Payment Card Industry Data Security Standard (PCI DSS) (с англ. «стандарт безопасности индустрии платёжных карт») — это стандарт безопасности данных платёжных карт, учреждённый международными платёжными системами Visa, MasterCard, American Express, JCB и Discover[1]. Стандарты безопасности PCI разработаны для защиты платежных данных на протяжении всего жизненного цикла платежа и обеспечения технологических решений, обесценивающих эти данные и тем самым лишающих преступников стимула к их краже. Поэтому можно быть спокойным при переводах[2].
Соответствие требованиям PCI DSS подразумевает комплексный подход к обеспечению информационной безопасности данных платёжных карт[3]. Необходимость соответствия PCI DSS устанавливается операторами платежных систем в рамках их собственных программ по безопасности.
Например:
Все организации, в которых ведется хранение, передача или обработка данных карт этих платежных систем, должны соблюдать требования PCI DSS. Также платежными системами устанавливаются правила подтверждения соответствия PCI DSS[3].
Национальные (локальные) платежные системы могут также в своих программах безопасности указывать требование о необходимости соответствия PCI DSS и устанавливать требования к схеме подтверждения соответствия. Например, в платежной системе «Мир» необходимость соответствия PCI DSS определена в Стандарте ПС «Мир» «Программа безопасности»[4]. Также в рамках этой программы определены уровни для организаций и требования к отчетности.
С сентября 2006 года стандарт введён международной платёжной системой Visa на территории региона CEMEA (центральная и восточная Европа, Ближний Восток и Африка) как обязательный, соответственно, его действие распространяется и на Россию. Поэтому поставщики услуг (процессинговые центры, платёжные шлюзы, интернет-провайдеры), работающие напрямую с VisaNet, должны пройти процедуру аудита на соответствие требованиям стандарта.
С 2012 года сертификация стала обязательной для всех организаций, работающих с банковскими картами[5].
Разные международные платежные системы предъявляют разные требования к процессу подтверждения соответствия требованиям PCI DSS.
Обычно, схемы подтверждения варьируются для организаций в зависимости от количества обрабатываемых транзакций по картам. Каждой организации присваивается определённый уровень с соответствующим набором требований, которые они должны выполнять. В рамках требований платежных систем предусматриваются ежегодные аудиторские проверки организаций на соответствие PCI DSS или проведение самооценки.
Существуют следующие методы подтверждения соответствия требованиям стандарта PCI DSS:
Метод проверки соответствия, или комбинация методов, выбирается в зависимости от уровня торгово-сервисного предприятия или поставщика услуг.
Торгово-сервисным предприятием (ТСП) является организация, принимающая платежные карты в оплату за продаваемые товары или услуги. Примерами торгово-сервисных предприятий являются магазины, рестораны, отели и интернет-магазины.
По классификации Visa:
Level 1:
Требования к оценке соответствия:
Level 2:
Требования к оценке соответствия:
Level 3:
Требования к оценке соответствия:
Level 4:
Требования к оценке соответствия:
По классификации MasterCard:
Level 1:
Требования к оценке соответствия:
Level 2:
Требования к оценке соответствия:
Level 3:
Требования к оценке соответствия:
Level 4:
Требования к оценке соответствия:
Поставщиками услуг являются организации, оказывающие различные услуги, в основном в сфере информационных технологий, торгово-сервисным предприятиям, банкам-эквайерам и эмитентам, и непосредственно международным платежным системам. При этом, организация — поставщик услуг — получает доступ к данным о держателях карт. Примерами поставщиков услуг является процессинговые центры, платежные шлюзы, дата-центры, поставщики услуг токенизации и шифрования «точка-точка» (P2PE).
По классификации Visa:
Level 1:
Требования к оценке соответствия:
Level 2:
Требования к оценке соответствия:
По классификации MasterCard:
Level 1:
Требования к сертификации:
Level 2:
Требования к оценке соответствия:
Как видно из классификации, сертификация по высшим уровням должна проводиться аудиторской компанией, обладающей статусом Qualified Security Assessor (PCI QSA). Для остальных уровней привлечение QSA не является обязательным требованием.
Существует родственный PCI DSS стандарт безопасности платежных приложений — Payment Card Industry Payment Application — Data Security Standard (PCI PA-DSS). Производители программного обеспечения, участвующего в обработке платежных транзакций, должны сертифицировать приложения по стандарту PA-DSS. По требованиям международных платежных систем Visa и MasterCard все торгово-сервисные предприятия (англ. Merchant) и поставщики услуг начиная с 1 июля 2012 года должны использовать только сертифицированные по стандарту PA-DSS платёжные приложения. Контроль выполнения этого требования возложен на банки-эквайеры.
PCI DSS определяет следующие шесть областей контроля и 12 основных требований по безопасности.
Совет PCI SSC следует трехлетнему циклу обновления стандарта. Первый год — внедрение стандарта в индустрии, второй год — сбор обратной связи в виде комментариев и пожеланий от участников индустрии платежных карт, третий год — подготовка новой версии стандарта. Между этапами проводятся конференции PCI SSC Community Meeting, которые состоят из американской и европейской сессий. В ходе конференций организации-участники, международные платежные системы, консультанты и QSA-аудиторы, а также торгово-сервисные предприятия и поставщики услуг обсуждают будущее стандарта и сопутствующих документов.
История изменений стандарта: