PCI DSS
1. Ce este certificarea PCI DSS
PCI DSS (Payment Card Industry Data Security Standard) este standardul global de securitate creat de Visa, Mastercard, American Express, Discover și JCB pentru protejarea datelor deținătorilor de carduri în fiecare etapă a tranzacției.
Nivelul 1 este cel mai riguros nivel de validare. La comercianți, se aplică celor cu peste 6 milioane de tranzacții Visa sau Mastercard pe an, iar la furnizorii de servicii de plată, celor cu peste 300.000 de tranzacții pe an. Impune un audit anual realizat de un Qualified Security Assessor (QSA), scanări ASV trimestriale și teste de penetrare periodice.
Standardul cuprinde 12 cerințe fundamentale, împărțite în 6 obiective de control: de la protecția rețelei la gestionarea vulnerabilităților și de la controlul accesului la monitorizarea continuă a sistemelor.
2. De ce contează PCI DSS pentru plăți?
Obligatoriu pentru a opera cu rețelele de carduri
Visa, Mastercard și celelalte rețele internaționale impun conformitatea PCI DSS tuturor părților care gestionează date de card. Lipsa conformității poate aduce amenzi și chiar pierderea dreptului de a accepta plăți cu cardul.
3. Protecție împotriva breșelor de securitate și a sancțiunilor
O breșă de date expune compania la amenzi GDPR de până la 20 de milioane EUR sau 4% din cifra de afaceri anuală globală, dacă aceasta e mai mare, și la amenzi din partea rețelelor de plată. PCI DSS reduce această expunere.
4. Cerință pentru mediul enterprise și sectorul public
În licitațiile publice și în procesele B2B de selecție a furnizorilor, certificarea PCI DSS este adesea o condiție eliminatorie. Deținerea ei accelerează onboardingul cu partenerii și clienții enterprise.
5. Cum se aplică PCI DSS în plățile RONPAY?
Plățile RONPAY rulează pe infrastructura RoxPay, certificată PCI DSS Level 1. Certificarea acoperă, printre altele:
a) Criptarea datelor de card
Datele de card sunt protejate prin criptare puternică la transmitere și nu sunt păstrate în clar. Numerele de card (PAN) sunt înlocuite cu tokenuri.
b) Acces controlat la datele de card
Mediul în care se procesează datele de card (Cardholder Data Environment, CDE) este protejat prin controale de securitate a rețelei, iar accesul la el e limitat la persoanele care au nevoie de el.
c) Monitorizare continuă și teste de penetrare
Accesul la sisteme și la datele de card este înregistrat și monitorizat. Standardul cere scanări ASV trimestriale și teste de penetrare cel puțin o dată pe an și după schimbări importante.
d) Audit anual realizat de un QSA certificat
În fiecare an, un Qualified Security Assessor independent verifică respectarea tuturor celor 12 cerințe PCI DSS și emite raportul oficial de conformitate (Report on Compliance – ROC).
6. Beneficii concrete pentru afacerea dumneavoastră. Mai puțină expunere la datele de card
Dacă folosiți checkoutul găzduit sau câmpurile securizate, datele de card sunt preluate direct de infrastructura RoxPay, certificată PCI DSS Level 1, și nu trec prin serverele dumneavoastră. Rămâneți responsabil pentru conformitatea propriului site, pe care de regulă o validați prin chestionarul SAQ A.
7. Risc mai mic de furt al datelor de card
Controalele cerute de PCI DSS reduc riscul ca datele de card să fie furate și folosite la fraude, care se întorc apoi la comerciant sub formă de chargeback-uri.
8. Onboarding mai rapid cu băncile și partenerii
Certificarea PCI DSS Level 1 a infrastructurii RoxPay simplifică verificările de securitate cerute în procesele de due diligence cu instituțiile financiare și cu acquirerii.
9. Încrederea mediului enterprise și a sectorului public
Plățile procesate pe o infrastructură certificată PCI DSS Level 1 vă pot întări credibilitatea în licitații, în cereri de ofertă și în relația cu clienții corporativi care cer furnizori certificați.
10. Întrebări frecvente despre certificarea PCI DSS
a) Ce este certificarea PCI DSS și de ce este necesară?
PCI DSS este standardul global de securitate pentru protejarea datelor cardurilor de plată. Conformitatea este obligatorie pentru toate organizațiile care procesează, transmit sau stochează date de card. Felul în care o dovediți (audit sau chestionar de autoevaluare) depinde de nivel.
b) Care este diferența dintre PCI DSS Level 1 și celelalte niveluri?
Nivelul 1 este cel mai riguros. La comercianți, se aplică celor cu peste 6 milioane de tranzacții Visa sau Mastercard pe an, iar la furnizorii de servicii de plată, celor cu peste 300.000. Impune un audit anual realizat de un QSA, scanări ASV trimestriale și teste de penetrare. La comercianți, nivelurile 2 - 4 au cerințe mai puțin stricte și, de regulă, se validează prin chestionare de autoevaluare.
c) Cum îmi protejează magazinul online o infrastructură certificată PCI DSS?
Dacă folosiți checkoutul găzduit sau câmpurile securizate, datele de card ale clienților nu trec prin serverele dumneavoastră. Tokenizarea și paginile de checkout găzduite reduc mult domeniul PCI al afacerii și, odată cu el, riscurile și costurile de conformitate.
d) Trebuie să obțin și eu certificarea PCI DSS dacă folosesc RONPAY?
În cele mai multe cazuri, nu aveți nevoie de un audit complet, dar conformitatea rămâne obligatorie. Cu checkoutul găzduit sau cu câmpurile securizate PCI Proxy, domeniul dumneavoastră PCI se reduce mult și, de regulă, vă validați conformitatea prin chestionarul simplificat SAQ A. Dacă datele de card trec prin serverele dumneavoastră, de exemplu la o integrare API directă, cerințele sunt mai mari.
11. Protejați plățile afacerii dumneavoastră
Aflați cum vă ajută infrastructura RoxPay, certificată PCI DSS Level 1, să reduceți riscurile și să simplificați conformitatea.