PCI DSS
Payment Card Industry Data Security Standard to zbiór wymagań dotyczących zapewnienia bezpieczeństwa danych posiadaczy kart płatniczych, gdy dane te są przechowywane, przesyłane i przetwarzane w systemach informatycznych organizacji. Standard został opracowany przez Radę ds. Standardów Bezpieczeństwa Branży Kart Płatniczych (Payment Card Industry Security Standards Council, PCI SSC) utworzoną przez operatorów międzynarodowych systemów płatniczych: Visa, MasterCard, American Express, JCB i Discover.
Kto powinien przejść audyt PCI DSS
Standard PCI DSS obejmuje wszystkie organizacje biorące udział w przetwarzaniu danych kart płatniczych, w tym sprzedawców, procesorów danych, agentów rozliczeniowych, wydawców i usługodawców. Standard PCI DSS dotyczy również wszystkich innych organizacji, które przechowują, przetwarzają lub przesyłają dane posiadaczy kart (CHD) i/lub wrażliwe dane uwierzytelniające (SAD).
Jak często należy ponawiać certyfikację PCI DSS
Certyfikację PCI DSS należy ponawiać co roku.
Wyniki certyfikacji na zgodność z wymaganiami standardu PCI DSS
Etapy realizacji usługi
Przygotowanie
1. Przeprowadzenie audytu wstępnego
2. Przeprowadzenie zewnętrznego skanowania podatności sieci (ASV)
3. Przeprowadzenie wewnętrznego skanowania podatności sieci
4. Ocena bezpieczeństwa sieci firmowej klienta poprzez wykonanie zewnętrznych i wewnętrznych pentestów
5. Poszukiwanie nieautoryzowanych punktów dostępu Wi-Fi
6. Testy penetracyjne mechanizmów kontroli segmentacji sieci
Audyt certyfikacyjny
1. Gromadzenie i analiza dokumentacji organizacyjnej i normatywnej oraz informacji o komponentach systemu środowiska Cardholder Data Environment (CDE) klienta
2. Analiza procesów związanych z ochroną i utrzymaniem komponentów systemu CDE
3. Audyt zgodności komponentów systemu CDE klienta z wymaganiami standardu PCI DSS:
● Przeprowadzenie rozmów z pracownikami klienta (w razie potrzeby strony trzeciej) zgodnie z procedurą audytu opracowaną przez konsorcjum PCI SSC i dostosowaną przez konsultanta QSA
● Analiza ustawień i konfiguracji komponentów systemu CDE klienta
● Stworzenie bazy dowodowej zgodności komponentów systemu CDE klienta z wymaganiami standardu PCI DSS
4. Analiza raportów z oceny bezpieczeństwa zewnętrznych i wewnętrznych warstw sieci CDE klienta
5. Opracowanie dokumentów sprawozdawczych dla banków — agentów rozliczeniowych i międzynarodowych systemów płatniczych: Report on Compliance (RoC) lub kwestionariusz samooceny (SAQ) oraz Attestation of Compliance (AoC)
6. Wysłanie przez konsultanta raportu AoC do międzynarodowego systemu płatniczego VISA w celu potwierdzenia pomyślnego zakończenia audytu PCI DSS
