PCI-DSS

Cos'è lo standard PCI DSS?

PCI DSS è un quadro di riferimento delle norme di sicurezza che dovrebbero essere adottate per garantire la confidenzialità dei dati delle carte bancarie utilizzate nei sistemi IT. Il documento è stilato e aggiornato dal PCI Council, un gruppo professionale fondato dai cinque brand VISA, Mastercard, American Express, JCB e Discovery.

Le banche che emettono carte di pagamento per i propri clienti o che gestiscono le transazioni dei commercianti sono libere di definire contrattualmente le policy di sicurezza che i propri clienti e partner devono rispettare. Lo standard PCI DSS comprende una serie di requisiti base applicabili alla maggior parte delle situazioni. Costituisce ormai il riferimento dei sistemi di pagamento e la conformità delle infrastrutture è un'esigenza per gli attori del settore. Ogni entità coinvolta nella catena detiene un certo grado di responsabilità, che permette di garantire la sicurezza della piattaforma. Questi obblighi vengono trasferiti contrattualmente dai brand delle carte a tutti gli altri soggetti interessati.

Lo standard PCI DSS contiene oltre 250 punti di controllo e dispositivi di sicurezza da applicare per una gestione totalmente sicura dei numeri delle carte bancarie. Questi punti di controllo sono classificati in 6 gruppi:

• Sviluppo e gestione di sistemi e reti sicure

• Protezione dei dati dei titolari di carta

• Utilizzo di un programma per la gestione delle vulnerabilità

• Implementazione di rigide misure di controllo dell'accesso

• Monitoraggio e test regolari delle reti

• Gestione di una politica di sicurezza delle informazioni

Come ottenere la conformità PCI DSS

La conformità al PCI DSS si applica all'intera piattaforma di pagamento e deve essere rispettata anche dal commerciante tramite la scelta di provider certificati. Questo implica che ogni soggetto coinvolto possieda i requisiti di sicurezza richiesti per la sua attività e dimostri la propria conformità ai suoi clienti.

Nell'ambito del servizio Payment Infrastructure PCI DSS, OVHcloud è responsabile della sicurezza dell'infrastruttura mentre il cliente della sicurezza delle macchine virtuali ospitate, dell'utilizzo delle funzionalità delle reti virtuali e degli applicativi implementati sulle proprie VM. L'applicazione del PCI DSS rappresenta quindi uno sforzo congiunto per combinare le misure di sicurezza della propria piattaforma applicativa e del sistema con quelle dell'infrastruttura Private Cloud.

La certificazione PCI DSS si ottiene tramite un'Attestazione di Conformità (AoC) rilasciata al completamento di un questionario di autovalutazione o di un audit effettuato da una o più società QSA (Qualified Security Assessor).

La conformità delle piattaforme è un intervento strutturato, con caratteristiche e obblighi che dipendono da numerosi fattori:

•     Numero di transazioni effettuate annualmente
•     Tipi di carte di pagamento accettate
•     banca(e) acquirente(i);
•     complessità dell'infrastruttura di pagamento elettronica.

Diventare conformi alle norme PCI DSS implica un dialogo con i soggetti coinvolti per conoscere in modo preciso le loro aspettative. OVH ti consiglia di contattare la tua banca acquirente e/o contattare una società QSA per avere supporto durante il processo.

La piattaforma OVHcloud viene sottoposta annualmente all'audit da parte di una società QSA e mette a disposizione i documenti ottenuti, che permettono di:

•     comprendere i requisiti inclusi nella certificazione
•     definire i requisiti da rispettare per ottenere la certificazione
•     dimostrare al proprio QSA che OVHcloud rispetta gli standard applicabili ed è conforme al PCI DSS

Inoltre, OVHcloud mette a disposizione il suo team di esperti per accompagnare i propri clienti nell'ottenimento dei documenti necessari al raggiungimento della conformità:

•     matrice di condivisione delle responsabilità PCI DSS
•     condizioni particolari che precisano le responsabilità di OVHcloud
•     modello delle specifiche tecniche per la realizzazione dei test di intrusione obbligatori