Ödeme Kartı Sektörü – Veri Güvenliği Standartları (PCI-DSS), PCI Güvenlik Standartları Konseyi tarafından kabul edilen çok sayıda gereksinimdir ve tüm çevrimiçi satıcılarda tutarlı veri güvenliği önlemleri sağlamak içindir. PCI Güvenlik Standartları Konseyi (PCI SSC), JCB International, American Express, Discover Finansal Servisleri, VISA ve MasterCard Worldwide’ı içerir. Büyük kredi kartı şirketleri aracılığıyla ödeme kabul eden tüm çevrimiçi satıcılar PCI-DSS gerekliliklerine tabidir.
Uyumluluğun sağlanması ve sürdürülmesi, küçük satıcılar hariç, büyük çevrimiçi şirketler için bile sinir bozucu bir deneyim olabilir. Ancak, veri ihlali ve uyumluluk gereksinimlerinin karşılanamamasının maliyetli yankıları, çevrimiçi hizmet sağlayıcılarının müşterilerinin güvenli bir şekilde işlem yapmalarını zorunlu kılmaktadır.
Bu makalede, PCI uyumluluğu için en önemli gereksinimlerden bazılarını ve en iyi PCI uyumlu web barındırma PCI uyumluluk stratejinizi daha iyi yönetmek için.
Contents
PCI Uyumlu Olmak Ne Demektir?
PCI uyumluluğu, gelir ve işlem hacminden bağımsız olarak kredi kartını kabul eden tüm e-ticaret işletmeleri için bir zorunluluktur. Bu nedenle, bu iki faktör, kredi kartını kabul eden en küçük e-ticaret işletmelerinin bile PCI-DSS standartlarına bağlı olduğu göz önüne alındığında, PCI SSC tarafından belirlenen veri güvenliği kurallarına uymanız gerekip gerekmediğini belirlemez; ancak, işletmenizin yıllık işlediği kredi / banka kartı işlemlerinin sayısı, dört uyum düzeyinden hangisine ulaşmanız gerektiğini belirler. Seviye 1 en yüksek uyum zorluğuna sahiptir ve 12 aylık bir süre içinde 6.000.000’dan fazla kredi veya banka kartını işleyen e-ticaret işletmeleri tarafından ulaşılması gereken bir güvenlik standardıdır. Öte yandan, 4. seviye en düşük uyum zorluğunu taşımaktadır ve yılda 20.000’den az kredi kartı işlemi gerçekleştiren çevrimiçi işletmelerle ilgilidir..
PCI SSC tarafından tanımlanan PCI-DSS standartları bir yasa olmamakla birlikte, bu standartlara uyum kredi şirketleri tarafından uygulanır. İhlalde bulunan işletmeler, önemli miktarda para cezası (ayda 5.000 – 100.000 $) ve cezalar (kredi kartı ödemelerini işleme alma hakkının kaybı, işlem başına işlem ücretlerinde artış, ihlal nedeniyle ele geçirilen kredi kartlarının ödenmesi, taşınması beklenebilir. uygunluk düzeyi, vb.). Bu para cezaları ve cezalar, bir işin ihlali nedeniyle uğrayabileceği itibar kaybından bahsetmemek yerine, bir işletme için felaket olabilir..
PCI SSC tarafından tanımlanan ve korunan standartlar nihayetinde kart sahibi verilerinin güvenliğini sağlamak için kaybolsa da, PCI uyumluluğunu elde etmek ortalama çevrimiçi satıcı için birçok engel oluşturur.
Özetle, çevrimiçi hizmet sağlayıcıların uyması gereken tam PCI DSS standartlarında kapsanan PCI uyumluluğu gereksinimleri:
- Güvenlik duvarı ve yönlendirici yapılandırmaları, bunlarla ilgili testler, test sıklığı ve güvenli şifre yönetimini içeren güvenli bir ağ oluşturmak ve sürdürmek;
- Depolama, veri saklama ve veri kullanım parametrelerini ve şifreleme gereksinimlerini tanımlayarak kart sahibi verilerini korumak ve açıkta iletildiğinde kart sahibi verilerinin korunması için şifreleme ve güvenlik protokollerinin (SSL / TLS, SSH veya IPSec) uygulanmasını sağlamak, kamu ağları;
- Düzenli olarak güncellenen, her zaman etkin olan ve denetim günlükleri oluşturan bir virüsten koruma programının kullanımını içeren bir güvenlik açığı yönetim programının yürütülmesi. Güvenlik açığı yönetim programının bir başka yönü, kodlama yönergelerine uyulması ve üçüncü taraf kodlarının veya özel uygulamaların güvenlik açıklarına göre gözden geçirilmesi yoluyla elde edilen güvenli sistem ve uygulamaların geliştirilmesi ve sürdürülmesidir;
- Hassas verileri yetkisiz erişimden koruyarak güvenli kullanıcı erişim kontrolü önlemleri uygulamak, iyi tanımlanmış rol tabanlı erişim kontrolü (RBAC) kurarak erişimi sınırlamak, izlenebilirlik için benzersiz kullanıcı kimlikleri atamak, iki faktörlü kimlik doğrulama işlemleri kullanarak, kart sahibine fiziksel erişimi kısıtlamak veri;
- Ağ ve kart sahibi verilerine erişimi izlemek ve izlemek için günlükleme mekanizmalarını kullanarak en az bir yıl boyunca saklanması gereken bir denetim izi oluşturmak;
- Düzenli dahili ağ güvenliği taramaları (üç ayda bir ve ağda veya altyapıdaki her önemli değişiklik, yükseltme veya değişiklikten sonra), ilk uygunluk taramasının, uygulama sistemlerinin (saldırı) ardından üçer aylık ASV (Onaylı Tarama Satıcısı) taramalarına gönderme algılama sistemleri ve dosya izleme sistemleri) kritik dosyaların yetkisiz olarak değiştirilmesi ve sistem güvenliğinin aşılması hakkında uyarıda bulunmak;
- Personel taraması, risk değerlendirmesi, güvenlik açıkları değerlendirmesi, uzaktan erişim vb. İle ilgili hususları içermesi gereken bir bilgi güvenliği politikası oluşturmak ve sürdürmek..
Etkin bir uyumluluk programı yürütmek için uzmanlığa ve / veya dahili kaynaklara sahip olmayan işletmeler, tamamlamaları gereken PCI-DSS Öz Değerlendirme Anketi, gereklilikler konusunda rehberlik sağlayacak harici bir ortak ve nitelikli güvenlik danışmanının yardımını aramalıdır. uyumluluk düzeyleri, çözmeleri gereken altyapı eksiklikleri, vb. için karşılamaları gerekir..
Bu gereksinimleri karşılama yükünden bazıları, barındırma sağlayıcıları gibi fiziksel, ağ ve sistem kontrollerinin uygulanmasına ve korunmasına yardımcı olabilecek çözüm ortaklarıyla paylaşılabilir..
En İyi PCI Uyumlu Web Hosting Nasıl Bulunur
İyi bir web hosting seçimi kendi içinde karmaşık bir görev olabilir. Gereksinimleriniz listesine PCI-DSS uyumluluğu eklemek işlemi daha da karmaşık hale getirebilir. PCI uyumlu bir web barındırma ararken yapılması gerekenler:
Ana bilgisayarınız tarafından üstlenilen PCI uyumluluk bileşenlerini tartışın
Web barındırma sağlayıcısına, sizin için işleyebilecekleri PCI uyumluluğunun bileşenleri hakkında bilgi alın. Örneğin, HostGator web sitelerinde VSP ve özel sunucularının sunucu PCI uyumluluk gereksinimlerini karşılamak üzere güncellendiğini açıkça belirtir. Bununla birlikte, HostGator, web siteniz tarafından kullanılan alışveriş sepetlerinin, ödeme ağ geçidi yazılımlarının, alışveriş sepeti eklentilerinin vb. PCI uyumlu olmasını sağlamak için destek sağlamayacaktır, bu nedenle bu görev sizi bu çözümlerin kullanıcısı olarak gizler..
Her bileşen hakkında daha fazla bilgi edinin
PCI uyumluluk gereksinimlerini karşılayamama, işletmenizin varlığını tehdit edebilecek bir dizi risk taşıdığından, PCI uyumlu olma çabalarınızda her zaman barındırma şirketinizin üstlendiği ekstra hizmetlerin ince baskısını okuyun ve benimsenen hakkında daha fazla bilgi isteyin bu hizmetlerin PCI-DSS uyumluluk gereksinimlerinize uygun olup olmadığını görmek için çözümler. Rackspace gibi barındırma şirketleri, bir dizi başka hizmet (ör. Yönetilen güvenlik duvarı, SSL sertifikaları, yönetilen antivirüs çözümleri, güvenlik açığı değerlendirme hizmetleri, web uygulaması güvenlik duvarı, vb.) Sağlayarak size sunucu PCI uyumluluğu sağlamanın ötesine geçer..
Destek hakkında bilgi edinin
Kredi kartı şirketleri tarafından dayatılan endüstri standartlarına uyma labirentinde gezinmek, kuşkusuz, ister küçük ister büyük işletmeler olsun, herkes için yorucu bir süreçtir. İhtiyaçlarınızı tartışma konusunda sunulan destek ve ihtiyaç duyduğunuz hizmetleri keşfetmenize yardımcı olma, uyumlu olma çabalarınızın karmaşıklığını azaltmaya yardımcı olabilir.
Sonuç
PCI uyumluluğunun paylaşılan bir sorumluluk olduğunu ve PCI uyumlu barındırma, biri otomatik olarak PCI uyumlu olmaz. Her çözüm ortağı tarafından üstlenilen sorumlulukların açık bir şekilde anlaşılması, uyumluluğun sağlanması ve sürdürülmesinde önemli bir adımdır.