PCI DSS — wymagania dla sklepu przyjmującego karty

PCI DSS to międzynarodowy standard ochrony danych kart płatniczych i ich posiadaczy. Ustanowiła go organizacja PCI Security Standards Council (PCI SSC).¹ Standard dotyczy firm, które przechowują, przetwarzają lub przesyłają dane kartowe. Obejmuje więc także sklepy stacjonarne i internetowe przyjmujące karty.¹

Co zgodność z PCI DSS oznacza dla płacącego i małej firmy? Odpowiedź zależy przede wszystkim od tego, którędy wędrują dane karty. PCI SSC powstała w 2006 roku z inicjatywy pięciu organizacji kartowych².

Czym jest PCI DSS i jakie dane obejmuje?

Standard określa zasady ochrony danych kart używanych przy płatnościach. Mała firma powinna najpierw ustalić, czy dane trafiają do jej systemów, czy bezpośrednio do dostawcy płatności.
PCI DSS obejmuje systemy przechowujące, przetwarzające lub przesyłające dane kartowe. Dotyczy również systemów, które mogą wpływać na bezpieczeństwo tych danych³.

Co reguluje PCI DSS przy płatnościach kartą?

PCI DSS określa, jak chronić dane karty podczas przechowywania, przetwarzania i przesyłania. Obowiązki sklepu zależą od przebiegu transakcji. Dane mogą przechodzić przez systemy firmy albo trafiać wprost do dostawcy płatności⁴.

Po co powstał standard ochrony danych kart?

PCI DSS powstał, by podmioty obsługujące karty stosowały wspólne zasady ochrony danych. Odpowiedzialna za standard organizacja PCI SSC została założona w 2006 roku.¹ Dzięki wspólnym wymaganiom można oceniać bezpieczeństwo płatności zarówno w sklepie internetowym, jak i stacjonarnym.

Kogo dotyczą wymagania PCI DSS: sklep, bramkę czy operatora?

PCI DSS dotyczy sklepu, bramki i operatora w zakresie ich udziału w obsłudze danych kartowych. Zewnętrzna bramka nie zwalnia sklepu z własnych obowiązków. Wymaganie 12.8.2 przewiduje pisemną umowę. Dostawca potwierdza w niej odpowiedzialność za bezpieczeństwo danych kartowych obsługiwanych na rzecz sklepu³.

Tabela pokazuje role sklepu, bramki i operatora na drodze danych karty.

Sklep musi oddzielić obowiązki dostawcy wobec jego systemów od obowiązków dotyczących własnej strony. Znaczenie ma też sposób przyjmowania płatności. Wymaganie 12.8.5 nakazuje udokumentować, które wymagania spełnia dostawca, które sklep, a które obie strony wspólnie³.

Jakie obszary ochrony obejmuje 12 wymagań standardu?

PCI DSS grupuje 12 głównych wymagań w 6 obszarach bezpieczeństwa.¹ Obejmują one ochronę systemów i danych kart, zarządzanie podatnościami oraz kontrolę dostępu. Dotyczą również monitorowania, testowania zabezpieczeń i polityki bezpieczeństwa informacji. Wymaganie 6.3.3 nakazuje na przykład instalować poprawki krytycznych podatności w ciągu miesiąca od ich udostępnienia³.

Dane kart trzeba chronić zarówno podczas przechowywania, jak i transmisji przez otwarte sieci. Wymagania obejmują też dostęp do systemów oraz ich monitorowanie.¹ Dla płacącego oznacza to ochronę danych również po opuszczeniu formularza płatności. Wymaganie 4.2.1 dotyczy ochrony numeru karty, czyli PAN, przesyłanego przez otwarte sieci publiczne za pomocą silnej kryptografii³.

Czym jest zgodność z PCI DSS dla płacącego i małej firmy?

Zgodność z PCI DSS oznacza ochronę danych kart w tej części płatności, za którą odpowiada firma. Płacącego interesuje bezpieczeństwo całej drogi danych. Mała firma musi zadbać także o codzienne korzystanie z urządzeń płatniczych. Wymaganie 9.5.1 obejmuje ochronę urządzeń przyjmujących dane z fizycznie użytej karty przed manipulacją i nieuprawnioną podmianą³.

Co wymagania standardu oznaczają w codziennej obsłudze płatności?

PCI DSS wpływa nie tylko na zabezpieczenia systemów, lecz także na pracę osób obsługujących płatności. Pracownicy powinni używać terminala zgodnie z procedurami. Muszą też reagować na oznaki ingerencji w urządzenie. Wymaganie 9.5.1.2 przewiduje okresowe sprawdzanie powierzchni terminali pod kątem śladów ingerencji lub nieuprawnionej podmiany³.

Jak PCI DSS pomaga chronić dane karty podczas płatności?

Terminal POS służy do przyjmowania płatności kartą w punkcie sprzedaży. Trzeba chronić go również podczas zwykłej pracy. PolCard from Fiserv wskazuje praktyki związane z PCI DSS opisane poniżej. Wymaganie 9.5.1.1 nakazuje prowadzić aktualną ewidencję terminali: ich marki, modelu, lokalizacji oraz numeru seryjnego lub innego unikalnego identyfikatora³.

• Dostęp do terminala POS powinny mieć wyłącznie osoby uprawnione.¹
• Kontrola terminala POS polega na szukaniu śladów ingerencji w urządzenie.¹
• Szkolenie pracowników przygotowuje osoby obsługujące płatności do ochrony terminala.¹

Terminal POS jest częścią procesu płatności. Jego ochrona ogranicza ryzyko, że do urządzenia uzyska dostęp osoba nieuprawniona¹.

Co może oznaczać naruszenie zasad ochrony danych kart?

Brak zgodności z PCI DSS może oznaczać opłaty naliczane przez organizacje płatnicze lub instytucje finansowe.¹ W razie naruszenia trzeba też ustalić, których danych dotyczy problem. Firma powinna określić również objęte nim procesy płatnicze. Zgodnie z wymaganiem 12.10.2 plan reagowania na incydenty bezpieczeństwa należy testować co najmniej raz na 12 miesięcy³.

Co oznacza skrót PCI DSS?

PCI DSS oznacza Payment Card Industry Data Security Standard, czyli standard bezpieczeństwa danych branży kart płatniczych. Nazwa odnosi się do danych używanych przy płatności, nie do rodzaju karty klienta. PCI SSC powołało wspólnie pięć marek płatniczych: American Express, Discover, JCB, Mastercard i Visa².

Dokumenty i ramy bezpieczeństwa przy ocenie płatności kartą

PCI DSS stanowi podstawę oceny ochrony danych kart. Dokumenty PCI SSC pomagają sklepowi ustalić, jak wykazać zgodność. Ramy zarządzania ryzykiem, takie jak NIST CSF, mają inny cel i nie zastępują wymagań kartowych. Do SAQ A kwalifikują się sprzedawcy, którzy całkowicie powierzyli obsługę danych kartowych dostawcom o potwierdzonej zgodności z PCI DSS⁵.

Które dokumenty PCI SSC pomagają zrozumieć obowiązki sklepu?

PCI SSC udostępnia treść standardu oraz kwestionariusze SAQ, czyli formularze samooceny zgodności. Standard opisuje wymagania. SAQ pomaga odnieść je do sposobu przyjmowania kart przez sklep. PCI SSC opublikowała PCI DSS v4.0.1 jako ograniczoną rewizję PCI DSS v4.0.⁶ Wersję PCI DSS v4.0.1 opublikowano 11 czerwca 2024 roku⁷.

Jak odróżnić wymagania PCI DSS od ram NIST CSF?

PCI DSS dotyczy ochrony danych kart podczas płatności. NIST CSF porządkuje z kolei zarządzanie ryzykiem cyberbezpieczeństwa w organizacji. Sklep przyjmujący karty ocenia obowiązki kartowe według PCI DSS, a NIST CSF może użyć do szerszego planowania zabezpieczeń. Samo stosowanie NIST CSF nie potwierdza zgodności z PCI DSS. NIST CSF 2.0 wyróżnia sześć funkcji: Govern, Identify, Protect, Detect, Respond i Recover⁸.

Płatności kartowe w B2B: korzyści i obowiązki firmy

Firma B2B może przyjmować zapłatę kartą od kontrahenta. Jako akceptant musi wtedy uwzględnić wymagania PCI DSS dotyczące własnego sposobu obsługi płatności. Zakres tych wymagań zależy od działalności firmy i używanych rozwiązań płatniczych.¹

Co firma zyskuje, a co musi zrobić, przyjmując karty?

Firma przyjmująca karty daje kontrahentowi dodatkowy sposób zapłaty. Odpowiada przy tym za ochronę danych w swojej części procesu. Jeśli nie chce obsługiwać danych karty we własnych systemach, musi zwrócić uwagę na sposób przekazania płatności dostawcy. Dodatkowa metoda zapłaty nie znosi obowiązków akceptanta.

Dlaczego zgodność ma znaczenie także przy płatnościach między firmami?

PCI DSS dotyczy danych kartowych również wtedy, gdy kartą płaci firma. Status kontrahenta nie zmienia rodzaju danych używanych przy transakcji. Sprzedawca B2B ocenia więc drogę danych karty, a nie to, czy kupującym jest konsument.

Jak sposób przyjmowania kart wpływa na zakres obowiązków firmy B2B?

Firma B2B ustala obowiązki na podstawie drogi danych karty. Gdy płatność kieruje na stronę dostawcy, odróżnia jego systemy od własnej strony sprzedażowej. Przy płatności przez urządzenie w firmie bierze pod uwagę także dostęp pracowników. Taka analiza pokazuje, które części procesu pozostają pod kontrolą akceptanta⁹.

Gdzie firma B2B znajdzie materiały pomocne w ocenie zgodności?

Firma B2B może sięgnąć do dokumentów PCI SSC oraz opisu usługi od dostawcy płatności. Standard i kwestionariusz SAQ pomagają ustalić wymagania. Opis usługi pokazuje natomiast, jakie czynności wykonuje dostawca. Na tej podstawie firma przypisuje odpowiedzialność za poszczególne części płatności.

Od kwestionariusza do potwierdzenia zgodności z PCI DSS

Firma potwierdza zgodność z PCI DSS przez spełnienie wymagań i przygotowanie odpowiedniej dokumentacji. Jej rodzaj zależy od sposobu przyjmowania kart.¹ Organizacje płatnicze opisują 4 poziomy zgodności. Na rodzaj oceny wpływa między innymi wolumen transakcji.¹⁰

Jak wypełnić kwestionariusz SAQ dla sposobu przyjmowania kart?

Kwestionariusz samooceny SAQ wypełnia się według rzeczywistego sposobu obsługi danych karty. Sama nazwa bramki lub terminala nie wystarczy. Firma opisuje kanały płatności i ustala, czy jej systemy mają kontakt z danymi kartowymi. Następnie odpowiada na pytania właściwego formularza. Dobór SAQ zależy od sposobu przyjmowania kart i używanych rozwiązań płatniczych.¹

Wypełniony formularz firma przekazuje agentowi rozliczeniowemu. To podmiot obsługujący rozliczenia płatności akceptanta.¹

Jak sprawdzić zakres odpowiedzialności sklepu i dostawcy płatności?

Sklep ustala najpierw, gdzie klient wpisuje dane karty. Następnie sprawdza, czy dane przechodzą przez jego systemy i którą część procesu obsługuje dostawca. Dokumentacja usługi pomaga przypisać dostawcy konkretne czynności. Jego zgodność nie potwierdza jednak zgodności całego sklepu.

PayU podaje, że bezpieczeństwo danych kart płatniczych w firmie jest sprawdzane podczas corocznych audytów zewnętrznych.¹¹ To informacja o audycie dostawcy. Nie zastępuje oceny własnego środowiska akceptanta.

Jak przygotować małą firmę do oceny zgodności krok po kroku?

Mała firma zaczyna od spisania kanałów płatności kartą i systemów uczestniczących w transakcji. Potem przypisuje czynności sklepowi oraz dostawcy. Wybiera też właściwy rodzaj oceny i zbiera dokumenty potwierdzające odpowiedzi. Jeśli przyjmuje karty w różnych środowiskach, może wypełnić SAQ dla poszczególnych kanałów albo jeden ogólny SAQ D for Merchants.¹

Programy Visa TIP i Mastercard Validation Exemption Program mogą zwolnić zakwalifikowanych akceptantów z corocznego przesyłania dokumentów zgodności. Nie zwalniają ich ze stosowania PCI DSS.¹ Wśród wskazanych kryteriów są co najmniej 75% transakcji kartowych przez terminale POS i nieprzechowywanie danych kartowych. Wymagane są także 3 lata bez wycieku danych.^1,12

Jak ustalić właściwy SAQ lub rodzaj oceny zgodności?

SAQ dobiera się do sposobu obsługi płatności. O potrzebie audytu decydują zasady potwierdzania zgodności właściwe dla firmy. Wyróżniono 9 rodzajów SAQ dla akceptantów oraz 1 dla dostawców usług płatniczych – łącznie 10 rodzajów.¹

Tabela zestawia wskazane formularze dla akceptantów z warunkami ich zastosowania.

Dane w tabeli: 1

Firmy z wolumenem powyżej wskazanego progu potwierdzają zgodność audytem wykonanym przez QSA oraz dokumentem PCI DSS AoC. QSA to niezależna organizacja zakwalifikowana przez PCI SSC do weryfikacji zgodności.^1,13 Dokument AoC trafia również do agenta rozliczeniowego.¹ Zwolnienie z przesyłania dokumentów nie zwalnia z ochrony danych karty.

Audyt płatności kartowych a zakres usług eService

eService może pomóc sklepowi ocenić zgodność w zakresie swoich usług. Certyfikacja dostawcy nie potwierdza jednak zgodności sklepu. eService deklaruje posiadanie certyfikatu PCI DSS. Aktualność certyfikacji usług można zweryfikować w Visa Global Registry of Service Providers.¹⁰

Jak ustalić, w czym usługi eService mogą pomóc przy ocenie zgodności?

Sklep powinien porównać zakres usług eService z przebiegiem płatności kartą. Chodzi o ustalenie, co obsługuje dostawca, a co pozostaje po stronie sklepu:¹⁴

• Usługa eService obejmuje określoną część procesu płatności. Jej zakres trzeba odnieść do używanego rozwiązania⁹.
• Wpis w rejestrze Visa pozwala zweryfikować aktualność certyfikacji usług dostawcy.
• Systemy sklepu wymagają osobnej oceny, jeśli uczestniczą w obsłudze płatności kartą.

Certyfikat dostawcy dotyczy jego usług. Nie obejmuje automatycznie całego procesu sprzedaży sklepu.

Komunikaty, szkolenia i wydarzenia PCI SSC

PCI SSC publikuje informacje o standardach, szkoleniach i wydarzeniach związanych z bezpieczeństwem płatności. Nie wszystkie materiały są skierowane do akceptantów. Mała firma powinna odróżniać wskazówki dotyczące ochrony danych kart od materiałów dla twórców oprogramowania płatniczego.

Czego dotyczy wersja 2.0 standardu Secure Software Lifecycle?

Secure Software Lifecycle w wersji 2.0 dotyczy bezpiecznego tworzenia i utrzymywania oprogramowania płatniczego. Jest skierowany przede wszystkim do podmiotów, które rozwijają takie oprogramowanie. Sklep używający gotowego rozwiązania nie powinien traktować go jako zamiennika wymagań PCI DSS.

Jakie szkolenia PCI SSC mogą pomóc zrozumieć wymagania?

Szkolenia PCI SSC poświęcone PCI DSS pomagają osobom odpowiedzialnym za płatności zrozumieć wymagania. Firma dobiera temat szkolenia do swojej roli. Akceptant potrzebuje wiedzy o własnych obowiązkach, a osoba oceniająca zgodność – o jej dokumentowaniu. Sam udział w szkoleniu nie potwierdza zgodności firmy.

Gdzie śledzić nadchodzące wydarzenia PCI SSC?

PCI SSC ogłasza wydarzenia i aktualizacje w oficjalnych komunikatach oraz kalendarzu wydarzeń. Firma może dzięki nim śledzić zmiany dotyczące płatności kartowych. Znajdzie tam również informacje o dostępnych spotkaniach edukacyjnych. Sam komunikat o wydarzeniu nie zmienia obowiązków sklepu.