Как да разберете дали даден уебсайт отговаря на изискванията на PCI?

PCI съответствието, познато като PCI DSS (Payment Card Industry Data Security Standard), е задължителен стандарт от 2006 г. за всички уебсайтове, които приемат плащания с кредитна карта, независимо от размера на бизнеса. Поради това потребителите, администраторите и собствениците на уебсайтове трябва да знаят дали даден сайт отговаря на изискванията, за да се предпазят от интернет измами.

Как да разберете дали сайтът е съвместим?

Единственият надежден начин е да проверите дали сайтът приема плащания с кредитна карта. Ако го прави – той е съвместим с PCI. Ако продава стоки, но не обработва плащания, той не е съвместим. Според Съвета по стандартите за сигурност на плащанията, спазването е задължително за всички заинтересовани страни и се налага от големите платёжни марки – American Express, Discover, JCB, MasterCard и Visa. Например, сайт, който пренасочва клиентите към PayPal или друг доставчик за обработка на плащания, се счита за несъвместим, защото самият сайт не отговаря на изискванията.

Факти за съответствието

Според официалния уебсайт на PCI Security Standards Council, PCI DSS представлява „комплексен набор от изисквания за подобряване на сигурността на данните за плащане“, включващ политики за управление на сигурността, процедури, мрежова архитектура, дизайн на софтуера и други критични защитни мерки. Тези стандарти защитават потребителите, компаниите‑издатели на карти и собствениците на уебсайтове от измами и други сигурностни проблеми.

Основни изисквания

Стандартът съдържа 12 задължителни изисквания, които всеки уебсайт трябва да изпълни, за да обработва кредитни карти. Те включват:

• Поддържане на правилно конфигуриран firewall;
• Избягване на използване на фабрични (по подразбиране) пароли;
• Защита на данните на картодържателите и тяхното криптиране при предаване по публични мрежи;
• Разработване на сигурни софтуерни решения;
• Редовно актуализиране на антивирусния софтуер;
• Ограничаване на достъпа до данните само до необходимите лица;
• Присвояване на уникални идентификатори на потребителите с достъп до системата;
• Мониторинг, проследяване и редовно тестване на мрежовите ресурси и системи за сигурност;
• Поддържане на политика за информационна сигурност.

Неспазването на тези изисквания води до класификация на сайта като несъвместим с PCI.

Оценка на съответствието

Квалифицираните оценители по сигурността (QSA) и одобрени доставчици на сканиране (ASV) помагат на организациите да проверят и потвърдят съответствието им с PCI. Те разполагат с процеси и обучен персонал за валидиране на съвместимостта. За търговците също са налични Самооценъчни въпросници (SAQ), като различните индустрии използват различни версии. Допълнителна информация може да се намери на официалния сайт на PCI Security Standards Council.