PCI DSS: Praktický průvodce standardem pro ochranu platebních karet

Pohled na oficiální dokumentaci PCI DSS může působit jako luštění starověkého textu. Je to hustý labyrint technického žargonu, který ve vás vyvolává obavy z obrovských pokut a nejistoty, kde vůbec začít. Pro každou firmu, která zpracovává platby kartou, není porozumění standardu PCI pro odvětví platebních karet jen dobrý nápad – je to přísný požadavek. Ale orientace v této složité situaci nemusí být ohromující nebo nákladná záležitost, která vás nenechá spát.

Proto přichází náš praktický průvodce. Zjednodušujeme složitost, abychom vám dali přesně to, co potřebujete. V tomto článku standard objasníme, rozdělíme 12 základních požadavků do praktického kontrolního seznamu a nastíníme jasnou cestu k ověření shody. Získáte solidní znalosti PCI DSS a jistotu, že ochráníte data svých zákazníků, zabezpečíte své podnikání a jednou provždy zaženete obavy z nedodržování předpisů.

Co je to PCI Data Security Standard (PCI DSS) a proč je důležitý?

Payment Card Industry Data Security Standard (PCI DSS) je globální rámec informační bezpečnosti určený pro každou organizaci, která ukládá, zpracovává nebo přenáší data držitelů karet. Jeho hlavním cílem je snížit podvody s kreditními kartami zvýšením kontroly nad citlivými platebními informacemi. Je důležité si uvědomit, že PCI DSS není zákon; spíše se jedná o smluvní závazek vyžadovaný hlavními značkami platebních karet. Dodržování tohoto standardu je klíčové pro ochranu vašich zákazníků, budování důvěry a vyhýbání se značným škodám na značce.

Pro lepší pochopení tohoto konceptu se podívejte na toto užitečné video:

Standard konkrétně chrání dva typy dat:

• Data držitele karty (CHD): To zahrnuje primární číslo účtu (PAN), jméno držitele karty, datum vypršení platnosti a servisní kód.
• Citlivá autentizační data (SAD): To zahrnuje úplná data z magnetického proužku, CAV2/CVC2/CVV2/CID a PIN/PIN bloky. Tato data se nikdy nesmí ukládat po autorizaci.

Kdo musí splňovat požadavky PCI?

Pokud vaše aplikace nebo firma přijímá, zpracovává, ukládá nebo přenáší informace o kreditních kartách, musíte splňovat požadavky PCI. To platí pro všechny obchodníky, zpracovatele, nabyvatele, vydavatele a poskytovatele služeb zapojené do platebního procesu. Ať už jste e-shop nebo kamenný obchod s pokladním systémem (POS), standard platí. Běžná mylná představa je, že používání procesoru třetí strany, jako je Stripe nebo PayPal, odstraňuje vaši povinnost dodržovat předpisy. I když se starají o velkou část rizika, jste stále zodpovědní za zajištění bezpečnosti vašich systémů a procesů.

Zakládající značky platebních karet a PCI SSC

PCI DSS byl vytvořen pěti zakládajícími značkami platebních karet: Visa, MasterCard, American Express, Discover a JCB. Pro správu standardu vytvořily Radu pro bezpečnostní standardy PCI (SSC), nezávislý orgán, který vyvíjí, spravuje a propaguje standard PCI pro odvětví platebních karet. Je to zásadní rozdíl: PCI SSC spravuje standard, ale jednotlivé značky platebních karet jsou zodpovědné za prosazování shody.

Skutečné náklady na nedodržování předpisů

Ignorování PCI DSS může mít vážné finanční a reputační důsledky. Náklady jdou daleko za potenciální únik dat. Sankce za nedodržování předpisů mohou zahrnovat:

• Vysoké pokuty: Značky platebních karet mohou ukládat pokuty v rozmezí od 5 000 do 100 000 USD měsíčně, dokud není dosaženo souladu.
• Zvýšené poplatky: Vaše banka, která provádí akvizici, může zvýšit transakční poplatky nebo uložit další sankce.
• Ztráta schopnosti zpracování: V závažných případech vám může být zrušen obchodní účet, čímž ztratíte možnost přijímat platby kartou úplně.
• Náklady po narušení bezpečnosti: Pokud dojde k narušení bezpečnosti, budete čelit výdajům na forenzní audity, právní poplatky, oznámení zákazníkům a služby monitorování kreditu.

Když dojde k narušení bezpečnosti, výsledný chaos často vyžaduje specializovanou pomoc k navigaci. Pro lepší pochopení kroků potřebných pro zvládnutí takových incidentů můžete prozkoumat firemní vyšetřování.

12 základních požadavků PCI DSS: Zjednodušený rozpis

Na první pohled se Payment Card Industry Data Security Standard (PCI DSS) může zdát složitý. Jeho 12 základních požadavků je však uspořádáno do 6 logických cílů, které se často nazývají „cíle kontroly“. Tato struktura usnadňuje přístup ke standardu PCI pro odvětví platebních karet. Cíle poskytují „proč“ za požadavky a zaměřují se na klíčové bezpečnostní principy.

Pochopení tohoto rámce je prvním krokem k vytvoření aplikace, která je v souladu s předpisy. Oficiální dokumentace od Rady pro bezpečnostní standardy PCI (PCI SSC) nastiňuje tyto cíle, které jsou navrženy tak, aby vytvořily holistický bezpečnostní postoj. Níže je uveden rychlý přehled, následovaný rozpisem klíčových požadavků.

Vybudujte a udržujte zabezpečenou síť a systémy

Tento základní cíl se zaměřuje na vytvoření bezpečného perimetru pro ochranu prostředí dat držitele karty (CDE). Požadavek 1 nařizuje používání firewallů a dalších síťových bezpečnostních kontrol pro řízení toku provozu. Požadavek 2 zajišťuje, že nepoužíváte výchozí nastavení dodavatele pro systémová hesla a další bezpečnostní parametry, ale místo toho použijete zesílené, zabezpečené konfigurace pro všechny systémové komponenty.

Chraňte data účtu

Pokud dojde k narušení bezpečnosti, tento cíl si klade za cíl učinit jakákoli odcizená data pro útočníky nepoužitelná. Požadavek 3 se zaměřuje na ochranu uložených dat pomocí metod, jako je silné šifrování, zkrácení nebo maskování, čímž se zajistí, že citlivá autentizační data nebudou nikdy uložena po autorizaci. Požadavek 4 nařizuje používání silné kryptografie a bezpečnostních protokolů (jako je TLS) k ochraně dat držitele karty během přenosu přes otevřené, veřejné sítě.

Udržujte program správy zranitelností

Zabezpečení je neustálý proces, nikoli jednorázové nastavení. Tento cíl se zabývá potřebou neustálé bdělosti. Požadavek 5 vyžaduje ochranu všech systémů proti malwaru nasazením a pravidelnou aktualizací antivirového softwaru. Požadavek 6 se týká zabudování zabezpečení do životního cyklu vývoje, zajištění bezpečného vývoje aplikací a zajištění, že systémy obdrží včasné bezpečnostní záplaty k ochraně proti novým hrozbám.

Implementujte silná opatření pro kontrolu přístupu

Cílem je zajistit, aby k citlivým datům měli přístup pouze oprávněné osoby. Požadavek 7 prosazuje princip „potřeby vědět“, omezuje přístup k datům držitele karty pouze na ty, jejichž práce to vyžaduje. Požadavek 8 zajišťuje, že každá osoba s přístupem má jedinečné ID pro odpovědnost. Nakonec požadavek 9 řeší fyzické zabezpečení, omezuje přístup k serverům, počítačům nebo tištěným kopiím obsahujícím data držitele karty.

Porozumění úrovním shody PCI a metodám ověřování

Orientace ve standardu PCI pro odvětví platebních karet zahrnuje pochopení toho, že ne všechny podniky čelí stejné úrovni kontroly. Vaše konkrétní požadavky na dodržování předpisů jsou určeny vaším ročním objemem transakcí. Hlavní značky karet (Visa, Mastercard atd.) kategorizují obchodníky do čtyř odlišných úrovní, z nichž každá má svou vlastní metodu ověřování shody.

Vysvětlení čtyř úrovní obchodníka

Vaše úroveň obchodníka určuje ověření, které musíte provést, abyste prokázali, že dodržujete předpisy. Tyto úrovně jsou obecně konzistentní napříč hlavními značkami karet:

• Úroveň 1: Pro obchodníky, kteří ročně zpracovávají více než 6 milionů transakcí kartou. Toto je nejpřísnější úroveň, která vyžaduje nejvyšší stupeň ověření.
• Úroveň 2: Pro obchodníky, kteří ročně zpracovávají 1 až 6 milionů transakcí.
• Úroveň 3: Pro obchodníky, kteří ročně zpracovávají 20 000 až 1 milion transakcí elektronického obchodu.
• Úroveň 4: Pro obchodníky, kteří zpracovávají méně než 20 000 transakcí elektronického obchodu nebo až 1 milion celkových transakcí ročně. Toto je nejběžnější úroveň pro malé a střední podniky (SMB).

Ověření: Dotazníky pro vlastní posouzení (SAQ)

Pro obchodníky na úrovních 2, 3 a 4 je primárním nástrojem ověřování Dotazník pro vlastní posouzení (SAQ). Jedná se o zprávu, ve které osvědčujete svůj stav shody. Konkrétní SAQ, který musíte vyplnit, závisí na tom, jak vaše aplikace a firma nakládají s daty držitele karty – od SAQ A (pro ty, kteří zcela zadávají zpracování plateb externě) po SAQ D (pro složitější prostředí). Všechny oficiální formuláře a pokyny najdete v Knihovně dokumentů Rady pro bezpečnostní standardy PCI. Po dokončení je SAQ odeslán s Osvědčením o shodě (AoC) vaší bance, která provádí akvizici.

Ověření: Zpráva o shodě (RoC) a skenování ASV

Obchodníci na úrovni 1 musí podstoupit přísnější proces. Místo SAQ musí předložit Zprávu o shodě (RoC). Jedná se o formální externí audit prováděný na místě kvalifikovaným posuzovatelem zabezpečení (QSA), který ověřuje každý aspekt standardu PCI pro odvětví platebních karet ve vašem prostředí. Kromě toho musí každý obchodník s IP adresami směřujícími ven (což zahrnuje většinu aplikací a stránek elektronického obchodu) provádět čtvrtletní skenování zranitelností sítě prováděné schváleným dodavatelem skenování (ASV) k identifikaci a opravě bezpečnostních děr.

Kritická role testování zabezpečení v souladu s PCI (požadavky 6 a 11)

Dosažení shody s PCI DSS není jednorázové nastavení; je to trvalý závazek k zabezpečení. Jádrem tohoto závazku je proaktivní hledání a opravování zranitelností dříve, než je útočníci budou moci zneužít. Požadavky 6 a 11 standardu PCI pro odvětví platebních karet posouvají zabezpečení z teoretického cvičení do praktického, neustálého procesu, který vyžaduje, abyste pravidelně testovali svou obranu a opravovali veškeré objevené slabiny.

Požadavek 6: Zabezpečený vývoj a záplatování zranitelností

Zabezpečené systémy začínají zabezpečeným kódem. Tento požadavek nařizuje, aby byli vývojáři vyškoleni, aby se vyhýbali běžným a kritickým chybám v kódování (např. chyby injektáže, narušení kontroly přístupu). Také vyžaduje, abyste včas identifikovali a aplikovali kritické bezpečnostní záplaty. Používání automatizovaných skenerů v rané fázi životního cyklu vývoje pomáhá vývojářům zachytit a napravit chyby dříve, než se dostanou do produkce, což výrazně posiluje základy vaší aplikace. Pro podniky, které potřebují pomoc s vytvářením zabezpečených aplikací od základů, si můžete přečíst více o tom, jak může vývoj softwaru na míru řešit tyto problémy.

Požadavek 11: Skenování zranitelností a Penetrační testování

Pravidelné testování je pro identifikaci nových rizik nezbytné. Požadavek 11 to formalizuje přísným plánem hodnocení zabezpečení:

• Čtvrtletní interní a externí skenování: Musíte skenovat zranitelnosti uvnitř vaší sítě a na vašich externích systémech, které jsou přístupné z internetu, každé tři měsíce. Externí skenování musí být prováděno schváleným dodavatelem skenování (ASV), aby bylo platné.
• Penetrační testování: Alespoň jednou ročně a po jakékoli významné systémové změně musíte provést penetrační testy. To zahrnuje simulaci útoku v reálném světě k otestování odolnosti vaší segmentace a aplikačních vrstev.

Nad rámec čtvrtletního skenování: Argumenty pro nepřetržité monitorování

Zatímco čtvrtletní skenování splňuje minimální standard, poskytuje pouze snímek v čase. Škodliví aktéři nečekají na vaše další plánované skenování; během 90 dnů mezi testy se mohou objevit stovky nových zranitelností, což vás nechá vystavené. Moderní osvědčené postupy v oblasti zabezpečení obhajují nepřetržité, automatizované skenování k překlenutí této mezery. Tento přístup poskytuje viditelnost vašeho stavu zabezpečení v reálném čase a umožňuje vám řešit hrozby, jakmile se objeví. Automatizujte testování zabezpečení a zjednodušte dodržování PCI.

Jak dosáhnout a udržet soulad s PCI: Plán v 5 krocích

Dosažení shody se standardem PCI pro odvětví platebních karet se může zdát skličující, ale stane se zvládnutelným, když se rozdělí do jasného plánu. Nejedná se o jednorázový projekt, ale o neustálý cyklus posuzování, nápravy a ověřování. Postupujte podle těchto pěti kroků a vybudujte silný a udržitelný soulad pro vaši aplikaci.

Kroky 1 a 2: Zmapujte své prostředí a proveďte analýzu mezer

Nejprve identifikujte každý systém, síť a aplikační komponentu, která ukládá, zpracovává nebo přenáší data držitelů karet. To je vaše prostředí dat držitele karty (CDE). Kritickým prvním krokem je minimalizovat tento rozsah pomocí technik, jako je segmentace sítě nebo tokenizace plateb. Menší CDE znamená menší složitost a nižší náklady na audit. Jakmile je rozsah definován, proveďte analýzu mezer změřením vašich aktuálních kontrolních prvků proti 12 požadavkům PCI DSS pomocí příslušného Dotazníku pro vlastní posouzení (SAQ) jako průvodce.

Krok 3: Opravte a opravte zranitelnosti

Vaše analýza mezer odhalí oblasti, kde vaše bezpečnostní kontroly nedostačují. Vytvořte plán nápravy s prioritami k řešení těchto zjištění a nejprve se zaměřte na kritické a vysoce rizikové zranitelnosti. To může zahrnovat záplatování systémů, rekonfiguraci firewallů, implementaci silnějších kontrol přístupu nebo aktualizaci šifrovacích protokolů. Je důležité dokumentovat každý provedený úkon, protože tato dokumentace poslouží jako důkaz během vašeho formálního ověření.

Kroky 4 a 5: Dokončete ověření a udržujte soulad

S opravenými zranitelnostmi je čas na formální ověření. Pro většinu podniků to zahrnuje vyplnění příslušného SAQ a Osvědčení o shodě (AOC). Větší obchodníci mohou vyžadovat formální audit kvalifikovaným posuzovatelem zabezpečení (QSA), jehož výsledkem je Zpráva o shodě (RoC). Po dokončení odešlete tuto dokumentaci své bance, která provádí akvizici.

Pamatujte, že soulad je neustálé úsilí. Jeho udržování vyžaduje trvalý program zabezpečení, který zahrnuje:

Mnoho organizací zjišťuje, že integrace požadavků PCI DSS do širšího rámce řízení kvality, jako je ISO 9001, pomáhá zefektivnit toto průběžné úsilí. Pro ty, kteří mají zájem o tento holistický přístup, si můžete přečíst více o Align Quality.

Tento závazek k ochraně uživatelů a důvěře často přesahuje zabezpečení dat. Mnoho podniků také upřednostňuje digitální přístupnost, aby zajistilo, že jejich služby budou použitelné pro všechny, včetně osob se zdravotním postižením. Tento širší přístup k souladu s předpisy může být podpořen specializovanými službami, jako je Helplee, které pomáhají organizacím splňovat standardy přístupnosti.

• Pravidelné skenování zranitelností sítě schváleným dodavatelem skenování (ASV).
• Nepřetržité monitorování bezpečnostních kontrol a protokolů.
• Roční hodnocení rizik k identifikaci nových hrozeb.
• Průběžné školení o bezpečnosti pro všechny relevantní zaměstnance.

Zavedení tohoto cyklu zajišťuje, že se vaše obrana vyvíjí s prostředím hrozeb, což vás udrží v souladu se standardem PCI pro odvětví platebních karet. Pro odbornou pomoc s identifikací a správou zranitelností zvažte partnerství se specialistou na zabezpečení pro služby, jako je nepřetržité penetrační testování.

Zjednodušte svou cestu k trvalému souladu s PCI

Orientace ve světě PCI DSS nemusí být skličující každoroční cvičení. Jak jsme prozkoumali, jádro souladu spočívá v pochopení toho, že se jedná o trvalý závazek k zabezpečení, nejen o jednorázový audit. Klíčové poznatky jsou jasné: zvládnutí 12 požadavků a přijetí průběžného testování zabezpečení jsou zásadní pro ochranu dat držitelů karet. Dodržování standardu PCI pro odvětví platebních karet je kritická praxe pro budování důvěry zákazníků a ochranu vašeho podnikání před nákladnými úniky dat.

Splnění přísných požadavků požadavků 6 a 11 je místo, kde se mnoho organizací potýká. Zde mohou moderní nástroje transformovat váš přístup. Penetrify nabízí nepřetržité skenování zranitelností poháněné umělou inteligencí, které automaticky detekuje OWASP Top 10 a další kritické chyby ve vašich systémech. Tato proaktivní metoda je výrazně rychlejší a nákladově efektivnější než tradiční penetrační testování a proměňuje soulad z periodického shonu v zjednodušený, automatizovaný proces.

Jste připraveni přejít od stresu ze souladu k jistotě zabezpečení? Podívejte se, jak nepřetržité skenování Penetrify zjednodušuje soulad s PCI. Udělejte první krok k bezpečnějšímu a odolnějšímu platebnímu prostředí ještě dnes.

Často kladené otázky

Jaký je rozdíl mezi PCI DSS a PA-DSS?

Představte si PCI DSS (Payment Card Industry Data Security Standard) jako pravidla pro každou organizaci, která ukládá, zpracovává nebo přenáší data držitelů karet. Platí pro obchodníky a poskytovatele služeb. PA-DSS (Payment Application Data Security Standard) byl na druhé straně soubor požadavků pro dodavatele softwaru vyvíjející platební aplikace. Zajistilo, že jejich software neukládá citlivá data a podporuje úsilí obchodníků o dodržování PCI DSS. PA-DSS byl nyní nahrazen rámcem PCI Software Security Framework (SSF).

Pokud používám Stripe nebo PayPal, automaticky splňuji požadavky PCI?

Ne, používání procesoru plateb třetí strany, jako je Stripe nebo PayPal, neznamená, že automaticky splňujete požadavky. I když tyto služby výrazně snižují rozsah vašeho PCI přímým zpracováním dat držitelů karet, jste stále zodpovědní za svou stranu transakce. To zahrnuje zabezpečené nakonfigurování vašeho webu, ochranu vašich administrativních portálů silnými hesly a vyplnění příslušného Dotazníku pro vlastní posouzení (SAQ). Vaše zátěž ohledně souladu je menší, ale stále existuje.

Co je schválený dodavatel skenování (ASV) a potřebuji ho?

Schválený dodavatel skenování (ASV) je společnost certifikovaná Radou pro bezpečnostní standardy PCI k provádění externího skenování zranitelností ve vašich systémech. Potřebujete ASV, pokud vaše ověření PCI DSS vyžaduje čtvrtletní externí skenování sítě, což je běžné u obchodníků s externě přístupnými IP adresami v jejich prostředí dat držitele karty. To je povinný požadavek pro určité Dotazníky pro vlastní posouzení (např. SAQ A-EP, SAQ D) a všechny Zprávy o shodě (ROC).

Jak často musím provádět skenování zranitelností PCI?

Externí skenování zranitelností prováděné ASV musí být prováděno alespoň jednou za 90 dní (čtvrtletně). Kromě toho musíte spustit nové skenování po jakýchkoli významných změnách ve vaší síti, jako je přidání nového serveru, změna pravidel firewallu nebo aktualizace systémových komponent. Interní skenování zranitelností, které můžete provést sami pomocí kvalifikovaného nástroje nebo zaměstnance, by mělo být také prováděno čtvrtletně a po jakýchkoli významných změnách interní sítě.

Platí PCI DSS pro cloudová prostředí, jako jsou AWS, Azure nebo GCP?

Ano, PCI DSS se absolutně vztahuje na cloudová prostředí. Poskytovatelé cloudu, jako jsou AWS, Azure a GCP, fungují na modelu sdílené odpovědnosti. Poskytovatel je zodpovědný za zabezpečení základní infrastruktury („cloud“), ale vy, zákazník, jste zodpovědní za zabezpečení všeho, co vytvoříte a vložíte „do cloudu“. To zahrnuje vaše aplikace, operační systémy, konfigurace sítě a správu přístupu. Musíte zajistit, aby bylo vaše cloudové nasazení nakonfigurováno a spravováno v souladu s předpisy.

Co je prostředí dat držitele karty (CDE)?

Prostředí dat držitele karty (CDE) zahrnuje všechny lidi, procesy a technologie, které ukládají, zpracovávají nebo přenášejí data držitele karty nebo citlivá autentizační data. Klíčovým cílem standardu PCI pro odvětví platebních karet je správně segmentovat CDE od zbytku vaší sítě. Izolací těchto kritických systémů můžete snížit rozsah vašeho posouzení PCI DSS, což usnadňuje a zlevňuje ochranu citlivých platebních informací a dosažení souladu.

Jak PCI DSS v4.0 změnil požadavky?

PCI DSS v4.0 přináší významné aktualizace k řešení vyvíjejících se bezpečnostních hrozeb. Mezi klíčové změny patří „přizpůsobený přístup“, který organizacím umožňuje plnit bezpečnostní cíle pomocí inovativních metod, pokud nemohou splnit požadavek tak, jak je napsán. Také nařizuje silnější hesla a požadavky na vícefaktorové ověřování (MFA) pro veškerý přístup do CDE a klade větší důraz na nepřetržité monitorování zabezpečení. Jako nový standard PCI pro odvětví platebních karet je v4.0 navržen pro větší flexibilitu a zabezpečení.