PCI DSS

Что это значит

PCI DSS, Payment Card Industry Data Security Standard, - стандарт безопасности, созданный крупными карточными системами. Он распространяется на каждого, кто принимает, передаёт, обрабатывает или хранит данные платёжных карт, то есть номер карты, срок действия, имя держателя и особенно проверочный код. Это не закон, а договорная обязанность перед банком, который обеспечивает торговцу приём карт.

Стандарт содержит требования в таких областях, как защищённая сеть, защита хранимых данных, шифрование передачи, управление уязвимостями, управление доступом, мониторинг и регулярное тестирование, включая тесты на проникновение. Объём обязанностей зависит от количества транзакций и от того, как торговец соприкасается с карточными данными.

Соответствие подтверждают либо аудитом квалифицированного оценщика, либо у небольших торговцев анкетой самооценки, так называемой SAQ. Существует несколько типов анкеты, от очень короткой для торговцев, которые вообще не видят данных карт, до обширной для тех, кто обрабатывает их на собственных серверах.

Как это работает на практике

Для небольшого интернет-магазина проще всего доверить весь платёж сертифицированному платёжному шлюзу. Покупатель вводит данные карты на странице шлюза или в его защищённом окне, а магазин получает только результат платежа. Данные карт не проходят через сервер торговца, и его обязанности сводятся к короткой анкете и базовой защите сайта.

Даже при таком решении нужно защищать страницу, которая перенаправляет на шлюз. Злоумышленники атакуют магазины, внедряя вредоносный скрипт, который перенаправляет покупателя на поддельную платёжную страницу. Поэтому важны обновления системы, сильные пароли к администрированию, ограничение плагинов и отслеживание изменений в коде сайта.

PCI DSS дополняют другие механизмы: 3D Secure и строгая аутентификация клиента подтверждают, что платёж совершает законный держатель, и снижают риск спорных платежей. Для платёжных терминалов в обычном магазине за сертификацию устройства отвечает поставщик, но торговец должен следить, чтобы с терминалом никто не манипулировал.

На что обратить внимание

Никогда не храните данные карт в письмах, таблицах или заметках, даже на короткое время, например при телефонных заказах. Проверочный код CVV хранить нельзя вообще. Нарушение может привести к штрафам от банка, потере возможности принимать карты и обязанности возмещать ущерб от мошеннических операций.

Стандарт развивается, версия 4 принесла новые требования, например к защите платёжных страниц от внедрённого кода. Торговец должен ежегодно обновлять анкету и проверять, не изменилось ли его решение. Смена платёжного шлюза или шаблона магазина может изменить и объём обязанностей.