PCI DSS

Требования PCI DSS распространяются на все организации, которые хранят, передают или обрабатывают данные держателей банковских карт, а также на их сервис-провайдеров. Область соответствия определяется по контуру данных карты (CDE), в который включаются прикладные сервисы, базы данных, сетевое оборудование и персонал, задействованный в обработке PAN.

Чем меньше компонентов попадает в CDE, тем проще обеспечить выполнение требований, поэтому на практике применяются токенизация и изоляция платёжного контура. Подтверждение соответствия выполняется в рамках аттестационных испытаний и регулярных аудитов по методологиям PCI SSC.

PCI DSS 4.0 переходит от жёсткого перечня мер к риск-ориентированному подходу: организации получают возможность применять целевые компенсирующие меры при их утверждении специалистом по безопасности. Усилены требования к многофакторной аутентификации, управлению TLS-конфигурациями и контролю над поставщиками услуг, обрабатывающими карточные данные.

Ужесточается периодичность проверок конфигураций и процедур реагирования на инциденты. Для банковской инфраструктуры это означает необходимость пересмотра процедур управления доступом, журналирования и резервного копирования ещё на этапе проектирования платёжных сервисов.

И токенизация, и хеширование позволяют исключить из платёжного контура данные, на которые распространяются требования стандарта. При токенизации исходный номер карты заменяется случайным токеном, не имеющим смысла вне системы-эмитента, а обратная замена выполняется только внутри защищённого хранилища.

Хеширование даёт детерминированное значение фиксированной длины, используемое для сопоставления данных без их раскрытия. Обе техники уменьшают количество систем, попадающих в CDE, и сокращают объём мероприятий по аттестации и операционному контролю.

Банки-эквайеры и сервис-провайдеры обязаны ежегодно подтверждать соответствие, оформляя отчёт о соответствии (ROC) по результатам оценки квалифицированным оценщиком либо отчёт SAQ для упрощённых сценариев. Раз в квартал выполняется сканирование внешнего периметра уполномоченным вендором ASV.

В течение года организация ведёт операционные процедуры: контроль изменений, анализ журналов событий, реагирование на инциденты и регулярные проверки конфигураций. Результаты этих процедур сохраняются и предъявляются при аудите.

Для эквайрингового банка контур соответствия охватывает процессинговый центр, межбанковские шлюзы, функциональность авторизации транзакций и требует многоуровневой сегментации сети с контролем персонала. Для интернет-эквайринга область уже: обычно это платёжный шлюз, кассовые приложения и сервис возвратов.

Малый бизнес, принимающий оплату картами, как правило, проходит по упрощённой схеме SAQ и обязан работать только с сервисом, сертифицированным по PCI DSS. От этого напрямую зависит распределение ответственности между площадкой и платёжным провайдером.

Хранение первичного номера карты (PAN) допускается только при выполнении набора требований: данные шифруются алгоритмами, одобренными PCI SSC, управление ключами строится на разделении обязанностей и ротации, а доступ к хранилищу ограничивается по принципу минимальных привилегий и фиксируется в журналах.

Если хранение PAN не является функционально необходимым, данные должны маскироваться или заменяться токенами. Обязательны процедуры безопасного уничтожения носителей и контроль целостности архивных копий, иначе среда вновь попадает в площадь оценки соответствия.