РСІ DSS (Рауmеnt Cаrd Іndustrу Dаtа Sесuritу Stаndаrd) - это cтaндapт бeзoпaснoсти дaнныx индустpии плaтeжныx кapт.
Данный стандарт был разработан международными платежными системами Visa, MasterCard и др.
Вы спросите, зачем нужен такой стандарт?
Ответ банально прост. С появлением Интернта, банковские карты, стали золотой жилой для киберпреступности. Заполучив данные платежной карты, мошенники с легкостью могут воспользоваться ими. Поэтому был разработан стандарт РСІ DSS, обеспечивающий сохранность персональных данных пользователей и предотвращающий хищения конфиденциальных сведений при оплате.
Для соответствия стандарту PCI DSS необходимо полностью соблюдать требования, которые представлены ниже в 12 разделах. Соответствие стандарту подразумевает комплекс мер безопасности на каждом этапе работы с платежными картами, от момента получения данных до их хранения на базах данных компании.
Требования стандарта РСІ DSS:
В общих чертах, проверка на соответствие стандарта РСІ DSS происходит только при помощи аудиторской компании, которые аккредитованы специальным Советом Payment CardIndustry Security Standards Council (PCI SSC).
Компаниям, имеющим аккредитацию, присваивают определенный статус QSA (Qualified Security Assessor). Только наличие аккредитации позволяет проводить аудиты.
По сути, процесс проверки на соответствие стандарту РСІ DSS подобен аудиту любого информационного продукта. Но принципиально важно, чтобы аудирование проводилось специалистами, которые работают непосредственно с данными платежных карт в рамках аудируемой компании.
Все аспекты проверки описать очень сложно, т.к. стандарт включает в себя проверку порядка 440 позиций.
Естественно, это довольно продолжительная процедура. Необходимо проверить все: от программной части, до компетентности специалистов компании .
Проверку осуществляет аудитор, имеющий полномочия в данном направлении и статус QSA (Quаlіfіеd Sуcurіtу Аssessоr ) Статус подтверждается Советом PCI SSC.
Выборочно проверяется программный код библиотек, достаточно внимания уделяется ядру обработки информации и данных платежных карт. При этом акцент фокусируется на соответсвии внешнему стандарту безопасности ОWАSР, который описывает главные требования к поиску и исключению уязвимости и ошибок в коде. В бизнес-процессе разработки имеется звено Cоdе Rеvіew, которое аудируется другим разработчиком, не принимающим участия в самом написании кода.
В рамках требований PCI DSS, все взаимоотношения и ответственность между сервис-провайдерами, а именно между процессинговым центром и датацентром, а также банками-эквайерами, фиксируются в так называемых матрицах ответственности.
Все остальные компоненты системы сервера и сетевое оборудование проходят запланированную проверку. В этой ситуации, главным требованием остается актуальность PCI DSS, которая напрямую зависит от количества изменений программного оборудования, конфигураций оборудования и виртуальных машин. Админы должны проводить аудит системы на предмет поиска ее уязвимостей, как внутренних так и внешних. И приводить их в соответсвие стандарту PCI DSS.
Аудит безопасности выполняется дважды. Первичный этап проводит организация имеющая сертификат ASV (Approved Scanning Vendor), при помощи автоматического сканера для выявления распространенных «слабых сторон». Успешное прохождение данного этапа, означает переход к следующему этапу.
Второй этап более сложный и проверяется непосредственно экспертами в ручном режиме. Результаты проверки фиксируются в официальном заключении.
Существует четыре уровня сертификации РСІ DSS. Основным отличием между уровнями, является количество обрабатывающих транзакций:
- 4-ый уровень предполагает обработку до 20000 транзакций в год.
Что бы повторно пройти сертификацию необходимо каждый квартал проводить сканирование внешних адресов на наличие уязвимостей (ASV-сканирование). Полученные данные вносятся в лист самооценки (Annual Self-Assessment Questionnaire, SAQ).
- 3-ий уровень позволяет обрабатывать от 20000 до 1 миллиона транзакций в год.
Для прохождения сертификации, так же как и в предыдущем уровне требуется ежеквартальное ASV- сканирование и заполнение SAQ .
- 2-ой уровень позволяет обрабатывать от 1 до 6 миллионов транзакций в год.
Условия прохождения сертификации идентичны выше перечисленным уровням. Однако для заполнения SAQ сотрудники компании должны пройти обучающий спец-тренинг или привлечь компанию аудитора (PCI QSA).
- 1-ый уровень позволяет обрабатывать от 6 миллионов транзакций в год. Сертификация соответствия проводится только с помощью привлечения независимого аудитора (QSA). Данная процедура проводит обследование информационной инфраструктуры компании, разработку рекомендаций и нормативных документов, необходимых для соответствия стандарту, консультационную поддержку при внедрении.
Практически каждая компания, предоставляющая услуги процессинга, приходит к пониманию необходимости сертификации. Только сертифицированные поставщики услуг помогут осуществить проверку на соответствие стандарта РСІ DSS и гарантировано обеспечить защиту данных компании.
Фирма в Гонконге | Как открыть фирму в Гонконге для русских
Дата: 2017-02-13
Фирма в Гонконге Открытие собственной фирмы в Гонконге – успешный старт для каждого бизнесмена и возможность выйти на международный бизнес-рынок. Важное преимущество заключается в том, что такая фирма не находится в «черном списке FATF». Иностранные бизнесмены знают, что Гонконг – популярная азиатская оффшорная зона, поэтому выбирают этот регион для разных сфер бизнеса. Экономика основана на св...
Транзакция по банковской карте – что это такое, основные понятия и виды
Дата: 2018-10-12
Транзакция по банковской карте – что это такое простыми словами Слово транзакция (лат. transactio) в переводя с латыни означает совершение, соглашение, договор. Когда вы используете пластиковую карту для перевода средств, снятия денег, оплаты товаров или услуг, вы совершаете транзакцию. Транзакция - это банковская операция, заключающаяся в переводе определенной суммы денег с одного счета на д...
Лицензия турагенства и туроператора
Дата: 2012-05-11
Лицензия турагенства и туроператора Мы предлагаем данную услугу ввиду увеличившихся запросов от наших клиентов. Такой интерес следует отнести, прежде всего, к окончанию мирового финансового кризиса и оживившимся инвестиционным рынком. С учетом нашего опыта, наиболее оптимальными юрисдикциями следует признать Португалию (относительно невысокие требования при лицензировании), Германию (высокий у...
Виртуальные платёжные системы – список популярных платёжных систем
Дата: 2018-05-31
Виртуальные платёжные системы Пользоваться деньгами можно не только в реальной жизни, но и в интернете. И для этого не нужно заводить счёт в банке – достаточно зарегистрироваться в виртуальной платёжной системе. Таких систем много, но не всем можно доверить свои деньги и персональные данные. Поэтому в этой статье собран список популярных систем, которые доказали свою надёжность. Популярные пл...
Лицензия платёжной системы на Кипре – Rechtsanwalt
Дата: 2018-02-25
Лицензия платежной системы на Кипре Кипр – одна из удобных и выгодных оффшорных юрисдикций для получения лицензии платежной системы. Страна открывает перед бизнесменами прекрасные возможности для осуществления любых платежных операций и взаиморасчетов компаний, зарегистрированных на ее территории. В соответствии с действующими законами Кипра, системы электронных денег могут работать на базе офф...
Бизнес иммиграция в Чехию | Rechtsanwalt
Дата: 2018-08-25
Бизнес иммиграция в Чехию Если вы хотите перенести свой бизнес в Европейский Союз, открыть филиал или представительство своей компании в Европе, то Чехия – это отличный вариант. Эта страна предоставляет предпринимателям-нерезидентам возможность вести свою хозяйственную деятельность в экономических выгодных, стабильных условиях. Чехия характеризуется экономической развитостью, стабильностью в п...
Телеграм канал
