Twoja firma przetwarza informacje o kartach kredytowych i płatnościach? Przeczytaj, czym jest PCI DSS

Gwarancja bezpieczeństwa transakcji przeprowadzanych z wykorzystaniem kart płatniczych jest dziś priorytetem dla każdego z nas. W związku z tym podmioty umożliwiające dokonywanie tego typu czynności decydują się na wdrażanie zaawansowanych rozwiązań, dzięki którym zarówno nasze prywatne dane, jak i środki na rachunku bankowym są bezpieczne. Jednym z nich jest certyfikat PCI DSS. Co to takiego i dlaczego jest dla nas tak istotny?

Czym jest PCI DSS?

Z roku na rok konsumenci coraz bardziej zdają sobie sprawę z tego, jak ważne jest zabezpieczenie ich wrażliwych danych. Widać to na przykładzie wyników badania „Lost in Transaction: Consumer payment trends 2022”, które wskazuje, że aż 70% spośród 11 tysięcy przebadanych osób z 10 krajów europejskich nie chce udostępniać swoich danych finansowych w Internecie. Z kolei 62% ankietowanych odczuwa niepokój w sytuacji, gdy przed dokonaniem płatności nie zostaną oni poproszeni o podanie dodatkowych informacji zabezpieczających.

Rozwiązaniem, które ma na celu zmniejszenie obaw konsumentów, jest PCI DSS (ang. Payment Card Industry Data Security Standard), czyli Standard Bezpieczeństwa w Branży Kart Płatniczych. Jest to zbiór wymogów, których zadaniem jest zapewnienie maksymalnej ochrony danych zgromadzonych na naszych kartach płatniczych. Standard ten został opracowany w 2006 roku przez Radę ds. Standardów Bezpieczeństwa PCI, powołaną przez organizacje płatnicze, takie jak Visa, MasterCard, American Express, Discover oraz JCB. Przyczynia się on do realnego zminimalizowania ryzyka utraty danych, kradzieży tożsamości oraz innych oszustw.

Jakie organizacje muszą spełniać wymogi PCI DSS?

Do przestrzegania standardów PCI DSS zobowiązane są dziś wszystkie firmy zajmujące się obsługą kart płatniczych, bez względu na ich wielkość i etap, na którym obsługują karty. Oznacza to, że taki certyfikat muszą posiadać wszystkie:

• banki;
• firmy z sektora FinTech;
• punkty handlowo-usługowe;
• dostawcy usług płatniczych;
• portale e-commerce;
• firmy ubezpieczeniowe.

Warto przy tym podkreślić, że podmioty, które nie dostosują się do standardów określonych w ramach PCI DSS muszą się liczyć z poważnymi konsekwencjami. Grożą im nie tylko kary finansowe, ale także wykluczenie z uczestnictwa w obsłudze kart, co w konsekwencje negatywnie wpływa na wizerunek firmy oraz jej wiarygodność.

Wymogi niezbędne do uzyskania certyfikatu PCI DSS

Firma, której zależy na uzyskaniu certyfikatu PCI DSS, jest zobowiązana do spełnienia 12 wymogów, które pozwalają na zabezpieczenie danych kart płatniczych na każdym etapie ich przetwarzania w sieci. Wymagania te podzielone zostały na 6 głównych celów kontrolnych:

• stworzenie i zachowanie bezpiecznej sieci – firmy mają obowiązek zbudowania, a następnie utrzymania prawidłowo skonfigurowanej sieci zabezpieczającej dane posiadaczy kart płatniczych. Ważne jest również, by nie korzystały one z domyślnych haseł oraz ustawień producentów;
• ochrona danych posiadaczy kart płatniczych – firmy są zobligowane do bezpiecznego przechowywania danych posiadaczy kart, jak również szyfrowania transmisji danych w sytuacji, gdy użytkownik korzysta z sieci publicznych;
• utrzymanie prawidłowego funkcjonowania programu zarządzania płatnościami – pod tym względem ważne jest regularne aktualizowanie programów antywirusowych, systemów bezpieczeństwa i aplikacji;
• wdrożenie silnych środków kontroli dostępu – dostęp do danych posiadacza karty powinien być możliwy wyłącznie dla podmiotów z konkretnymi potrzebami biznesowymi, a każdy użytkownik musi posiadać swój własny, unikalny identyfikator;
• regularne monitorowanie i testowanie sieci – kluczowe jest śledzenie całego dostępu do zasobów sieci oraz danych posiadaczy kart, a także systematyczne testowanie procesów bezpieczeństwa;
• zarządzanie polityką bezpieczeństwa informacji – chodzi tu o bezpieczeństwo informacji zarówno pracowników, jak i dostawców usług.

Spełnienie tak restrykcyjnych wymogów nie jest proste. Z tego powodu możemy mieć pewność, że te organizacje, które mogą pochwalić się posiadaniem certyfikatu zgodności PCI DSS, zapewniają bardzo wysokie standardy bezpieczeństwa danych płatniczych na każdym etapie ich przetwarzania.