Payment Card Industry Data Security Standard (PCI DSS) (с англ. «стандарт безопасности индустрии платёжных карт») — это стандарт безопасности данных платёжных карт, учреждённый международными платёжными системамиVisa, MasterCard, American Express, JCB и Discover[1]. Стандарты безопасности PCI разработаны для защиты платежных данных на протяжении всего жизненного цикла платежа и обеспечения технологических решений, обесценивающих эти данные и тем самым лишающих преступников стимула к их краже. Поэтому можно быть спокойным при переводах[2].
О стандарте безопасности данных индустрии платежных карт
Соответствие требованиям PCI DSS подразумевает комплексный подход к обеспечению информационной безопасности данных платёжных карт[3]. Необходимость соответствия PCI DSS устанавливается операторами платежных систем в рамках их собственных программ по безопасности.
у Visa в США — Cardholder Information Security (CISP);
у Visa в Европе — Account Information Security (AIS).
Все организации, в которых ведется хранение, передача или обработка данных карт этих платежных систем, должны соблюдать требования PCI DSS. Также платежными системами устанавливаются правила подтверждения соответствия PCI DSS[3].
Национальные (локальные) платежные системы могут также в своих программах безопасности указывать требование о необходимости соответствия PCI DSS и устанавливать требования к схеме подтверждения соответствия. Например, в платежной системе «Мир» необходимость соответствия PCI DSS определена в Стандарте ПС «Мир» «Программа безопасности»[4]. Также в рамках этой программы определены уровни для организаций и требования к отчетности.
С 2012 года сертификация стала обязательной для всех организаций, работающих с банковскими картами[5].
Подтверждение соответствия PCI DSS
Разные международные платежные системы предъявляют разные требования к процессу подтверждения соответствия требованиям PCI DSS.
Обычно, схемы подтверждения варьируются для организаций в зависимости от количества обрабатываемых транзакций по картам. Каждой организации присваивается определённый уровень с соответствующим набором требований, которые они должны выполнять. В рамках требований платежных систем предусматриваются ежегодные аудиторские проверки организаций на соответствие PCI DSS или проведение самооценки.
Существуют следующие методы подтверждения соответствия требованиям стандарта PCI DSS:
внешний QSA-аудит (англ.), выполняемый PCI QSA-компанией на объекте проверяемой организации;
самооценка, выполняемая организацией самостоятельно с заполнением листа самооценки (SAQ).
Метод проверки соответствия, или комбинация методов, выбирается в зависимости от уровня торгово-сервисного предприятия или поставщика услуг.
Уровни торгово-сервисных предприятий
Торгово-сервисным предприятием (ТСП) является организация, принимающая платежные карты в оплату за продаваемые товары или услуги. Примерами торгово-сервисных предприятий являются магазины, рестораны, отели и интернет-магазины.
По классификации Visa:
Level 1:
ТСП, обрабатывающие более чем 6 млн транзакций в год.
Требования к оценке соответствия:
ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
ежеквартальное ASV-сканирование.
Level 2:
ТСП, обрабатывающие от 1 до 6 млн транзакций в год.
Требования к оценке соответствия:
ежегодная самооценка с заполнением опросного листа (SAQ);
ежеквартальное ASV-сканирование.
Level 3:
ТСП, обрабатывающие от 20 000 до 1 млн транзакций в год с применением средств электронной коммерции.
Требования к оценке соответствия:
ежегодная самооценка с заполнением опросного листа (SAQ);
ежеквартальное ASV-сканирование.
Level 4:
ТСП, обрабатывающие до 20 000 транзакций в год с применением средств электронной коммерции, а также иные ТСП, обрабатывающие до 1 млн транзакций в год.
Требования к оценке соответствия:
рекомендована ежегодная самооценка соответствия с заполнением опросного листа;
рекомендовано ежеквартальное ASV-сканирование;
требования определяются банком-эквайером.
По классификации MasterCard:
Level 1:
ТСП, обрабатывающие более чем 6 млн транзакций в год.
ТСП, через системы которых были скомпрометированы данные о держателях карт;
ТСП, отнесенные международной платёжной системой Visa к 1 уровню;
ТСП, напрямую отнесенные международной платёжной системой MasterCard к 1 уровню.
Требования к оценке соответствия:
ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
ежеквартальное ASV-сканирование.
Level 2:
ТСП, обрабатывающие от 1 до 6 млн транзакций в год;
ТСП, отнесенные международной платёжной системой Visa ко 2 уровню.
Требования к оценке соответствия:
ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
ежеквартальное ASV-сканирование.
Level 3:
ТСП, обрабатывающие от 20 000 до 1 млн транзакций в год с применением средств электронной коммерции.
ТСП, отнесенные международной платёжной системой Visa к 3 уровню.
Требования к оценке соответствия:
ежегодная самооценка с заполнением опросного листа (SAQ);
ежеквартальное ASV-сканирование.
Level 4:
Все остальные ТСП.
Требования к оценке соответствия:
рекомендована ежегодная самооценка соответствия с заполнением опросного листа;
рекомендовано ежеквартальное ASV-сканирование;
требования определяются банком-эквайером.
Уровни поставщиков услуг
Поставщиками услуг являются организации, оказывающие различные услуги, в основном в сфере информационных технологий, торгово-сервисным предприятиям, банкам-эквайерам и эмитентам, и непосредственно международным платежным системам. При этом, организация — поставщик услуг — получает доступ к данным о держателях карт. Примерами поставщиков услуг является процессинговые центры, платежные шлюзы, дата-центры, поставщики услуг токенизации и шифрования «точка-точка» (P2PE).
По классификации Visa:
Level 1:
Все процессинговые центры, подключенные к VisaNet;
Поставщики услуг, обрабатывающие, хранящие или передающие данные о более чем 300 000 транзакций в год.
Требования к оценке соответствия:
ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
ежеквартальное ASV-сканирование.
Level 2:
Поставщики услуг, обрабатывающие, хранящие или передающие данные о менее чем 300 000 транзакций в год.
Требования к оценке соответствия:
ежегодная самооценка с заполнением опросного листа (SAQ);
ежеквартальное ASV-сканирование.
По классификации MasterCard:
Level 1:
Все процессинговые центры.
Поставщики услуг, обрабатывающие, хранящие или передающие данные о более чем 300 000 транзакций в год.
Все процессинговые центры и поставщики услуг, через системы которых были скомпрометированы данные о держателях карт.
Требования к сертификации:
ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
ежеквартальное ASV-сканирование.
Level 2:
Поставщики услуг, обрабатывающие, хранящие или передающие данные о менее чем 300 000 транзакций в год.
Требования к оценке соответствия:
ежегодная самооценка с заполнением опросного листа (SAQ);
ежеквартальное ASV-сканирование.
Аудиторские компании PCI QSA
Как видно из классификации, сертификация по высшим уровням должна проводиться аудиторской компанией, обладающей статусом Qualified Security Assessor (PCI QSA). Для остальных уровней привлечение QSA не является обязательным требованием.
Аудиторские компании PCI PA-QSA
Существует родственный PCI DSS стандарт безопасности платежных приложений — Payment Card Industry Payment Application — Data Security Standard (PCI PA-DSS). Производители программного обеспечения, участвующего в обработке платежных транзакций, должны сертифицировать приложения по стандарту PA-DSS. По требованиям международных платежных систем Visa и MasterCard все торгово-сервисные предприятия (англ.Merchant) и поставщики услуг начиная с 1 июля 2012 года должны использовать только сертифицированные по стандарту PA-DSS платёжные приложения. Контроль выполнения этого требования возложен на банки-эквайеры.
Требования стандарта PCI DSS
PCI DSS определяет следующие шесть областей контроля и 12 основных требований по безопасности.
Построение и сопровождение защищённой сети
Требование 1: установка и обеспечение функционирования межсетевых экранов для защиты данных держателей карт.
Требование 2: неиспользование выставленных по умолчанию производителями системных паролей и других параметров безопасности.
Защита данных держателей карт
Требование 3: обеспечение защиты данных держателей карт в ходе их хранения.
Требование 4: обеспечение шифрования данных держателей карт при их передаче через общедоступные сети.
Требование 6: разработка и поддержка безопасных систем и приложений.
Реализация мер по строгому контролю доступа
Требование 7: ограничение доступа к данным держателей карт в соответствии со служебной необходимостью.
Требование 8: присвоение уникального идентификатора каждому лицу, имеющему доступ к информационной инфраструктуре.
Требование 9: ограничение физического доступа к данным держателей карт.
Регулярный мониторинг и тестирование сети
Требование 10: контроль и отслеживание всех сеансов доступа к сетевым ресурсам и данным держателей карт.
Требование 11: регулярное тестирование систем и процессов обеспечения безопасности.
Поддержка политики информационной безопасности
Требование 12: разработка, поддержка и исполнение политики информационной безопасности.
Версии стандарта PCI DSS
Совет PCI SSC следует трехлетнему циклу обновления стандарта. Первый год — внедрение стандарта в индустрии, второй год — сбор обратной связи в виде комментариев и пожеланий от участников индустрии платежных карт, третий год — подготовка новой версии стандарта. Между этапами проводятся конференции PCI SSC Community Meeting, которые состоят из американской и европейской сессий. В ходе конференций организации-участники, международные платежные системы, консультанты и QSA-аудиторы, а также торгово-сервисные предприятия и поставщики услуг обсуждают будущее стандарта и сопутствующих документов.
