PCI DSS

Payment Card Industry Data Security Standard (PCI DSS) (с англ. «стандарт безопасности индустрии платёжных карт») — это стандарт безопасности данных индустрии платёжных карт, разработанный Советом по стандартам безопасности индустрии платежных карт (Payment Card Industry Security Standards Council, PCI SSC), учреждённым международными платёжными системами Visa, MasterCard, American Express, JCB и Discover. Стандарт представляет собой совокупность 12 детализированных требований по обеспечению безопасности данных о держателях платёжных карт, которые передаются, хранятся и обрабатываются в информационных инфраструктурах организаций. Принятие соответствующих мер по обеспечению соответствия требованиям стандарта подразумевает комплексный подход к обеспечению информационной безопасности данных платёжных карт.

О стандарте безопасности данных индустрии платежных карт

Необходимость соответствия PCI DSS устанавливается операторами платежных систем в рамках их собственных программ по безопасности.

Например:

Все организации, в которых ведется хранение, передача или обработка данных карт этих платежных систем, должны соблюдать требования PCI DSS. Также платежными системами устанавливаются правила подтверждения соответствия PCI DSS.

Национальные (локальные) платежные системы могут также в своих программах безопасности указывать требование о необходимости соответствия PCI DSS и устанавливать требования к схеме подтверждения соответствия. Например, в платежной системе "Мир" необходимость соответствия PCI DSS определена в Стандарте ПС "Мир" "Программа безопасности". Так же в рамках этой программы определены уровни для организаций и требования к отчетности.

С сентября 2006 года стандарт введён международной платёжной системой Visa на территории региона CEMEA (центральная и восточная Европа, Ближний Восток и Африка) как обязательный, соответственно, его действие распространяется и на Россию. Поэтому поставщики услуг (процессинговые центры, платёжные шлюзы, интернет-провайдеры), работающие напрямую с VisaNet, должны пройти процедуру аудита на соответствие требованиям стандарта.

Подтверждение соответствия PCI DSS

Разные международные платежные системы предъявляют разные требования к процессу подтверждения соответствия требованиям PCI DSS.

Обычно, схемы подтверждения варьируются для организаций в зависимости от количества обрабатываемых в них транзакций по картам. Каждой организации присваивается определённый уровень с соответствующим набором требований, которые они должны выполнять. В рамках требований платежных систем предусматриваются ежегодные аудиторские проверки организаций на соответствие PCI DSS или проведение самооценки.

Существуют следующие методы подтверждения соответствия требованиям стандарта PCI DSS:

  • внешний QSA-аудит (англ.), выполняемый PCI QSA-компанией на объекте проверяемой организации;
  • самооценка, выполняемая организацией самостоятельно с заполнением листа самооценки (SAQ).

Метод проверки соответствия, или комбинация методов, выбирается в зависимости от уровня торгово-сервисного предприятия или поставщика услуг.

Уровни торгово-сервисных предприятий

Торгово-сервисным предприятием (ТСП) является организация, принимающая платежные карты в оплату за продаваемые товары или услуги. Примерами торгово-сервисных предприятий являются магазины, рестораны, отели и интернет-магазины.

По классификации Visa:

Level 1:

  • ТСП, обрабатывающие более чем 6 млн транзакций в год.

Требования к оценке соответствия:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.

Level 2:

  • ТСП, обрабатывающие от 1 до 6 млн транзакций в год.

Требования к оценке соответствия:

  • ежегодная самооценка с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.

Level 3:

  • ТСП, обрабатывающие от 20 000 до 1 млн транзакций в год с применением средств электронной коммерции.

Требования к оценке соответствия:

  • ежегодная самооценка с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.

Level 4:

  • ТСП, обрабатывающие до 20 000 транзакций в год с применением средств электронной коммерции, а также иные ТСП, обрабатывающие до 1 млн транзакций в год.

Требования к оценке соответствия:

  • рекомендована ежегодная самооценка соответствия с заполнением опросного листа;
  • рекомендовано ежеквартальное ASV-сканирование;
  • требования определяются банком-эквайером.

По классификации MasterCard:

Level 1:

  • ТСП, обрабатывающие более чем 6 млн транзакций в год.
  • ТСП, через системы которых были скомпрометированы данные о держателях карт;
  • ТСП, отнесенные международной платёжной системой Visa к 1 уровню;
  • ТСП, напрямую отнесенные международной платёжной системой MasterCard к 1 уровню.

Требования к оценке соответствия:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.

Level 2:

  • ТСП, обрабатывающие от 1 до 6 млн транзакций в год;
  • ТСП, отнесенные международной платёжной системой Visa ко 2 уровню.

Требования к оценке соответствия:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.

Level 3:

  • ТСП, обрабатывающие от 20 000 до 1 млн транзакций в год с применением средств электронной коммерции.
  • ТСП, отнесенные международной платёжной системой Visa к 3 уровню.

Требования к оценке соответствия:

  • ежегодная самооценка с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.

Level 4:

  • Все остальные ТСП.

Требования к оценке соответствия:

  • рекомендована ежегодная самооценка соответствия с заполнением опросного листа;
  • рекомендовано ежеквартальное ASV-сканирование;
  • требования определяются банком-эквайером.

Уровни поставщиков услуг

Поставщиками услуг являются организации, оказывающие различные услуги, в основном в сфере информационных технологий, торгово-сервисным предприятиям, банкам-эквайерам и эмитентам, и непосредственно международным платежным системам. При этом, организация — поставщик услуг — получает доступ к данным о держателях карт. Примерами поставщиков услуг является процессинговые центры, платежные шлюзы, дата-центры, поставщики услуг токенизации и шифрования «точка-точка» (P2PE).

По классификации Visa:

Level 1:

  • Все процессинговые центры, подключенные к VisaNet;
  • Поставщики услуг, обрабатывающие, хранящие или передающие данные о более чем 300 000 транзакций в год.

Требования к оценке соответствия:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.

Level 2:

  • Поставщики услуг, обрабатывающие, хранящие или передающие данные о менее чем 300 000 транзакций в год.

Требования к оценке соответствия:

  • ежегодная самооценка с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.

По классификации MasterCard:

Level 1:

  • Все процессинговые центры.
  • Поставщики услуг, обрабатывающие, хранящие или передающие данные о более чем 300 000 транзакций в год.
  • Все процессинговые центры и поставщики услуг, через системы которых были скомпрометированы данные о держателях карт.

Требования к сертификации:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.

Level 2:

  • Поставщики услуг, обрабатывающие, хранящие или передающие данные о менее чем 300 000 транзакций в год.

Требования к оценке соответствия:

  • ежегодная самооценка с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.

Аудиторские компании PCI QSA

Как видно из классификации, сертификация по высшим уровням должна проводиться аудиторской компанией, обладающей статусом Qualified Security Assessor (PCI QSA). Для остальных уровней привлечение QSA не является обязательным требованием. Однако, QSA может оказать консалтинговые услуги для проведения оценки соответствия по любому уровню.

Аудиторские компании PCI PA-QSA

Существует родственный PCI DSS стандарт безопасности платежных приложений — Payment Card Industry Payment Application — Data Security Standard (PCI PA-DSS). Производители программного обеспечения, участвующего в обработке платежных транзакций, должны сертифицировать приложения по стандарту PA-DSS. По требованиям международных платежных систем Visa и MasterCard все торгово-сервисные предприятия (англ. Merchant) и поставщики услуг начиная с 1 июля 2012 года должны использовать только сертифицированные по стандарту PA-DSS платёжные приложения. Контроль выполнения этого требования возложен на банки-эквайеры. Сертификацию платёжных приложений по стандарту PA-DSS могут выполнять компании, обладающие статусом PCI PA-QSA.

Требования стандарта PCI DSS

PCI DSS определяет следующие шесть областей контроля и 12 основных требований по безопасности.

Построение и сопровождение защищённой сети
  • Требование 1: установка и обеспечение функционирования межсетевых экранов для защиты данных держателей карт.
  • Требование 2: неиспользование выставленных по умолчанию производителями системных паролей и других параметров безопасности.

Защита данных держателей карт
  • Требование 3: обеспечение защиты данных держателей карт в ходе их хранения.
  • Требование 4: обеспечение шифрования данных держателей карт при их передаче через общедоступные сети.

Поддержка программы управления уязвимостями

Реализация мер по строгому контролю доступа
  • Требование 7: ограничение доступа к данным держателей карт в соответствии со служебной необходимостью.
  • Требование 8: присвоение уникального идентификатора каждому лицу, имеющему доступ к информационной инфраструктуре.
  • Требование 9: ограничение физического доступа к данным держателей карт.

Регулярный мониторинг и тестирование сети
  • Требование 10: контроль и отслеживание всех сеансов доступа к сетевым ресурсам и данным держателей карт.
  • Требование 11: регулярное тестирование систем и процессов обеспечения безопасности.

Поддержка политики информационной безопасности
  • Требование 12: разработка, поддержка и исполнение политики информационной безопасности.

Версии стандарта PCI DSS

Совет PCI SSC следует трехлетнему циклу обновления стандарта. Первый год — внедрение стандарта в индустрии, второй год — сбор обратной связи в виде комментариев и пожеланий от участников индустрии платежных карт, третий год — подготовка новой версии стандарта. Между этапами проводятся конференции PCI SSC Community Meeting, которые состоят из американской и европейской сессий. В ходе конференций организации-участники, международные платежные системы, консультанты и QSA-аудиторы, а также торгово-сервисные предприятия и поставщики услуг обсуждают будущее стандарта и сопутствующих документов.

История изменений стандарта:

  • 1.0 — первоначальная версия стандарта.
  • 1.1 — принята в сентябре 2006 года.
  • 1.2 — принята в октябре 2008 года.
  • 1.2.1, малая редакция — принята в июле 2009 года; содержит незначительные технические поправки.
  • 2.0 — принята в октябре 2010 года.
  • 3.0 — принята в ноябре 2013 года.
  • 3.1 — принята в апреле 2015 года.
  • 3.2 — принята в апреле 2016 года. Утратила силу 31 декабря 2018.
  • 3.2.1 — принята в 2018.

Ссылки
This article is issued from Wikipedia. The text is licensed under Creative Commons - Attribution - Sharealike. Additional terms may apply for the media files.