Vad är PCI DSS?
Payment Card Industry Data Security Standards (PCI DSS) är en global säkerhetsstandard som tillämpas på alla organisationer som lagrar, hanterar eller överför betalningskortsinformation. Syftet med standarden är att skydda kortdata och minska risken för dataintrång och bedrägerier inom betalningssystemet. PCI DSS skapades 2006 av de stora kreditkortsbolagen Visa, Mastercard, American Express, Discover och JCB för att etablera en enhetlig säkerhetsstandard för företag som hanterar kreditkortsuppgifter.
Varför är PCI DSS-efterlevnad viktigt?
Sedan 2005 har över 11 miljarder konsumentuppgifter blivit utsatta för dataintrång (https://privacyrights.org/data-breaches). Detta gör PCI DSS central för att skydda kunders känsliga information och för att stärka betalningssystemets säkerhet. Kreditkortsbolagen kräver att alla företag som hanterar betalningskort följer PCI DSS för att säkerställa att de skyddar kortdata på ett sätt som minimerar riskerna för bedrägerier och informationsläckor.
Steg för steg: Så uppfyller du PCI DSS-krav
- Identifiera vilken PCI-efterlevnadsnivå ditt företag tillhör: Det första steget är att fastställa vilken nivå ditt företag ligger på utifrån hur många korttransaktioner som hanteras årligen. Det finns fyra nivåer:
- Nivå 1: Företag som hanterar över 6 miljoner transaktioner årligen.
- Nivå 2: Företag som hanterar mellan 1 till 6 miljoner transaktioner årligen.
- Nivå 3: Företag med 20 000 till 1 miljon onlinetransaktioner årligen.
- Nivå 4: Företag med färre än 20 000 onlinetransaktioner eller totalt färre än 1 miljon transaktioner årligen.
- Kartlägg ditt företags dataflöden: Identifiera hur och var kortuppgifter samlas in, lagras och behandlas inom ditt företag. Det är avgörande att veta vilka system, nätverk och applikationer som är involverade i att hantera kortdata. Detta steg hjälper till att begränsa säkerhetskravets omfattning.
- Implementera säkerhetsåtgärder: PCI DSS kräver att företag uppfyller 12 grundkrav för att skydda kortdata. Några exempel på dessa krav inkluderar:
- Installera och underhålla nätverkssäkerhetskontroller.
- Kryptera överföringen av kortdata över offentliga nätverk.
- Begränsa åtkomsten till kortuppgifter endast för dem som behöver det.
- Utför regelbundna kontroller och övervakning: PCI DSS-efterlevnad är inte en engångsinsats utan kräver kontinuerlig övervakning och granskning av säkerheten. Det är nödvändigt att regelbundet testa systemens och nätverkens säkerhet samt att skicka in rapporter om PCI-efterlevnad till kortnätverken.
Säkerhetskraven i PCI DSS
PCI DSS innehåller 12 säkerhetskrav som företag måste uppfylla för att skydda betalningsdata. Dessa delas in i sex övergripande mål:
- Utveckla och underhålla säkra system och nätverk:
- Installera och underhåll brandväggar och andra säkerhetskontroller.
- Säkerställ att system är korrekt konfigurerade och skyddade mot sårbarheter.
- Skydda kontodata:
- Skydda lagrad kortinformation.
- Använd stark kryptering vid överföring av känslig kortinformation över öppna nätverk.
- Upprätthålla en policy för riskhantering:
- Skydda alla system mot skadlig programvara.
- Utveckla och underhåll säkra system och programvaror.
- Implementera strikt åtkomstkontroll:
- Begränsa åtkomsten till kortdata till endast auktoriserade användare.
- Implementera säkra autentiseringsmetoder.
- Övervaka och testa regelbundet:
- Spåra och övervaka all åtkomst till system och kortdata.
- Genomför regelbundna säkerhetstester på system och nätverk.
- Upprätthålla en säkerhetspolicy:
- Skapa och underhåll säkerhetspolicyer som främjar efterlevnad och skydd av data i organisationen.
Självbedömningsformulär (SAQ)
För att förenkla processen har PCI Council utvecklat flera självbedömningsformulär (SAQ) för företag, baserat på hur betalningar behandlas. Några av de vanligaste typerna är:
- SAQ A: För e-handlare som outsourcar all kortdatahantering till tredjepartslösningar.
- SAQ B: För företag som endast använder manuell kortbearbetning (t.ex. imprint-maskiner).
- SAQ D: För företag som själva hanterar och lagrar kortuppgifter.
Kartläggning av betalningsflöden
För att skydda kortuppgifter är det avgörande att kartlägga hur betalningsdata flödar genom företagets system. Detta inkluderar att identifiera var data samlas in, hur det behandlas och var det lagras. Genom att kartlägga alla system och nätverk som hanterar betalningsdata kan företag tydligare definiera sitt PCI-ansvar och säkerställa att alla delar av betalningsmiljön uppfyller säkerhetskraven.
Regelbunden övervakning och underhåll
Efterlevnad av PCI DSS (https://www.pcisecuritystandards.org/document_library/?category=pcidss&document=pci_dss) är en fortlöpande process. Även om validering vanligtvis sker årligen måste företag kontinuerligt övervaka och uppdatera sina säkerhetsåtgärder för att säkerställa att de uppfyller kraven. Företag bör regelbundet testa sina system, övervaka för misstänkt aktivitet och säkerställa att säkerhetspolicyn efterlevs.
PCI DSS: Slutsats
Att följa PCI DSS är avgörande för att skydda kunders kortdata och upprätthålla förtroendet i betalningssystemet. Genom att implementera säkerhetsåtgärder och regelbundet övervaka system kan företag minska risken för dataintrång och säkerställa att de uppfyller kraven för en säker och pålitlig betalningsmiljö.
Liknande artiklar om kortsäkerhet och bedrägeriskydd
- Vad är Tokenisering och hur fungerar det?
- Vad är kryptering och varför är det viktigt?
- Autentisering och Kreditkortssäkerhet
- Kundautentisering (SCA) – Vad det är och dess relation till EMV och säkerheten vid onlinebetalningar
- Vad är CVV och hur det fungerar i samband med EMV och andra säkerhetsåtgärder
- EMV-teknik: Vad det är och varför det är så säkert
- Adressverifieringstjänst (AVS): Vad det är och hur det fungerar
- Vad är en BIN-attack och hur skyddar du dig mot det
- Förhindra kreditkortsbedrägeri: Så skyddar du dig som konsument och företag
- Vad är CDE och varför är det viktigt för PCI DSS?
👈 Tryck här för att komma tillbaka till Säkerhet och Bedrägeriskydd.