Potrzeba zabezpieczenia płatności rośnie wraz z rozwojem technologii

Potrzeba rozwiązań płatniczych zgodnych z PCI powinna być priorytetem dla każdego sprzedawcy, detalisty lub organizacji, która przyjmuje płatności kartą. Od największych korporacyjnych sprzedawców detalicznych po lokalną jadłodajnię na ulicy, każdy sprzedawca, który akceptuje płatności kartą kredytową - zarówno online, jak i offline - jest zobowiązany do przestrzegania wymagań PCI Data Security Standard (DSS).

PCI DDS to zestaw ogólnych praktyk i wytycznych określonych przez PCI Security Standards Council (PCI SSC), organizację non-profit, która zapewnia, że informacje o posiadaczu karty (numer karty, imię i nazwisko, data ważności, numer CVV) są przesyłane, przechowywane i obsługiwane w bezpieczny sposób. PCI SSC określa wymagania techniczne i operacyjne dla każdego dostawcy lub sprzedawcy, który akceptuje lub przetwarza transakcje płatnicze, a także producentów i programistów zaangażowanych w produkcję urządzeń lub aplikacji wykorzystywanych w tych transakcjach.

Sposób, w jaki Twoja firma udowodni zgodność z PCI, będzie zależeć od liczby transakcji przetwarzanych każdego roku oraz od tego, czy jesteś sprzedawcą, czy dostawcą usług.

Poziomy sprzedawców

• Poziom 1: ponad 6 milionów transakcji rocznie; potwierdzone przez coroczny audyt oraz kwartalne skanowanie i testy penetracyjne.
• Poziom 2: od 1 do 6 milionów transakcji rocznie; potwierdzone przez coroczny autotest oraz kwartalne skanowanie i testy penetracyjne.
• Poziom 3: od 20 000 do 1 miliona transakcji rocznie; potwierdzone przez coroczny autotest oraz kwartalne skanowanie i testy penetracyjne.
• Poziom 4: Mniej niż 20 000 transakcji rocznie; potwierdzone przez coroczny autotest oraz kwartalne skanowanie i testy penetracyjne.

Poziomy dostawców usług

• Poziom 1: Ponad 300 000 transakcji rocznie; potwierdzone przez coroczny audyt oraz kwartalne skanowanie i testy penetracyjne.
• Poziom 2: Mniej niż 300 000 transakcji rocznie; potwierdzone przez coroczny autotest oraz kwartalne skanowanie i testy penetracyjne.

Coroczne audyty są bardziej zaangażowane i skomplikowane niż samooceny. Co do zasady, im więcej posiadasz danych posiadaczy kart, tym więcej pracy będziesz musiał wykonać, aby je odpowiednio zabezpieczyć. Jednak dzięki zastosowaniu zweryfikowanych, kompleksowych rozwiązań płatniczych zgodnych ze standardem PCI, będziesz w stanie uprościć listę wymagań dotyczących zgodności z PCI DDS.

Złoty standard w rozwiązaniach płatniczych zgodnych z PCI

Szyfrowanie punkt-punkt (P2PE) i tokenizacja pojawiły się jako dwie opcje bezpieczeństwa płatności, które pomagają zabezpieczyć informacje o karcie kredytowej i ograniczyć ilość danych ujawnianych sprzedawcy. Zdefiniujmy, co każda z nich oznacza i jak ich adaptacja może pomóc złagodzić niektóre presje, z którymi borykają się zwłaszcza sprzedawcy.

P2PE

Szyfruje to (chroni) dane karty płatniczej w punkcie interakcji (POI), np. po włożeniu karty z chipem EMV do czytnika w kasie, aż do momentu dotarcia do bezpiecznego punktu końcowego, w którym są one przetwarzane w celu dokonania płatności, a zatwierdzenie jest zwracane sprzedawcy (tj. płatność zatwierdzona). Szyfrowanie przekształca dane karty w niezrozumiałą formę - każdy, kto przechwyci dane po zaszyfrowaniu, nie powinien mieć możliwości przywrócenia ich do pierwotnej postaci.

Tokenizacja

Tokenizacja zabezpiecza transakcje, zastępując informacje o płatnościach unikalnymi symbolami identyfikacyjnymi, które zachowują wszystkie istotne informacje o danych bez narażania ich bezpieczeństwa. Tokeny te umożliwiają firmom udostępnianie kont klientów, konfigurowanie zaplanowanych płatności i zarządzanie ustawieniami płatności bez konieczności każdorazowego przetwarzania poufnych informacji o posiadaczu karty.

Tokeny wykorzystują do działania klucz publiczny i prywatny. Klucz publiczny umożliwia tworzenie tokenów, podczas gdy klucz prywatny pozwala sprzedawcy na wydawanie pojedynczych lub cyklicznych płatności. Ta forma zabezpieczenia płatności pomaga zapewnić bezpieczne przechowywanie danych posiadaczy kart i zmniejsza liczbę przypadków przesyłania informacji o płatnościach przez Internet.

Tokenizacja zyskuje na popularności. Korzystanie z cyfrowych portfeli i kodów QR to tylko dwa przykłady technologii, które zyskują na popularności. Ponadto tokeny można konfigurować na różne sposoby: Możesz mieć token skonfigurowany ze smartfona, inteligentnego zegarka, a nawet samochodu, który może następnie zapewniać płatności jednemu konkretnemu sprzedawcy lub kilku.

Dlaczego warto korzystać z rozwiązań płatniczych zgodnych z PCI?

Prawidłowo wdrożone rozwiązanie P2PE wymienione na liście PCI SSC - zainstalowane w sposób zgodny z PCI, zgodne z instrukcją PCI i zweryfikowane przez audytora zatwierdzonego przez PCI - oferuje szereg korzyści:

1. Zmniejsza ryzyko utraty danych kart płatniczych: Dane są szyfrowane w punkcie POI i nie można ich odszyfrować w środowisku użytkownika.
2. Zmniejsza zakres oceny PCI DSS: Można uznać, że każdy podłączony system w punkcie sprzedaży, sieć i inne komponenty/urządzenia współdzielące tę sieć są poza zakresem.
3. Upraszcza zgodność z PCI DSS: Mniej obowiązujących wymogów PCI DSS, uproszczona ocena zgodności i potencjalne obniżenie kosztów utrzymania zgodności.

Dla wielu sprzedawców detalicznych wysiłki mające na celu dalsze wdrażanie rozwiązań płatniczych zgodnych z PCI są utrudnione przez ograniczenia budżetowe, stale rozwijającą się technologię płatności - a w ciągu ostatnich dwóch lat przez światową pandemię. Sprzedawcy są proszeni o przetwarzanie płatności kartami na więcej sposobów - w sklepie i online - i nadal muszą być w stanie zabezpieczyć te dane i spełnić wymagania PCI. Wielu z nich musi robić to wszystko przy potencjalnie mniejszym finansowaniu z powodu spowolnienia gospodarczego, które spadło na wszystkich z powodu kwestii związanych z COVID.

Jednak niespełnienie wymogów PCI wiąże się również z wysokimi kosztami. Przykładowo, jeden z głównych amerykańskich sprzedawców detalicznych ujawnił dane płatnicze 70 milionów klientów.

Co się stanie, jeśli nie spełnię wymagań?

W przypadku naruszenia danych, szkody wyrządzone przez niezgodny system płatności mogą być znaczące.

• Grzywny: Po naruszeniu, niezgodne z przepisami strony internetowe mogą zostać zmuszone do zapłacenia wysokich grzywien przez organy regulacyjne.

• Zawieszenie kart kredytowych: Jeśli dojdzie do naruszenia danych, organy regulacyjne PCI mogą cofnąć możliwość przyjmowania płatności kartami kredytowymi.

• Obowiązkowe badanie kryminalistyczne: Możesz być zobowiązany do poddania się kosztownemu i czasochłonnemu badaniu kryminalistycznemu z zatwierdzonym PCI Forensic Investigator (FSI)

• Odpowiedzialność za zarzuty oszustwa: Istnieje możliwość, że zostaniesz pociągnięty do odpowiedzialności w procesie o oszustwo, jeśli poufne dane Twoich klientów zostały skradzione

• Koszty wymiany karty kredytowej: Koszty ponownego wydania kart kredytowych (w tym koszty wysyłki, komunikacji i aktywacji) mogą zostać przeniesione na użytkownika przez wydawców kart

• Powiadamianie i monitorowanie zdolności kredytowej: Możesz być zobowiązany do poinformowania wszystkich klientów o naruszeniu bezpieczeństwa, a także do zapewnienia poszkodowanym klientom usług monitorowania zdolności kredytowej

• Ponowna ocena zgodności ze standardem PCI: Wreszcie, może być konieczne przeprowadzenie pełnej ponownej oceny PCI w celu odzyskania możliwości akceptowania kart kredytowych

TRG dostarcza rozwiązania z zakresu bezpieczeństwa płatności

W TRG jesteśmy zaangażowani w "upraszczanie technologii" - szczególnie w zakresie mobilności przedsiębiorstw, punktów sprzedaży i rozwiązań do przetwarzania płatności. Bezpieczeństwo płatności TRG jest wspierane przez MRK Technologies, siostrzaną firmę TRG pod parasolem TruWest Companies. MRK Technologies wnosi dziesięciolecia doświadczenia oraz ludzi, procesy i procedury, aby zapewnić niezrównane wyniki.
Nasze połączone portfolio doświadczeń i wiedzy specjalistycznej zapewnia nam referencje do wdrażania rozwiązań płatniczych zgodnych z PCI, których potrzebujesz:

• Certyfikowany dostawca rozwiązań PCI P2PE

• Personel QIR i CTGA w sztabie

• Certyfikat PCI PIN ANSI TR-39 poziom 3

• Zarejestrowane ESO, sponsorowane przez Wells Fargo i Bank of America

• Zatwierdzony dostawca usług przez VISA®

• Członek Rady Standardów Bezpieczeństwa PCI

• Funkcja wstrzykiwania klucza terminala płatniczego

TRG działa również jako rozszerzenie Twojego zespołu, zapewniając pakiet rozwiązań do monitorowania, doradzania, ostrzegania i reagowania na zagrożenia bezpieczeństwa informacji 24/7/365. TRG to nie tylko rekomendacje i sugestie dotyczące produktów bezpieczeństwa - to bezpośredni dostęp do zbiorowej wiedzy i doświadczenia naszych doświadczonych specjalistów ds. bezpieczeństwa informacji.

Dzięki najbardziej kompleksowemu w branży pakietowi usług zarządzania cyklem życia, oferujemy inne usługi, takie jak wsparcie Unified Endpoint Management (UEM), aby pomóc w pełni zoptymalizować program mobilności przedsiębiorstwa w szerokim zakresie urządzeń i systemów operacyjnych. Nasze usługi Onsite są dostosowane do wymagań każdego klienta i są wspierane przez naszych doświadczonych techników.

Skontaktuj sięz TRG, aby dowiedzieć się więcej o wdrażaniu rozwiązań płatniczych zgodnych z PCI w celu ochrony danych posiadaczy kart i skutecznego przeprowadzania ocen zgodności.