zgodność z PCI-DSS

Zgodność z PCI-DSS dotyczy bezpiecznego przetwarzania danych kart płatniczych.

Czego wymaga standard branży kartowej

PCI DSS to zbiór wymagań opracowany przez radę założoną przez organizacje płatnicze, obowiązujący każdy podmiot, który przetwarza, przesyła lub przechowuje dane kart. Standard ma dwanaście grup wymagań ułożonych w sześć obszarów: bezpieczna sieć, ochrona danych posiadacza karty, zarządzanie podatnościami, kontrola dostępu, monitorowanie i testowanie oraz polityka bezpieczeństwa. Kluczowe rozróżnienie dotyczy rodzaju danych: numer karty można przechowywać wyłącznie w postaci nieczytelnej, natomiast kod weryfikacyjny z rewersu, pełną zawartość paska magnetycznego i PIN wolno przetwarzać tylko w trakcie autoryzacji — po jej zakończeniu muszą zniknąć, także z logów i kopii zapasowych.

Zakres obowiązków zależy od modelu integracji. Sklep przekierowujący płatność w całości do operatora wypełnia najprostszą ankietę samooceny, a firma przyjmująca numery kart we własnym formularzu — najobszerniejszą, obejmującą wszystkie wymagania.

Jak to wygląda po stronie infrastruktury

Najwięcej pracy kosztuje ograniczenie zakresu. Każdy serwer, komputer i urządzenie sieciowe, które ma dostęp do środowiska danych kartowych, wchodzi w zakres audytu — dlatego dzieli się sieć na segmenty i odcina stanowiska biurowe od segmentu płatniczego. Standard wymaga też szyfrowanej transmisji nowoczesnym protokołem TLS, unikalnych kont imiennych zamiast współdzielonych haseł, uwierzytelniania wieloskładnikowego dla dostępu administracyjnego, wyłączenia domyślnych haseł producenta oraz zachowywania dzienników zdarzeń przez rok, z czego trzy miesiące w postaci od razu dostępnej do analizy. Do tego dochodzą regularne skanowania podatności wykonywane przez zatwierdzonego dostawcę oraz testy penetracyjne.

Gdzie najczęściej pęka zgodność w małej firmie

W praktyce potknięcia są prozaiczne. Numery kart lądują w załącznikach do maili z zamówieniami albo w polu uwag w systemie sprzedaży, skąd trafiają do kopii bazy. Terminal płatniczy wisi w tej samej sieci co komputery z pocztą i przeglądarkami. Konto administratora w bazie danych jest jedno, wspólne dla trzech osób, więc żadnego zdarzenia nie da się przypisać. System operacyjny serwera nie dostaje aktualizacji, bo boi się o działanie aplikacji handlowej. Osobny problem to kamery i rejestratory z fabrycznym hasłem, wpięte do tej samej sieci.

Przygotowanie infrastruktury pod wymagania audytu

Nie jesteśmy audytorem, ale robimy robotę techniczną, która musi poprzedzić audyt: rozdzielamy sieci, porządkujemy konta i uprawnienia w bazach SQL Server obsługujących systemy handlowe, wdrażamy szyfrowanie dysków na laptopach handlowców, ustawiamy zbieranie i archiwizację dzienników oraz kontrolowany schemat kopii zapasowych. Obsługujemy firmy każdej wielkości, a sprzęt wozimy własnymi kierowcami.