PCI-DSS

Co to jest norma PCI DSS?

PCI DSS jest źródłem odniesienia dla wymogów bezpieczeństwa zaprojektowanych w celu zapewnienia poufności kart kredytowych i bankowych podczas ich używania w systemach informatycznych. Źródło odniesienia jest edytowane i utrzymywane przez PCI Council - zrzeszenie branżowe wydające karty kredytowe, w tym VISA, Mastercard, American Express, JCB oraz Discovery.

Każdy bank, który wystawia karty swoim klientom posiadającym rachunek bankowy lub dokonuje transakcji na rzecz klientów firmowych, ma prawo przedstawić umowną definicję wymogów bezpieczeństwa, których muszą przestrzegać jego klienci i partnerzy. Standard PCI DSS określa wspólny poziom bezpieczeństwa, który obejmuje większość potrzeb. PCI DSS stał się punktem odniesienia w zakresie bezpieczeństwa płatności elektronicznych, a zgodność z tą normą stała się systematycznym wymogiem dla użytkowników elektronicznych systemów płatności. Każda strona łańcucha hostingowego systemu płatności online ponosi część odpowiedzialności za monitorowanie ogólnego bezpieczeństwa platformy. Zobowiązania te są umownie przekazywane przez marki kart wszystkim podmiotom uczestniczącym w elektronicznej platformie płatniczej.

Norma PCI DSS oficjalnie wymienia ponad 250 kontroli i funkcji bezpieczeństwa, które należy wprowadzić w celu bezpiecznego przetwarzania numerów kart. Kontrole te podzielone są na sześć grup:

• Budowa i utrzymanie bezpiecznej sieci i systemu

• Ochrona danych posiadaczy kart

• Utrzymanie programu zarządzania podatnościami

• Implementacja silnych mechanizmów kontroli dostępu

• Regularne monitorowanie i testowanie sieci

• Utrzymanie polityki bezpieczeństwa informacji

Jak zapewnić zgodność ze standardem PCI DSS

Zgodność z PCI DSS ma zastosowanie do całej platformy płatności elektronicznej i jest przestrzegana przez sprzedawcę w oparciu o bloki budowy zgodne z PCI DSS, które należą do jego dostawcy usług. Oznacza to, że każda strona uczestnicząca w korzystaniu z platformy spełnia wymagania normy, które są istotne dla jej działalności, i wykazuje zgodność z tymi wymogami swoim klientom.

W ramach infrastruktury płatniczej PCI DSS OVHcloud, OVHcloud jest odpowiedzialna za bezpieczeństwo infrastruktury, natomiast nasz klient pozostaje odpowiedzialny za bezpieczeństwo hostowanych przez nas maszyn wirtualnych, korzystanie z funkcji sieci wirtualnej oraz warstw aplikacji wdrożonych na jego maszynach wirtualnych. W ten sposób zgodność PCI DSS jest wspólnym wysiłkiem na rzecz połączenia środków bezpieczeństwa Twojego oprogramowania i platformy systemowej ze środkami bezpieczeństwa infrastruktury Private Cloud OVHcloud.

Zgodność z PCI DSS może być potwierdzona certyfikatem zgodności (AoC) wydanym po wypełnieniu kwestionariusza samooceny lub po przejściu audytu przeprowadzonego przez jedną lub kilka firm QSA (Qualified Security Assessor).

Uzyskanie zgodności platformy ze standardem PCI DSS jest złożonym procesem, którego charakterystyka i związane z nim wymagania zależą od wielu czynników, takich jak:

•     liczba transakcji przeprowadzanych rocznie;
•     typ(y) akceptowanych kart płatniczych;
•     bank(i) nabywające;
•     złożoność infrastruktury płatności elektronicznych.

Zgodność ze standardem PCI DSS oznacza również zbliżenie się do zainteresowanych stron, aby zrozumieć ich dokładne oczekiwania. OVHcloud zaleca, aby skontaktować się z bankiem rozliczeniowym i/lub z firmą QSA, aby otrzymać wsparcie w tym procesie.

Platforma OVHcloud podlega corocznym audytom przeprowadzanym przez firmę QSA. Dokumenty z audytu są do dyspozycji klienta, aby mógł on zapoznać się z nimi oraz:

•     zrozumiał jakie są wymogi spełniane przez OVHcloud w ramach aktualnej certyfikacji;
•     zdefiniował potrzeby, które muszą być spełnione;
•     udowodnił swojemu QSA, że wszystkie mające zastosowanie wymagania są uznawane przez OVHcloud i zgodne z normą PCI DSS.

OVHcloud może również pomóc Wam w uzyskaniu zgodności ze standardem, dzięki wsparciu zespołu ekspertów oraz proponowanej dokumentacji:

•     utworzenie macierzy podziału odpowiedzialności za PCI DSS;
•     szczególne warunki określające zakres odpowiedzialności OVHcloud;
•     wzór specyfikacji do przeprowadzenia obowiązkowych testów włamaniowych.