PCI atitiktis: kaip atpažinti saugią svetainę ir kokie reikalavimai būtini

PCI atitiktis dažniausiai žinoma kaip PCI DSS (Payment Card Industry Data Security Standard) – privalomas standartas, galiojantis nuo 2006 m. visoms svetainėms, kurios priima mokėjimus kortelėmis, net jei tai tik nedidelės sumos. Dėl šios priežasties vartotojai, svetainių administratoriai ir savininkai turi žinoti, ar svetainė atitinka PCI reikalavimus, ir kaip tai patikrinti, siekdami apsaugoti save nuo internetinių sukčiavimų.

Svarstymai

Vartotojui vienintelis būdas sužinoti, ar svetainė yra PCI atitinkanti, – patikrinti, ar ji priima mokėjimus kreditinėmis kortelėmis. Jei svetainė siūlo prekes, bet nepriima kortelių apmokėjimų, ji nėra PCI atitinkanti. Pagal PCI Saugumo Standartų Tarybą, atitiktis yra privaloma visiems dalyviams ir ją primena pagrindinės mokėjimo kortelių įmonės: American Express, Discover, JCB, MasterCard ir Visa. Pvz., svetainės, kurios nukreipia pirkėjus į trečiosios šalies mokėjimo platformas (pvz., PayPal), yra laikomos nepakankamai atitinkančiomis, nes jos pats neįgyvendina reikiamų saugumo priemonių.

PCI atitikties faktai

Pagal PCISecurityStandards.org – oficialų PCI Saugumo Standartų Tarybos puslapį, PCI DSS yra „išsamus reikalavimų rinkinys, skirtas pagerinti mokėjimo duomenų saugumą“, apimantis „saugumo valdymą, politiką, procedūras, tinklo architektūrą, programinės įrangos dizainą ir kitas kritines apsaugos priemones“. Šie standartai saugo vartotojus, kortelių išdavėjus ir svetainių savininkus nuo kortelių sukčiavimo ir kitų saugumo grėsmių.

PCI atitikties reikalavimai

Standartas susideda iš 12 pagrindinių reikalavimų, kuriuos turi įgyvendinti bet kuri svetainė, norinti priimti kortelių mokėjimus. Tarp jų – tinkamos ugniasienės konfigūracija, nenaudojimas gamintojo numatytų (numatytų) slaptažodžių, kortelių savininkų duomenų apsauga, duomenų šifravimas per viešus tinklus, saugių programų kūrimas, nuolatinis antivirusinės programinės įrangos atnaujinimas, fizinio bei „žinojimo tik būtinyės“ prieigos apribojimas, unikalių vartotojo ID priskyrimas, nuolatinis tinklo ir saugumo sistemų stebėjimas, testavimas bei išsamios informacinės saugos politikos turėjimas. Nepasiekus šių reikalavimų, svetainė laikoma nepakankamai atitinkančia.

Kaip įvertinti atitiktį

Įvertinimą atlieka kvalifikuoti saugumo vertintojai (Qualified Security Assessors – QSA) ir patvirtinti skenavimo tiekėjai (Approved Scanning Vendors – ASV). Šios įmonės turi specialius procesus ir kvalifikuotą personalą, kad patvirtintų, jog svetainė ar prekybininkas atitinka PCI standartus. Be to, prieinama savianalizės klausimynų (Self‑Assessment Questionnaires – SAQ) serija, kurią gali užpildyti prekybininkai ir paslaugų teikėjai, priklausomai nuo jų verslo modelio. Daugiau informacijos galima rasti PCI Saugumo Standartų Tarybos oficialioje svetainėje.