PCI DSS — wymagania dla sklepu przyjmującego karty

PCI DSS to standard ochrony danych kart płatniczych. Dotyczy organizacji, które przyjmują, przesyłają lub przechowują dane posiadaczy kart.¹ Ten poradnik wyjaśnia poziomy zgodności, wybór kwestionariusza SAQ i obowiązki sklepu korzystającego z bramki płatniczej. W e-commerce o wyborze między SAQ A a SAQ A-EP decyduje między innymi pochodzenie elementów strony płatności².

Czym jest PCI DSS i czego dotyczy?

PCI DSS to skrót od Payment Card Industry Data Security Standard. Standard określa zasady ochrony danych posiadacza karty i środowiska, w którym sklep lub dostawca je przetwarza. Zawiera 12 głównych wymagań bezpieczeństwa³.

W sklepie zakres standardu zależy od przepływu danych karty. Trzeba prześledzić drogę od formularza płatności, przez połączenia między systemami, aż po ewentualny zapis danych. Sama zewnętrzna bramka nie przesądza, które zabezpieczenia zapewnia operator, a które pozostają po stronie sklepu⁴.

Ocenę zgodności zacznij od ustalenia, czy dane karty trafiają do systemów sklepu. Następnie przypisz odpowiedzialność za poszczególne elementy płatności. Wymaganie 12.5.2 nakazuje udokumentować zakres środowiska objętego PCI DSS i potwierdzać go co najmniej raz na 12 miesięcy⁵.

Jakie obszary obejmują wymagania standardu?

Wymagania PCI DSS obejmują ochronę danych kart, zabezpieczenia systemów i sieci, ograniczanie dostępu oraz kontrolę działania zabezpieczeń. Sklep bierze pod uwagę również osoby i podmioty mające dostęp do środowiska płatniczego. To przebieg płatności i uczestniczące w niej systemy wyznaczają konkretne kontrole⁶.

Jak przygotować sklep do spełnienia wymagań?

Przygotowanie do PCI DSS zacznij od opisania drogi danych karty. Ten opis pozwoli przypisać odpowiedzialność za systemy używane przy płatności. Zakres środowiska trzeba potwierdzać co najmniej raz na 12 miesięcy.

• Ustal, czy klient podaje dane karty na stronie sklepu, czy na stronie operatora płatności.
• Wymień systemy, połączenia i podmioty uczestniczące w obsłudze płatności kartą.
• Przypisz każde zabezpieczenie sklepowi, operatorowi albo innemu dostawcy.
• Porównaj obecne zabezpieczenia z wymaganiami dotyczącymi ustalonego zakresu.

W ten sposób powstaje opis środowiska potrzebny do wyboru sposobu potwierdzenia zgodności. SAQ A jest przeznaczony dla sprzedawców, którzy w całości powierzają przetwarzanie danych kart dostawcom usług zgodnym z PCI DSS⁷.

Kiedy potrzebny jest audyt zgodności?

Audyt zgodności PCI DSS jest potrzebny wtedy, gdy zasady potwierdzenia zgodności wymagają oceny uprawnionego audytora zamiast samooceny sklepu. Forma oceny zależy od zasad dotyczących sprzedawcy oraz sposobu obsługi transakcji kartowych. Powierzenie płatności operatorowi nie zwalnia sklepu z ustalenia własnych obowiązków. U Visa ponad 6 mln transakcji rocznie we wszystkich kanałach oznacza poziom 1 i wymaga corocznego raportu RoC⁸.

Wymagania PCI DSS 4.0 i poziomy zgodności

PCI DSS 4.0 określa wymagania ochrony danych kart. Poziomy sprzedawców służą z kolei do ustalenia sposobu potwierdzania zgodności według skali transakcji. Nie są osobnymi standardami bezpieczeństwa. Visa przypisuje sprzedawców do czterech poziomów na podstawie wolumenu transakcji Visa z 12 miesięcy⁸.

Przedziały wolumenu zależą od poziomu. Przy poziomach 3 i 4 podane progi odnoszą się do e-commerce, czyli sprzedaży internetowej. Zestawienie dotyczy transakcji Visa/Mastercard. Poziom 3 Visa obejmuje od 20 tys. do 1 mln transakcji e-commerce Visa rocznie⁸.

Dane w tabeli: 9,10

Jak uporządkować 12 wymagań standardu?

PCI DSS obejmuje 12 wymagań. Sklep może pogrupować je według odpowiedzialności, a potem powiązać z własnymi systemami i usługami dostawców. Taki podział pomaga ustalić, kto wykonuje poszczególne kontrole.¹¹

• Przypisz zabezpieczenia sieci i konfiguracji do systemów biorących udział w płatności.
• Ustal, gdzie wymagania ochrony danych kart dotyczą ich przechowywania lub przesyłania.
• Powiąż zarządzanie podatnościami, dostępem i monitorowaniem z odpowiedzialnymi zespołami.
• Uwzględnij testowanie zabezpieczeń i politykę bezpieczeństwa w dokumentacji procesu.

Z takiego przypisania wynika, które kontrole wykonuje sklep, a które dostawca. Wymaganie 12.8.5 nakazuje określić, jakie wymagania PCI DSS realizuje każdy dostawca usług i jakie pozostają po stronie sklepu¹².

Co oznacza poziom 1 dla sprzedawcy?

Poziom 1 PCI DSS oznacza kategorię sprzedawców o najwyższym wskazanym wolumenie transakcji. Poważne naruszenie bezpieczeństwa może jednak skutkować przypisaniem do niej niezależnie od wolumenu.⁹ Poziom wyznacza sposób oceny zgodności; sprzedawców z pozostałych kategorii również obowiązuje standard. Do poziomu 1 Visa zalicza ponad 6 mln transakcji Visa rocznie we wszystkich kanałach⁸.

Co zmieniła wersja 4.0?

PCI DSS 4.0 pozwala spełniać część wymagań w podejściu dostosowanym, obok podejścia zdefiniowanego w standardzie. Kto wybiera tę drogę, musi wykazać, że zastosowane zabezpieczenie osiąga cel wymagania. Wymaganie 12.3.2 przewiduje analizę ryzyka dla każdego wymagania realizowanego w podejściu dostosowanym¹³.

Daty wersji pomagają odczytać starszą dokumentację. PCI DSS 3.2 obowiązywał do 31 grudnia 2018 r. Od 1 stycznia 2019 r. potwierdzenia zgodności musiały odnosić się do wersji 3.2.1.^14,15

Od czego zależy poziom zgodności sprzedawcy?

Poziom sprzedawcy PCI DSS zależy od liczby i rodzaju transakcji kartowych oraz zasad organizacji kartowej. Sklep powinien odróżnić łączny wolumen od samej sprzedaży internetowej. Wybór bramki nie wyznacza poziomu. Przykładowo poziom 2 Visa obejmuje od 1 mln do 6 mln transakcji Visa rocznie we wszystkich kanałach⁸.

Poziom określa kategorię oceny. Zakres potrzebnych zabezpieczeń zależy natomiast od sposobu obsługi danych kart¹⁶.

Jak sklep potwierdza zgodność ze standardem kartowym?

Sklep potwierdza zgodność z PCI DSS, oceniając zabezpieczenia dotyczące własnej obsługi płatności kartowych i przygotowując wymaganą dokumentację. Wynikiem może być Attestation of Compliance (AoC), czyli poświadczenie zgodności, albo Report of Compliance (RoC) – raport z oceny zgodności. Rodzaj dokumentu zależy od rodzaju działalności.⁹ Sprzedawcy poziomu 1 Visa przedstawiają co roku RoC oraz AoC⁸.

Przed oceną sklep ustala, które jego systemy uczestniczą w obsłudze danych kart. Osobno wskazuje kontrole zapewniane przez dostawcę płatności, a własne zabezpieczenia porównuje z odpowiednimi wymaganiami. Wymaganie 12.8.4 nakazuje monitorować status zgodności dostawców usług z PCI DSS co najmniej raz na 12 miesięcy⁴.

Co oznacza zgodność w praktyce?

Zgodność z PCI DSS wymaga stosowania zabezpieczeń w ustalonym zakresie oraz wykazania, że działają. Deklaracja dostawcy płatności nie potwierdza zabezpieczeń systemów sklepu. Dokumentacja musi odpowiadać rzeczywistemu sposobowi przyjmowania kart. Powinna też obejmować właściwe wymagania spośród 12 głównych obszarów standardu.

Jak sprawdzić, czy sklep spełnia wymagania?

Sklep sprawdza zgodność, porównując środowisko płatnicze z dotyczącymi go wymaganiami. Zaczyna od udokumentowania zakresu oceny. Musi go potwierdzać co najmniej raz na 12 miesięcy.

• Opisz drogę danych karty od formularza płatności do systemu, który je przetwarza.
• Wskaż systemy zarządzane przez sklep i usługi dostawców uczestniczące w płatności.
• Do każdego właściwego wymagania przypisz odpowiedzialny podmiot oraz dowód działania zabezpieczenia.
• Usuń wykryte luki i udokumentuj wprowadzone zabezpieczenia.

Taka ocena dotyczy faktycznej konfiguracji sklepu. Sama nazwa używanej bramki nie opisuje przepływu danych ani podziału obowiązków.

Od czego zacząć proces osiągania zgodności?

Proces osiągania zgodności PCI DSS zaczyna się od ustalenia, gdzie klient wpisuje dane karty. Trzeba też sprawdzić, czy systemy sklepu mają do tych danych dostęp. Następnie sklep wyznacza zakres oceny, dzieli obowiązki z dostawcami i wybiera sposób udokumentowania zgodności¹⁷. Ustalony zakres potwierdza co najmniej raz na 12 miesięcy.

Co oznacza certyfikat zgodności?

„Certyfikat PCI DSS” to potoczna nazwa dokumentu potwierdzającego wynik oceny. Dla sklepu liczy się rodzaj dokumentu, jego zakres i podmiot, którego dotyczy. Potwierdzenie operatora obejmuje jego usługi, nie cały sklep. Wypełniony kwestionariusz samooceny SAQ i AoC sklep przekazuje bankowi rozliczeniowemu lub operatorowi płatności według ich wymagań.^4,9

Zgodność sklepu potwierdzają ocena własnego zakresu płatności i właściwa dla niego dokumentacja.

Rola IXOPAY w obsłudze obowiązków sklepu

IXOPAY może odpowiadać za zabezpieczenia tych elementów płatności, które dostarcza i utrzymuje. Nie przejmuje przez to wszystkich obowiązków PCI DSS sklepu. Granicę odpowiedzialności wyznaczają integracja, przepływ danych karty i zakres usługi opisany w dokumentacji dostawcy. Przy podziale kontroli trzeba uwzględnić wymaganie 12.8.5.

Które obowiązki może przejąć IXOPAY, a które pozostają po stronie sklepu?

IXOPAY może przejąć kontrole infrastruktury i przetwarzania danych, za które odpowiada w danej usłudze. Sklep nadal odpowiada za systemy i czynności pod własną kontrolą. Dokumentacja usługi wskazuje zabezpieczenia dostawcy, a opis integracji pozwala ustalić, czy dane karty przechodzą przez środowisko sklepu. Status zgodności dostawcy nie potwierdza zgodności sklepu; należy go monitorować co najmniej raz na 12 miesięcy.

O podziale obowiązków decyduje rzeczywista integracja, nie sama nazwa dostawcy.

Obowiązki sklepu zależnie od sposobu przyjmowania kart

Sklep ustala obowiązki PCI DSS na podstawie miejsca wpisywania danych karty i elementów płatności, którymi zarządza. Przekierowanie do operatora, formularz osadzony na stronie i formularz obsługiwany przez sklep dają różne zakresy odpowiedzialności. W e-commerce to rozróżnienie wpływa również na wybór między SAQ A a SAQ A-EP².

Dane w tabeli: 17

Skrypty strony płatności są kodem uruchamianym w przeglądarce klienta. Każdy taki skrypt wymaga potwierdzenia autoryzacji, zapewnienia integralności oraz ujęcia w spisie z uzasadnieniem użycia.¹⁸ Obowiązek dotyczy kodu strony płatności również wtedy, gdy formularz danych karty dostarcza operator.

Bramka może obsługiwać dane karty. Sklep nadal zabezpiecza te elementy płatności, które sam kontroluje.

Lista kontrolna wymagań dla sklepu

Wymóg 6 PCI DSS dotyczy bezpiecznego tworzenia oprogramowania, zarządzania lukami, ochrony publicznych aplikacji internetowych oraz zmian.¹⁸ Sklep stosuje odpowiednie kontrole do systemów i prac programistycznych, za które odpowiada.

• Kod tworzony na zamówienie: zbadaj go pod kątem luk i usuń wykryte problemy przed udostępnieniem klientom lub w środowisku produkcyjnym.¹⁸
• Zmiany produkcyjne: opisz ich wpływ na bezpieczeństwo, zatwierdź i przetestuj zmianę, a także przygotuj procedurę powrotu do bezpiecznego stanu.¹⁸
• Szkolenie personelu tworzącego oprogramowanie na zamówienie: zapewnij co najmniej 1 szkolenie na 12 miesięcy.^18,19
• Pozostałe odpowiednie poprawki lub aktualizacje: przykładowy termin instalacji wynosi 3 miesiące od wydania.^18,20

Ta lista pomaga przypisać odpowiedzialnych za prace nad oprogramowaniem sklepu. Pozwala też zapisać terminy i dowody wykonania kontroli.

Który kwestionariusz PCI DSS SAQ wybrać dla sposobu obsługi płatności?

SAQ oznacza Self-Assessment Questionnaire, czyli kwestionariusz samooceny. Wariant zależy od sposobu przyjmowania danych karty i wpływu systemów sklepu na stronę płatności. Nazwa bramki nie rozstrzyga wyboru. Dla sprzedawców na poziomach 2–4 przewidziano 1 kwestionariusz SAQ rocznie; na poziomie 2 opcjonalnie wskazano RoC sporządzany z udziałem audytora QSA.⁹

O właściwym wariancie decydują warunki kwalifikacji i rzeczywista droga danych. Samo korzystanie z operatora nie wystarcza do wyboru SAQ.

Skany ASV badają podatności zewnętrznych systemów; wykonuje je zatwierdzony podmiot. Ocena QSA ma z kolei inny cel niż samoocena SAQ. Wypełnienie kwestionariusza nie zastępuje wymaganego skanowania infrastruktury sklepu. Wybór SAQ sam w sobie nie rozstrzyga też o obowiązku audytu.

Zakres systemów i potwierdzanie zgodności z PCI DSS

Zakres oceny PCI DSS obejmuje środowisko danych posiadaczy kart (CDE) i systemy z nim połączone lub mogące wpływać na jego bezpieczeństwo. CDE jest częścią infrastruktury, która przechowuje, przetwarza albo przesyła dane kart. Granice oceny wyznaczają faktyczny przepływ danych i połączenia między systemami¹⁷.

Opis zakresu powinien wymieniać zasoby sklepu, usługi dostawców i osoby z dostępem do środowiska płatniczego. Sklep przypisuje do nich wymagania, zabezpieczenia oraz dowody ich działania. Wymaganie 12.5.2 przewiduje potwierdzanie zakresu co najmniej raz na 12 miesięcy.

Jak uporządkować przygotowania do oceny zgodności?

Przygotowania do oceny PCI DSS rozpocznij od aktualnego wykazu zasobów związanych z płatnościami. Wykaz posłuży do opisania zakresu oceny. Zakres ten trzeba potwierdzać co najmniej raz na 12 miesięcy.

• Narysuj przepływ danych karty, zaznaczając na diagramie systemy sklepu i dostawców.
• Oznacz połączenia między systemami i konta z dostępem do środowiska płatniczego.
• Przypisz właściciela każdemu zasobowi oraz zabezpieczeniu.
• Zbierz dokumentację konfiguracji, uprawnień i wykonywanych kontroli.

Wynikiem prac jest zakres oceny powiązany z konkretnymi zasobami i dowodami¹⁷.

Które systemy i dane wchodzą w zakres oceny?

CDE obejmuje systemy obsługujące dane posiadaczy kart. W ocenie trzeba uwzględnić także zasoby połączone z tym środowiskiem lub wpływające na jego zabezpieczenia. Chodzi więc również o powiązane usługi administracyjne i połączenia sieciowe. Wyłączenie zasobu wymaga udokumentowania, że nie wpływa on na bezpieczeństwo środowiska płatniczego. Sama nazwa lub lokalizacja systemu nie wystarcza; zakres potwierdza się co najmniej raz na 12 miesięcy.

Jak przypisać zabezpieczenia do wymagań standardu?

Mapa kontroli PCI DSS wiąże każde właściwe wymaganie z zabezpieczeniem, odpowiedzialnym podmiotem i dowodem wykonania. Przy dzieleniu prac między sklep i dostawców uwzględnij wymaganie 12.8.5.

• Powiąż wymaganie z systemem lub procesem objętym oceną.
• Określ, czy zabezpieczenie utrzymuje sklep, czy dostawca usługi.
• Zapisz dowód działania zabezpieczenia, na przykład konfigurację albo wynik kontroli.

Podział obowiązków dotyczy też środowisk przedprodukcyjnych i produkcyjnych. Uwzględnij ich oddzielenie za pomocą kontroli dostępu.¹⁸ Mapa pokaże, które kontrole sklep wykonuje samodzielnie.

Jak potwierdza się zgodność w obsłudze transakcji kartowych?

Zgodność PCI DSS przy obsłudze transakcji potwierdza ocena zabezpieczeń w ustalonym zakresie. Jej wynik trzeba udokumentować. Dla sprzedawców na poziomach 2–4 przewidziano 1 kwestionariusz SAQ rocznie.

• Porównaj faktyczne przetwarzanie transakcji z opisanym przepływem danych.
• Sprawdź dowody działania zabezpieczeń, za które odpowiada sklep.
• Wykorzystaj dokumentację dostawcy tylko w zakresie świadczonej przez niego usługi.
• Zapisz wynik oceny w dokumentacji właściwej dla sklepu.

Potwierdzenie zgodności dotyczy konkretnego środowiska i sposobu obsługi płatności.

Jak może dojść do kradzieży danych karty?

Dane karty mogą zostać skradzione przez dostęp do systemu płatniczego, przechwycenie podczas wpisywania lub odczyt z miejsca zapisu. Sklep ogranicza te możliwości, zabezpieczając stronę płatności, systemy i konta osób obsługujących transakcje. Ochrona publicznych aplikacji internetowych należy do wymogu 6 PCI DSS.

• Przejęcie strony płatności: złośliwy kod może odczytywać dane wpisywane przez klienta; sklep kontroluje zmiany w kodzie i uprawnienia do jego publikowania.
• Nieuprawniony dostęp do systemu: błędna konfiguracja zapory sieciowej może wystawić usługę na dostęp z zewnątrz; sklep ogranicza ruch do potrzebnych połączeń.
• Złośliwe oprogramowanie: infekcja komputera pracownika może prowadzić do kradzieży danych lub danych logowania; sklep stosuje i aktualizuje oprogramowanie antywirusowe tam, gdzie jest właściwym zabezpieczeniem.
• Przejęcie konta: wyłudzone hasło może otworzyć dostęp do panelu sklepu lub ustawień płatności; sklep ogranicza uprawnienia i chroni logowanie.

Sposób kradzieży zależy od tego, gdzie dane karty są wpisywane, przesyłane i przechowywane. Znaczenie ma też to, kto może zmieniać środowisko płatnicze.

Ochrona danych karty podczas przechowywania i przesyłania

Dane posiadacza karty trzeba chronić zarówno podczas przechowywania, jak i przesyłania. PCI DSS obejmuje ochronę zapisanych danych kart oraz szyfrowanie transmisji przez otwarte sieci publiczne.²¹ Są to obszary należące do 12 głównych wymagań standardu.

Sklep ustala, czy dane karty trafiają do jego baz, dzienników aplikacji lub kopii zapasowych. Sprawdza także systemy dostawców. Potem ogranicza zapis do uzasadnionego zakresu i wskazuje podmiot odpowiedzialny za każde miejsce przechowywania.

Przy transmisji trzeba wskazać połączenia przenoszące dane karty i podmiot, który je zabezpiecza. Szyfrowanie transmisji chroni dane przechodzące przez sieć publiczną. Nie zastępuje jednak ochrony danych zapisanych w systemie.

Ochrona obejmuje zapis i przesyłanie. Jedno zabezpieczenie nie zastępuje drugiego.

Kontrola dostępu do systemów obsługujących płatności

Kontrola dostępu do systemów płatniczych oznacza przyznawanie pracownikom i dostawcom uprawnień potrzebnych do ich zadań. Sklep uwzględnia zarówno konta użytkowników, jak i dostęp do miejsc przechowywania danych kart. Zakres środowiska i dostępu trzeba potwierdzać co najmniej raz na 12 miesięcy.

PCI DSS wymaga ograniczania dostępu do danych posiadaczy kart według potrzeb służbowych. Dotyczy to również fizycznego dostępu do tych danych.²¹ Każda osoba korzystająca z komputera powinna mieć unikalny identyfikator. Standard wymaga też monitorowania dostępu do zasobów sieciowych i danych kart oraz regularnego testowania zabezpieczeń.²¹

Sklep przydziela uprawnienia według ról i zmienia je, gdy pracownik otrzymuje inne zadania. Zapis działań przypisany do indywidualnego konta pozwala ustalić, kto korzystał z systemu płatniczego.

Dostęp wynika z obowiązków danej osoby. Jej działania muszą dać się powiązać z kontem.

Polityka bezpieczeństwa i odpowiedzialność pracowników

Polityka bezpieczeństwa informacji określa odpowiedzialność za ochronę środowiska płatniczego. Reguluje też dostęp pracowników i wykonawców do systemów. PCI DSS wymaga utrzymywania polityki obejmującej obie grupy.²¹ Polityka należy do 12 głównych wymagań standardu.

Sklep wyznacza osoby odpowiedzialne za uprawnienia, zmiany w integracji płatniczej i reakcję na incydenty. Pracownik obsługujący zamówienia potrzebuje innego dostępu niż administrator ustawień płatności. Dlatego polityka powinna wiązać uprawnienia z zadaniami.

Wykonawca zarządzający stroną sklepu lub infrastrukturą płatności także podlega zasadom dostępu i zgłaszania zdarzeń. Jeśli zmienia się zakres jego prac, sklep aktualizuje obowiązki i uprawnienia.

Polityka wskazuje osoby i wykonawców odpowiedzialnych za poszczególne elementy płatności.

Kiedy w ocenie zgodności uczestniczy audytor QSA?

QSA to Qualified Security Assessor, czyli uprawniony zewnętrzny audytor bezpieczeństwa. Bierze udział w ocenie, gdy sprzedawca przygotowuje z jego udziałem raport RoC. Na poziomie 1 wskazano również możliwość sporządzenia raportu przez ISA, uprawnionego audytora wewnętrznego. Dla poziomu 1 przewidziano 1 raport RoC rocznie, a także skany ASV, testy penetracyjne i ocenę na miejscu.⁹

Samo przyjmowanie kart ani wybór bramki nie oznaczają obowiązku udziału QSA. Wymaganą formę oceny sklep ustala według swojego poziomu oraz zasad podmiotu, któremu przedstawia potwierdzenie zgodności.

Usługi oceny zgodności TÜV SÜD jako przykład zewnętrznego wsparcia

TÜV SÜD jest przykładem dostawcy zewnętrznego wsparcia. Oferuje doradztwo PCI DSS, audyty na miejscu prowadzone przez QSA i skany podatności wykonywane przez ASV. Pomaga też w wypełnianiu SAQ.²² Przy wyborze usługi trzeba odróżnić przygotowanie sklepu od oceny zgodności i badania podatności.

Jak ocenić zakres usługi TÜV SÜD i rolę podmiotu oceniającego?

Zakres usługi TÜV SÜD porównaj z wynikiem, którego potrzebuje sklep. Jeśli sprzedawca ma poziom 1 i sporządza RoC, udział QSA w ocenie różni się od pomocy przy SAQ.

• Określ, czy sklep potrzebuje pomocy w przygotowaniach, oceny zgodności czy badania podatności.
• Wskaż systemy sklepu i usługi operatora, które mają zostać objęte pracą.
• Rozdziel role doradcy, audytora QSA i wykonawcy skanu ASV.
• Ustal, jaki dokument lub wynik prac ma otrzymać sklep.

Jasny zakres pozwala odróżnić pomoc w spełnianiu wymagań od formalnej oceny zgodności.

Obowiązki operatora płatności jako dostawcy usług

Operator płatności zabezpiecza infrastrukturę i procesy objęte usługą świadczoną sklepowi. Jego zgodność z PCI DSS dotyczy tej usługi. Nie obejmuje automatycznie strony internetowej, kont pracowników ani systemów sprzedawcy. Sklep monitoruje status zgodności dostawcy co najmniej raz na 12 miesięcy.

Dokumentacja operatora powinna wskazywać usługi i środowiska objęte oceną. Sklep porównuje je z własną integracją. Ustala, gdzie klient wpisuje dane karty, dokąd one trafiają i którymi elementami płatności sam zarządza.

Podział odpowiedzialności dotyczy także styku środowiska sklepu i operatora. Potwierdzenie zgodności operatora obejmuje jego usługę. Zabezpieczenia, którymi zarządza sklep, wymagają osobnej oceny.

Jak sprawdzić uprawnienia podmiotu oceniającego?

PCI SSC to Payment Card Industry Security Standards Council. Prowadzi wykazy kwalifikowanych podmiotów, w których można zweryfikować uprawnienia wykonawcy oceny PCI DSS. Przed zleceniem prac sklep ustala, czy potrzebuje audytora QSA, wykonawcy skanu ASV czy doradcy. Przy ocenie poziomu 1 znaczenie ma między innymi wymagany coroczny RoC.

• Porównaj pełną nazwę firmy z właściwym wykazem kwalifikowanych podmiotów PCI SSC.
• Sprawdź, czy firma ma kwalifikację odpowiednią do usługi: oceny QSA albo skanowania ASV.
• Przy ocenie QSA zweryfikuj uprawnienia wskazanego audytora i jego powiązanie z firmą wykonującą usługę.
• Porównaj zakres zlecenia z dokumentem, który wykonawca ma przygotować.

Doradztwo PCI DSS samo w sobie nie daje uprawnień do oceny QSA ani skanu ASV. Kwalifikacja wykonawcy musi odpowiadać zamawianej usłudze.

Powiązane usługi: skanowanie ASV i wsparcie w ocenie zgodności

ASV oznacza Approved Scanning Vendor – zatwierdzonego wykonawcę skanów podatności systemów dostępnych z internetu. Skan nie zastępuje oceny zgodności PCI DSS. Sklep wyznacza jego zakres na podstawie systemów objętych oceną. Wynik służy do wykrycia i usunięcia podatności.

Dla sprzedawców na poziomie 4 skany ASV są wskazane, jeśli mają zastosowanie.⁹ Częstotliwość dla poszczególnych poziomów pokazuje tabela.

Dane w tabeli: 9

Wsparcie w ocenie zgodności służy innym zadaniom niż skan ASV. Pomaga ustalić zakres środowiska, podzielić odpowiedzialność za zabezpieczenia i przygotować dokumentację. Skan wykazuje podatności badanych systemów, nie zgodność wszystkich procesów sklepu.

Sklep dobiera skanowanie ASV do zakresu systemów. Wsparcie w ocenie dobiera do potrzeb związanych z dokumentacją.