PCI DSS

Что это и кто его ведет

PCI DSS (Payment Card Industry Data Security Standard) разработан Советом по стандартам безопасности PCI (PCI SSC), который создали платежные системы Visa, Mastercard, American Express, Discover и JCB. Стандарт описывает технические и организационные требования к защите данных держателей карт: номера карты (PAN), срока действия, CVV2 и связанных данных.

Как это работает

Стандарт не является законом. Обязательность возникает из договоров: эквайрер или PSPPSPПлатёжный провайдер: принимает платежи от клиентов и переводит деньги мерчанту. включает требование соответствия PCI DSS в условия подключения, а платежные системы устанавливают его через правила схем. Структура построена вокруг 12 требований, сгруппированных в шесть целей: сеть и её защита, защита данных, управление уязвимостями, контроль доступа, мониторинг и тестирование, политика информационной безопасности.

Где встречается в рисковых вертикалях

В финтехе и платежах PCI DSS касается эмитентовБанк-эмитентБанк-эмитент — банк, который выпускает платежную карту клиенту, ведет его счет и решает, одобрить ли операцию по карте. Противоположная сторона платежа — банк-эквайер, обслуживающий продавца., процессоров, PSP и мерчантовМерчант-аккаунтСчёт компании у эквайера или PSP, через который она принимает оплату.. В гемблинге и беттинге он актуален для онлайн-казиноОнлайн-казиноОнлайн-казино — игровая платформа в интернете, где пользователи делают ставки на азартные игры с выплатами на деньги или эквивалент, обычно через сайт или приложение. и букмекеровБукмекерБукмекер — организация или сервис, который принимает ставки на исход спортивных и иных событий и рассчитывает коэффициенты, зарабатывая на марже между ними., которые принимают депозитыДепозитДепозит — перевод денег от игрока или клиента на его счёт у оператора казино, букмекера или биржи, после которого средства доступны для ставок и торговли. и выплаты картами. Здесь часто возникает вопрос: кто отвечает за хранение данных — сам оператор или платежный провайдер с хостед-страницей ввода.

Как объем требований зависит от архитектуры

Чем меньше систем соприкасается с данными карт, тем меньше область аудита. Если карточные данные вводятся на странице провайдера и не проходят через инфраструктуру оператора, применяется упрощенный опросник самооценки (например, SAQ A). Если оператор сам принимает, хранит или передает PAN, область аудита охватывает всю связанную инфраструктуру и обычно требует внешней проверки квалифицированным аудитором (QSA).

Частые ошибки

Типичные проблемы: логирование полных номеров карт в отладочных логах, хранение CVV после авторизации, отсутствие сегментации сети между платежным модулем и остальными сервисами, просроченные сканирования уязвимостей, использование общих учетных записей администраторов. Отдельная ошибка — считать, что соответствие PCI DSS у провайдера автоматически распространяется на весь магазин или казино: ответственность за собственные системы остается за оператором.