PCI DSS nedir?
Ödeme Kartı Endüstrisi Veri Güvenliği Standardı
PCI DSS (Payment Card Industry Data Security Standard, ödeme kartı endüstrisi veri güvenliği standardı), kart verisini işleyen, saklayan ya da ileten kuruluşların uyması gereken ve PCI Security Standards Council tarafından yayımlanan güvenlik standardıdır. Ağ güvenliği, erişim kontrolü, şifreleme, izleme ve düzenli testler gibi gereklilikler içerir.
Perakendede nasıl kullanılır
Kartla ödeme alan her perakendeci PCI DSS kapsamındadır; uyum gereklilikleri işlem hacmine ve kart verisine nasıl dokunulduğuna göre değişir. Mağazada ödeme terminali, e-ticarette ödeme sayfası ve kart verisinin geçtiği her sistem kapsamın parçasıdır. Uyum, banka ya da ödeme kuruluşuyla yapılan anlaşmaların şartıdır ve ihlal durumunda ciddi mali sonuçlar doğurabilir.
Nelere dikkat etmeli
- Kapsamı küçültün: Kart verisini hiç görmeyen bir mimari (P2PE, tokenizasyon, ödeme sağlayıcısının barındırdığı ödeme sayfası) uyum yükünü büyük ölçüde azaltır.
- Ağ ayrımı: Kart verisi ortamının diğer ağlardan ayrılması kapsamın tüm şirkete yayılmasını önler.
- Sürekli uyum: PCI DSS yılda bir yapılan bir denetim değil, sürekli işletilen kontrollerdir; kayıtların izlenmesi ve değişiklik yönetimi düzenli yapılmalıdır.
- Güncel sürüm: Standardın 4.0 sürümüyle gelen yeni gereklilikler için geçiş planı yapılmalıdır.
PCI DSS'e yaklaşımın en verimli yolu, "nasıl uyumlu oluruz" yerine "kart verisine nasıl hiç dokunmayız" sorusuyla başlamaktır.
Sık sorulan soru
PCI DSS uyumu yasal bir zorunluluk mudur?
PCI DSS bir kanun değil, kart şemalarının belirlediği bir sektör standardıdır. Ancak kartla ödeme kabul eden işletmeler bankalar ve ödeme kuruluşlarıyla yaptıkları anlaşmalar gereği bu standarda uymakla yükümlüdür. Uyumsuzluk; ceza, ek ücret ve bir ihlal durumunda ağır mali sorumluluk doğurabilir. Bu nedenle perakendede fiilen zorunlu bir standart olarak ele alınır.
Konu: Siber Güvenlik