PCI DSS

Čo to znamená

PCI DSS, Payment Card Industry Data Security Standard, je bezpečnostný štandard, ktorý vytvorili veľké kartové spoločnosti. Vzťahuje sa na každého, kto prijíma, prenáša, spracúva alebo uchováva údaje platobných kariet, teda číslo karty, dátum platnosti, meno držiteľa a najmä overovací kód. Nejde o zákon, ale o zmluvnú povinnosť voči banke, ktorá obchodníkovi platby kartou zabezpečuje.

Štandard obsahuje požiadavky v oblastiach ako bezpečná sieť, ochrana uložených údajov, šifrovanie prenosu, správa zraniteľností, riadenie prístupov, monitorovanie a pravidelné testovanie vrátane penetračných testov. Rozsah povinností závisí od objemu transakcií a od toho, ako obchodník s kartovými údajmi prichádza do styku.

Plnenie sa preukazuje buď auditom kvalifikovaného posudzovateľa, alebo pri menších obchodníkoch samohodnotiacim dotazníkom, tzv. SAQ. Existuje viacero typov dotazníka, od veľmi krátkeho pre obchodníkov, ktorí údaje kariet vôbec nevidia, až po rozsiahly pre tých, ktorí ich spracúvajú na vlastných serveroch.

Ako to funguje v praxi

Pre malý e-shop je najjednoduchšou cestou nechať celú platbu na certifikovanú platobnú bránu. Zákazník zadáva údaje karty na stránke brány alebo v jej zabezpečenom okne a e-shop dostane len výsledok platby. Údaje kariet tak neprechádzajú cez server obchodníka a jeho povinnosti sa obmedzia na krátky dotazník a základné zabezpečenie webu.

Aj pri takomto riešení treba chrániť stránku, ktorá na bránu presmerováva. Útočníci napádajú e-shopy tak, že do nich vložia škodlivý skript, ktorý zákazníka presmeruje na falošnú platobnú stránku. Preto sú dôležité aktualizácie systému, silné heslá do administrácie, obmedzenie doplnkov a sledovanie zmien v kóde stránky.

PCI DSS dopĺňajú ďalšie mechanizmy: 3D Secure a silné overenie klienta overujú, že platbu robí oprávnený držiteľ, a znižujú riziko sporných platieb. Pri platobných termináloch v kamennej predajni zodpovedá za certifikáciu zariadenia poskytovateľ, obchodník však musí zabezpečiť, aby s terminálom nikto nemanipuloval.

Na čo si dať pozor

Nikdy neukladajte údaje kariet v e-mailoch, tabuľkách či poznámkach, a to ani na chvíľu, napríklad pri telefonických objednávkach. Overovací kód CVV sa nesmie uchovávať vôbec. Porušenie môže viesť k pokutám od banky, strate možnosti prijímať karty a k povinnosti hradiť škody z podvodných transakcií.

Štandard sa vyvíja, verzia 4 priniesla nové požiadavky napríklad na ochranu platobných stránok pred vloženým kódom. Obchodník má každoročne aktualizovať dotazník a overiť, či sa jeho riešenie nezmenilo. Zmena platobnej brány alebo šablóny e-shopu môže zmeniť aj rozsah povinností.