De noodzaak om betalingen te beveiligen groeit met technologische verbeteringen

De noodzaak van PCI compliant betaaloplossingen zou een prioriteit moeten zijn voor elke verkoper, detailhandelaar of organisatie die kaartbetalingen accepteert. Van de grootste bedrijven tot de lokale eetgelegenheid in de straat, elke winkelier die creditcardbetalingen accepteert - zowel online als offline - moet voldoen aan de PCI Data Security Standard (DSS) vereisten.

De PCI DDS is een verzameling algemene praktijken en richtlijnen die zijn opgesteld door de PCI Security Standards Council (PCI SSC), een non-profitorganisatie die ervoor zorgt dat kaarthouderinformatie (kaartnummer, naam, vervaldatum, CVV-nummer) veilig wordt verzonden, opgeslagen en verwerkt. PCI SSC legt de technische en operationele vereisten vast voor elke verkoper of handelaar die betalingstransacties accepteert of verwerkt, maar ook voor fabrikanten en ontwikkelaars die betrokken zijn bij de productie van apparaten of applicaties die bij deze transacties worden gebruikt.

Hoe uw bedrijf PCI compliance aantoont hangt af van het aantal transacties dat u jaarlijks verwerkt en of u een handelaar of dienstverlener bent.

Handelsniveaus

• Niveau 1: meer dan 6 miljoen transacties per jaar; gevalideerd door jaarlijkse audit, plus driemaandelijkse scans en penetratietests
• Niveau 2: 1 tot 6 miljoen transacties per jaar; gevalideerd door jaarlijkse zelftest, plus driemaandelijkse scans en penetratietests
• Niveau 3: 20.000 tot 1 miljoen transacties per jaar; gevalideerd door jaarlijkse zelftest, plus driemaandelijkse scans en penetratietests
• Niveau 4: minder dan 20.000 transacties per jaar; gevalideerd door jaarlijkse zelftest, plus driemaandelijkse scans en penetratietests

Serviceprovider niveaus

• Niveau 1: meer dan 300.000 transacties per jaar; gevalideerd door jaarlijkse audit, plus driemaandelijkse scans en penetratietests
• Niveau 2: minder dan 300.000 transacties per jaar; gevalideerd door jaarlijkse zelftest, plus driemaandelijkse scans en penetratietests

Jaarlijkse audits zijn ingewikkelder dan zelfevaluaties. Als algemene regel geldt: hoe meer kaarthoudergegevens u hebt, hoe meer werk u moet doen om deze goed te beveiligen. Door echter gevalideerde end-to-end PCI compliant betaaloplossingen te integreren, kunt u uw lijst met vereisten stroomlijnen om aan PCI DDS te voldoen.

De gouden standaard in PCI compliant betalingsoplossingen

P2PE (Point-to-point encryption) en tokenization zijn naar voren gekomen als twee opties voor betalingsbeveiliging die helpen creditcardgegevens veilig te houden en de hoeveelheid gegevens die wordt blootgesteld aan de winkelier te beperken. Laten we eens definiëren wat elk van deze opties inhoudt en hoe ze kunnen helpen om de druk waarmee winkeliers te maken hebben te verlichten.

P2PE

Dit versleutelt (beschermt) betaalkaartgegevens op het point of interaction (POI) apparaat, zoals wanneer je je EMV-chipkaart in een lezer steekt zoals bij de kassa, totdat het het beveiligde eindpunt bereikt waar het wordt verwerkt voor betaling en validatie wordt teruggestuurd naar de winkelier (d.w.z. betaling goedgekeurd). Encryptie zet de kaartgegevens om in een onleesbare vorm - iedereen die de gegevens onderschept na de encryptie zou niet de middelen moeten hebben om de gegevens terug te zetten in de oorspronkelijke vorm.

Tokenisatie

Tokenization beveiligt transacties door betalingsinformatie te vervangen door unieke identificatiesymbolen die alle essentiële informatie over de gegevens behouden zonder de veiligheid in gevaar te brengen. Met deze tokens kunnen bedrijven klantenaccounts aanmaken, geplande betalingen instellen en betalingsinstellingen beheren zonder telkens gevoelige kaarthouderinformatie te moeten verwerken.

Tokens werken met een publieke en private sleutel. Met de publieke sleutel kan een token worden aangemaakt en met de privésleutel kan de winkelier eenmalige of terugkerende betalingen doen. Deze vorm van betalingsbeveiliging zorgt ervoor dat kaarthoudergegevens veilig worden opgeslagen en vermindert het aantal keren dat betalingsinformatie via het internet wordt verzonden.

Tokenization wint aan populariteit. Het gebruik van digitale portemonnees en QR-codes zijn slechts twee voorbeelden van de technologie in actie die aan populariteit wint. Je kunt tokens op verschillende manieren instellen: Je kunt een token instellen vanaf je smartphone, een smartwatch of zelfs je auto, waarmee je betalingen kunt doen aan één specifieke leverancier of meerdere.

Waarom zou ik PCI-compliant betaaloplossingen gebruiken?

Bij een juiste implementatie biedt het gebruik van een P2PE-oplossing die op de PCI SSC-lijst staat - geïnstalleerd op de PCI-manier, volgens de PCI-handleiding en doorgelicht door een PCI-erkende auditor - verschillende voordelen:

1. Verlaagt het risico op verlies van betaalkaartgegevens: Gegevens worden versleuteld bij de POI en kunnen niet worden ontsleuteld in uw omgeving
2. Verkleint de reikwijdte van uw PCI DSS-beoordeling: U kunt elk aangesloten kassasysteem, uw netwerk en andere componenten/apparaten die dat netwerk delen, beschouwen als buiten het bereik vallend.
3. Vereenvoudigt PCI DSS compliance: Minder toepasselijke PCI DSS vereisten, vereenvoudigde nalevingsbeoordeling en een potentiële verlaging van de kosten voor het handhaven van de naleving.

Voor veel winkeliers worden de inspanningen om PCI-compliant betalingsoplossingen te blijven implementeren belemmerd door budgetbeperkingen, voortdurend evoluerende betalingstechnologie - en in de afgelopen twee jaar, de wereldwijde pandemie. Handelaren worden gevraagd om kaartbetalingen op meer manieren te verwerken - in de winkel en online - en moeten nog steeds in staat zijn om die gegevens te beveiligen en aan de PCI vereisten te voldoen. Velen moeten dat allemaal doen met mogelijk minder financiële middelen vanwege de economische neergang die iedereen te verduren krijgt door COVID-gerelateerde problemen.

Maar niet voldoen aan PCI-compliance brengt ook hoge kosten met zich mee. Zo stelde een grote Amerikaanse retailer de betalingsgegevens van 70 miljoen klanten bloot.

Wat gebeurt er als ik me niet aan de regels houd?

In het geval van een datalek kan de schade als gevolg van een niet-compliant betalingssysteem aanzienlijk zijn.

• Boetes: Na een inbreuk kunnen niet-compliant websites door toezichthouders worden gedwongen om hoge boetes te betalen.

• Schorsing van creditcards: Als u te maken krijgt met een datalek, kunnen PCI-regulatoren uw vermogen om creditcardbetalingen te accepteren intrekken.

• Verplicht forensisch onderzoek: U kunt verplicht worden om een duur en tijdrovend forensisch onderzoek te ondergaan bij een goedgekeurde PCI Forensic Investigator (FSI).

• Aansprakelijkheid voor beschuldigingen van fraude: Het is mogelijk dat u aansprakelijk bent in een fraudezaak als de gevoelige gegevens van uw klanten zijn gestolen.

• Kosten voor het vervangen van creditcards: De kosten voor het opnieuw uitgeven van creditcards (inclusief verzending, communicatie en activering) kunnen door de kaartuitgever aan u worden doorberekend.

• Kennisgeving en kredietbewaking: U kunt verplicht worden om alle klanten op de hoogte te stellen van een inbreuk op de beveiliging en om getroffen klanten kredietbewakingsdiensten aan te bieden.

• Herbeoordeling voor PCI-compliance: Tot slot moet u mogelijk een volledige PCI-herbeoordeling ondergaan om weer creditcards te kunnen accepteren.

TRG levert beveiligingsoplossingen voor betalingen

Bij TRG zijn we toegewijd aan 'Making Technology Simple' - specifiek binnen bedrijfsmobiliteit, point of sale en betalingsverwerkingsoplossingen. De betalingsbeveiliging van TRG wordt verzorgd door MRK Technologies, een zusterbedrijf van TRG onder de paraplu van TruWest Companies. MRK Technologies beschikt over tientallen jaren ervaring en de mensen, processen en procedures om ongeëvenaarde resultaten te leveren.
Onze gecombineerde portfolio van ervaring en expertise geeft ons de geloofsbrieven om de PCI compliant betalingsoplossingen te implementeren die u nodig heeft:

• Gecertificeerd PCI P2PE leverancier van oplossingen

• QIR- en CTGA-personeel

• PCI gecertificeerd voor ANSI TR-39 niveau 3

• Geregistreerd ESO, gesponsord door Wells Fargo en Bank of America

• Gevalideerde dienstverlener via VISA®

• Lid van de PCI Security Standards Council

• Sleutelinjectiefaciliteit voor betaalterminal

TRG werkt ook als een verlengstuk van uw team om een reeks oplossingen te bieden voor het 24/7/365 bewaken, adviseren, waarschuwen en reageren op bedreigingen voor de informatiebeveiliging. Met TRG krijgt u niet alleen aanbevelingen en suggesties voor beveiligingsproducten - u krijgt direct toegang tot de collectieve expertise en ervaring van onze doorgewinterde informatiebeveiligingsprofessionals.

Met de meest uitgebreide suite van lifecycle management diensten in de industrie, bieden wij andere diensten zoals onze Unified Endpoint Management (UEM) Support om u te helpen uw bedrijfsmobiliteitsprogramma volledig te optimaliseren over een breed scala van apparaten en besturingssystemen. Onze Onsite Services zijn toegesneden op de eisen van elke klant en worden ondersteund door onze deskundige technici.

Neemcontact op met TRG voor meer informatie over het implementeren van PCI compliant betaaloplossingen om kaarthoudergegevens te beschermen en efficiënt uw compliance assessments uit te voeren.