Jak sprawdzić, czy strona internetowa spełnia wymogi PCI?

PCI compliance, czyli standard PCI DSS (Payment Card Industry Data Security Standard), od 2006 roku jest obowiązkowy dla wszystkich witryn przyjmujących płatności kartą, niezależnie od wielkości transakcji. Dlatego zarówno konsumenci, webmasterzy, jak i właściciele stron muszą wiedzieć, czy dana witryna jest zgodna z PCI, aby chronić się przed oszustwami internetowymi.

Rozważania

Jedynym prostym wskaźnikiem zgodności PCI jest możliwość przyjmowania płatności kartą na danej stronie. Jeśli witryna umożliwia takie płatności, spełnia wymogi PCI. Jeśli sprzedaje produkty, ale nie przyjmuje płatności kartą, nie jest zgodna. Zgodnie z wytycznymi Rady PCI, zgodność jest obowiązkowa dla wszystkich interesariuszy i jest egzekwowana przez główne sieci kart płatniczych: American Express, Discover, JCB, MasterCard i Visa. Strony, które przekierowują klienta do zewnętrznych serwisów (np. PayPal) w celu dokonania płatności, są uznawane za niezgodne, ponieważ same nie spełniają wymogów bezpieczeństwa.

Fakty dotyczące zgodności

Na stronie PCISecurityStandards.org, oficjalnym serwisie Rady PCI, opisano PCI DSS jako „zestaw kompleksowych wymagań zwiększających bezpieczeństwo danych płatniczych”. Obejmuje on m.in. zarządzanie bezpieczeństwem, polityki, procedury, architekturę sieci, projektowanie oprogramowania oraz inne kluczowe środki ochronne. Standardy te chronią konsumentów, firmy wydające karty oraz właścicieli witryn przed oszustwami i innymi zagrożeniami.

Wymagania zgodności

PCI DSS składa się z 12 głównych wymagań, które każda strona przyjmująca płatności kartą musi spełnić, m.in.:

• konfiguracja zapór sieciowych (firewall);
• zakaz używania domyślnych haseł dostarczonych przez producenta;
• ochrona danych posiadaczy kart;
• szyfrowanie transmisji danych w publicznych sieciach;
• tworzenie bezpiecznych aplikacji i systemów;
• regularna aktualizacja oprogramowania antywirusowego;
• ograniczenie dostępu do danych do niezbędnego minimum;
• przydzielanie unikalnych identyfikatorów użytkownikom systemu;
• monitorowanie, testowanie i audytowanie wszystkich zasobów sieciowych oraz systemów bezpieczeństwa;
• posiadanie i utrzymywanie polityki bezpieczeństwa informacji.

Brak spełnienia któregokolwiek z tych wymogów skutkuje uznaniem witryny za niezgodną.

Ocena zgodności

W procesie weryfikacji uczestniczą Qualified Security Assessors (QSA) oraz Approved Scanning Vendors (ASV) – firmy specjalizujące się w ocenie i potwierdzaniu bezpieczeństwa płatności. Dodatkowo dostępne są Self‑Assessment Questionnaires (SAQ) – kwestionariusze, które handlowcy i dostawcy usług mogą wypełnić samodzielnie, aby ocenić własną zgodność. Rodzaj SAQ zależy od branży i modelu przetwarzania płatności. Szczegółowe informacje znajdują się na oficjalnej stronie Rady PCI.