowymi w branży płatności. Zgodność branży kart płatniczych odnosi się do standardów technicznych i operacyjnych, których przestrzegają firmy w celu zabezpieczenia i ochrony danych kart kredytowych dostarczanych przez posiadaczy kart i przesyłanych za pośrednictwem transakcji przetwarzania kart. Standardy zgodności PCI są opracowywane i zarządzane przez Radę Standardów Bezpieczeństwa PCI.
Zrozumienie zgodności PCI
Komisja Handlu (FTC) jest odpowiedzialna za nadzór nad przetwarzaniem kart kredytowych, ponieważ wymaga to ochrony konsumentów i nadzoru. Chociaż niekoniecznie istnieje mandat regulacyjny dotyczący zgodności z PCI, jest on uważany za obowiązkowy na mocy precedensu sądowego.
Ogólnie rzecz biorąc, zgodność z PCI jest podstawowym elementem protokołu bezpieczeństwa firmy obsługującej karty kredytowe. Jest to na ogół wymagane przez firmy obsługujące karty kredytowe i omawiane w umowach sieci kart kredytowych.
Rada Standardów PCI jest odpowiedzialna za opracowanie standardów zgodności z PCI. Standardy te mają zastosowanie do przetwarzania handlowców i zostały również rozszerzone, aby określić wymagania dotyczące szyfrowanych transakcji internetowych. Inne kluczowe podmioty, które są również związane z ustalaniem standardów w branży kart kredytowych, to The Card Association Network i National Automated Clearing House (NACHA).
Wymagania dotyczące zgodności z PCI
Standardy zgodności PCI wymagają od sprzedawców i innych firm obsługi informacji o kartach kredytowych w bezpieczny sposób, który pomaga zmniejszyć prawdopodobieństwo kradzieży poufnych informacji o koncie finansowym posiadaczy kart. Jeśli sprzedawcy nie obsługują informacji o kartach kredytowych zgodnie ze standardami PCI, informacje o karcie mogą zostać zhakowane i wykorzystane do wielu nieuczciwych działań. Ponadto poufne informacje o posiadaczu karty mogą zostać wykorzystane do oszustw związanych z tożsamością.
Zgodność z PCI oznacza konsekwentne przestrzeganie zestawu wytycznych określonych przez Radę Standardów PCI. Zgodność z PCI jest regulowana przez PCI Standards Council, organizację utworzoną w 2006 roku w celu zarządzania bezpieczeństwem kart kredytowych.
Wymagania opracowane przez Radę są znane jako Standardy Bezpieczeństwa Danych Branży Kart Płatniczych (PCI DSS). PCI DSS ma 12 kluczowych wymagań, 78 wymagań podstawowych i ponad 400 procedur testowych. Wytyczne są również uważane za najlepsze praktyki bezpieczeństwa. Jego 12 głównych wymagań obejmuje:
Wdróż zapory sieciowe w celu ochrony danych
Odpowiednia ochrona hasłem
Chroń dane posiadacza karty
Szyfrowanie przesyłanych danych posiadacza karty
Wykorzystaj oprogramowanie antywirusowe
Aktualizuj oprogramowanie i utrzymuj systemy bezpieczeństwa
Ogranicz dostęp do danych posiadacza karty
Unikalne identyfikatory nadawane osobom mającym dostęp do danych
Ogranicz fizyczny dostęp do danych
Twórz i monitoruj logi dostępu
Regularnie testuj systemy bezpieczeństwa
Stwórz politykę, która jest udokumentowana i której można przestrzegać
Najnowsza wersja PCI DSS została wydana w maju 2018 r. i nosi nazwę 3.2.1. Ogólnie rzecz biorąc, sześć celów i 12 wymagań określa szereg kroków, które podmioty przetwarzające karty kredytowe muszą nieustannie wykonywać. Firmy są najpierw proszone o ocenę swoich sieci i systemów, które obejmują infrastrukturę informatyczną, procesy biznesowe i procedury obsługi kart kredytowych.
Korzyści ze zgodności z PCI
Ciągła konserwacja i ocena wszelkich luk w zabezpieczeniach są również bardzo ważne, aby uniknąć kradzieży poufnych informacji o posiadaczu karty, takich jak numery ubezpieczenia społecznego i prawa jazdy, gdy tylko jest to możliwe.
Firmy są zobowiązane do regularnego dostarczania raportów zgodności w ramach umów dotyczących przetwarzania kart. Monitorowanie, oceny i audyty standardów bezpieczeństwa danych branży kart płatniczych są ważną częścią działu bezpieczeństwa firmy.
Wszystkie firmy przetwarzające informacje o kartach kredytowych są zobowiązane do zachowania zgodności z PCI zgodnie z zawartymi umowami dotyczącymi przetwarzania kart. Zgodność z PCI jest standardem branżowym, a biznes bez niej może skutkować wysokimi grzywnami za naruszenie umowy i zaniedbanie. Bez zgodności z PCI firmy są również bardzo podatne na kradzieże, oszustwa i naruszenia bezpieczeństwa danych.
95%
Odsetek naruszeń cyberbezpieczeństwa spowodowanych błędem ludzkim.
Korzyści płynące z przestrzegania przepisów obejmują zmniejszenie ryzyka naruszenia danych, ochronę danych posiadaczy kart, a tym samym uniknięcie szans na kradzież tożsamości. Dobrą praktyką dla firm jest przestrzeganie przepisów, ponieważ zmniejsza to wszelkie kary związane z naruszeniem danych, pomaga reputacji marki firmy,. zapewnia klientom zadowolenie i pewność, że prowadzą interesy z odpowiedzialną firmą, co prowadzi do lojalności wobec marki.
W pierwszej połowie 2020 roku w wyniku naruszenia danych ujawniono 36 miliardów rekordów. Osiemdziesiąt sześć procent naruszeń było motywowanych finansami, a globalny rynek bezpieczeństwa informacji ma osiągnąć w 2020 roku 170 miliardów dolarów, więc ryzyko finansowe jest jeszcze wyższe. Ochrona danych posiadaczy kart jest nie tylko dobra dla biznesu, ale jest również słuszna, zapewniając, że ludzie nie zostaną poszkodowani lub nie poniosą żadnych strat finansowych.
Zgodność z PCI i naruszenia danych
Zgodność z PCI pomaga unikać nieuczciwych działań i łagodzi naruszenia danych. Verizon przedstawia roczną ocenę bezpieczeństwa płatności w swoim „Raporcie bezpieczeństwa płatności Verizon”. Raport 2019 poświęca całą sekcję PCI DSS, zatytułowaną „Stan zgodności z PCI DSS, 2019: i 12 kluczowych wymagań”. Niektóre najważniejsze informacje dotyczące PCI DSS z „Raportu bezpieczeństwa płatności Verizon 2019” obejmują:
36,7% organizacji aktywnie prowadziło programy PCI DSS w 2018 r.
Region Azji i Pacyfiku przewyższał obie Ameryki, Europę, Bliski Wschód i Afrykę.
Z punktu widzenia branży hotelarstwo pozostaje nieco w tyle za innymi sektorami.
Często zadawane pytania dotyczące zgodności z PCI
Co oznacza zgodność z PCI?
Zgodność z PCI oznacza, że każda firma lub organizacja, która akceptuje, przesyła lub przechowuje prywatne dane posiadaczy kart, jest zgodna z różnymi środkami bezpieczeństwa określonymi przez Radę Standardów Bezpieczeństwa PCI, aby zapewnić bezpieczeństwo i prywatność danych.
Czy zgodność z PCI jest wymagana przez prawo?
Nie ma mandatu regulacyjnego, który wymagałby zgodności z PCI, ale jest uważany za obowiązkowy na mocy precedensu sądowego.
Jak uzyskać zgodność z PCI?
Aby uzyskać zgodność z PCI, należy najpierw określić, który kwestionariusz samooceny należy wypełnić, aby uzyskać zgodność. Po wypełnieniu kwestionariusza musisz wypełnić i zachować dowód przejścia skanowania luk w zabezpieczeniach u zatwierdzonego dostawcy skanowania PCI SSC. Skanowanie dotyczy tylko niektórych sprzedawców. Następnie musisz wypełnić Poświadczenie zgodności. Ostatnim krokiem będzie przesłanie wszystkich powyższych informacji.
Kto musi być zgodny z PCI?
Każda firma lub organizacja, która akceptuje, przesyła lub przechowuje prywatne dane posiadaczy kart.
Podsumowanie
Zgodność z PCI odnosi się do standardów technicznych i operacyjnych określonych przez Radę Standardów Bezpieczeństwa PCI, które organizacje muszą wdrożyć i utrzymywać. Celem zgodności z PCI jest ochrona danych posiadaczy kart i dotyczy każdej organizacji, która akceptuje, przesyła lub przechowuje te dane. Zgodność z PCI jest dobrą praktyką biznesową, ponieważ stawia bezpieczeństwo danych konsumentów na pierwszym miejscu, a także przynosi korzyści organizacji poprzez pozytywną reputację marki.
##Przegląd najważniejszych wydarzeń
Firmy, które przestrzegają i osiągają standardy bezpieczeństwa danych w branży kart płatniczych (PCI DSS), są uważane za zgodne z PCI.
Zgodność z PCI ogranicza naruszenia bezpieczeństwa danych, chroni dane posiadaczy kart, pozwala uniknąć kar i poprawia reputację marki.
PCI DSS ma 12 kluczowych wymagań, 78 wymagań podstawowych i 400 procedur testowych, aby zapewnić zgodność organizacji z PCI.
Rada Standardów Bezpieczeństwa PCI jest odpowiedzialna za opracowanie PCI DSS.
Zgodność z PCI nie jest wymagana przez prawo, ale jest uważana za obowiązkową na mocy precedensu sądowego.
