PCI DSS

Що це означає

PCI DSS, Payment Card Industry Data Security Standard, - стандарт безпеки, створений великими картковими системами. Він поширюється на кожного, хто приймає, передає, обробляє чи зберігає дані платіжних карток, тобто номер картки, строк дії, ім'я власника й особливо перевірний код. Це не закон, а договірний обов'язок перед банком, який забезпечує торговцю приймання карток.

Стандарт містить вимоги в таких сферах, як захищена мережа, захист збережених даних, шифрування передачі, управління вразливостями, управління доступом, моніторинг і регулярне тестування, зокрема тести на проникнення. Обсяг обов'язків залежить від кількості транзакцій і від того, як торговець стикається з картковими даними.

Відповідність підтверджують або аудитом кваліфікованого оцінювача, або в невеликих торговців анкетою самооцінювання, так званою SAQ. Існує кілька типів анкети, від дуже короткої для торговців, які взагалі не бачать даних карток, до розлогої для тих, хто обробляє їх на власних серверах.

Як це працює на практиці

Для невеликого інтернет-магазину найпростіше довірити весь платіж сертифікованому платіжному шлюзу. Покупець вводить дані картки на сторінці шлюзу або в його захищеному вікні, а магазин отримує лише результат платежу. Дані карток не проходять через сервер торговця, і його обов'язки зводяться до короткої анкети й базового захисту сайту.

Навіть за такого рішення треба захищати сторінку, яка перенаправляє на шлюз. Зловмисники атакують магазини, впроваджуючи шкідливий скрипт, що перенаправляє покупця на підроблену платіжну сторінку. Тому важливі оновлення системи, сильні паролі до адміністрування, обмеження плагінів і відстеження змін у коді сайту.

PCI DSS доповнюють інші механізми: 3D Secure і посилена автентифікація клієнта підтверджують, що платіж здійснює законний власник, і знижують ризик спірних платежів. Щодо платіжних терміналів у звичайному магазині за сертифікацію пристрою відповідає постачальник, але торговець має стежити, щоб із терміналом ніхто не маніпулював.

На що звернути увагу

Ніколи не зберігайте дані карток у листах, таблицях чи нотатках, навіть на короткий час, наприклад під час телефонних замовлень. Перевірний код CVV зберігати не можна взагалі. Порушення може призвести до штрафів від банку, втрати можливості приймати картки й обов'язку відшкодовувати шкоду від шахрайських операцій.

Стандарт розвивається, версія 4 принесла нові вимоги, наприклад щодо захисту платіжних сторінок від упровадженого коду. Торговець має щороку оновлювати анкету й перевіряти, чи не змінилося його рішення. Зміна платіжного шлюзу чи шаблону магазину може змінити й обсяг обов'язків.