Betaalkaartbedryf – Data Security Standards (PCI-DSS) is 'n wye reeks vereistes wat deur die PCI Security Security Standards Council aanvaar is, en dit is bedoel om konsekwente maatreëls vir datasekuriteit by alle aanlyn handelaars te verseker. Die PCI Veiligheidsstandaarderaad (PCI SSC) sluit JCB International, American Express, Discover Financial Services, VISA en MasterCard wêreldwyd in. Enige aanlyn handelaar wat betalings deur groot kredietkaartondernemings aanvaar, is gebonde aan die PCI-DSS-vereistes.
Die bereiking en handhawing van nakoming kan 'n senuweeagtigende ervaring wees, selfs vir groot aanlynondernemings, laat staan ​​nog klein handelaars. Maar die duur gevolge van die oortreding van data en die versuim om aan die nakomingsvereistes te voldoen, is dit noodsaaklik vir aanlyn-diensverskaffers om te verseker dat hul kliënte veilig handel dryf.
In hierdie artikel bespreek ons ​​enkele van die belangrikste vereistes vir PCI-nakoming en hoe om dit te vind beste PCI-webwerwe wat voldoen om u PCI-nakomingstrategie beter te bestuur.
1 Wat beteken dit om aan PCI-voldoen te wees??
2 Hoe u die beste webhosting vir PCI-vereistes kan vind
2.1 Bespreek PCI-nakomingskomponente wat deur u gasheer onderneem word
2.2 Kry meer besonderhede oor elke komponent
2.3 Kyk na ondersteuning
Wat beteken dit om aan PCI-voldoen te wees??
PCI-nakoming is 'n moet vir alle e-handelsondernemings wat kredietkaart aanvaar, ongeag inkomste en omvang van transaksies. Daarom sal hierdie twee faktore nie bepaal of u moet hou by die datasekerheidsreëls wat deur die PCI SSC uiteengesit word nie, aangesien die kleinste e-handelsonderneming wat kredietkaart aanvaar, gebonde is aan die PCI-DSS-standaarde; die aantal krediet- / debietkaarttransaksies wat u besigheid jaarliks ​​verwerk, sal egter bepaal watter van die vier vlakke van voldoening u moet bereik. Vlak 1 het die grootste probleme met voldoening, en dit is 'n sekuriteitstandaard wat bereik moet word deur e-handelsondernemings wat meer as 6.000.000 krediet- of debietkaarte oor 'n tydperk van 12 maande verwerk. Aan die ander kant het vlak 4 die laagste probleme met voldoening, en dit handel oor aanlynondernemings wat jaarliks ​​minder as 20 000 kredietkaarttransaksies verwerk.
Alhoewel die PCI-DSS-standaarde wat deur die PCI SSC gedefinieër is, nie 'n wet is nie, word die kredietondernemings self deur die kredietondernemings nagekom. Ondernemings wat oortree, kan aansienlike boetes verwag ($ 5,000 – $ 100,000 per maand) en boetes (verlies van die reg om kredietkaartbetalings te verwerk, verhoging in verwerkingsgelde per transaksie, betaling van kredietkaarte wat weens die oortreding gekompromitteer is, verhoog 'n vlak van voldoening, ens.) Hierdie boetes en boetes kan katastrofies wees vir 'n onderneming, en nie te praat van die verlies aan reputasie wat 'n onderneming kan ly as gevolg van 'n oortreding nie..
Alhoewel die standaarde wat deur die PCI SSC gedefinieër en gehandhaaf word, uiteindelik daarop neerkom om die kaarthouer-data te beveilig, is die bereiking van PCI-nakoming baie padblokkades vir die gemiddelde aanlynhandelaar.
Hier is, in 'n neutedop, die vereistes vir PCI-nakoming gedek in die volledige PCI DSS-standaarde waaraan aanlyn-diensverskaffers moet voldoen:
Die bou en instandhouding van 'n veilige netwerk, wat firewall- en router-konfigurasies behels, toetsing met betrekking tot hierdie, frekwensie van toetsing en veilige wagwoordbestuur;
Die beskerming van kaarthouerdata deur die definisie van opbergings-, databewaring- en datagebruikparameters en koderingsvereistes, sowel as die implementering van kodering- en sekuriteitsprotokolle (SSL / TLS, SSH of IPSec) om die kaarthouerdata te beskerm wanneer dit oorgedra word, openbare netwerke;
Die uitvoering van 'n program vir kwesbaarheidsbestuur, wat die gebruik van 'n antivirusprogram behels wat gereeld opgedateer, te alle tye aktief is en wat ouditlogboeke genereer. 'N Ander faset van die kwesbaarheidsbestuursprogram is die ontwikkeling en instandhouding van veilige stelsels en toepassings, wat bewerkstellig word deur die nakoming van riglyne vir kodering en die hersiening van kode van derde partye of aangepaste toepassings met betrekking tot kwesbaarhede;
Implementering van veilige beheermaatreëls vir gebruikerstoegang deur sensitiewe data teen ongemagtigde toegang te beskerm, toegang te beperk deur goed gedefinieerde rolgebaseerde toegangsbeheer (RBAC) op te stel, unieke gebruikers-ID's toe te ken vir naspeurbaarheid, gebruik van twee-faktor-verifikasieprosesse, beperking van fisieke toegang tot kaarthouer data;
Gebruik van logmeganismes om toegang tot netwerk- en kaarthouerdata op te spoor en te monitor, en 'n ouditroete te skep wat ten minste 'n jaar moet behou;
Voer gereelde interne netwerksekuriteitskanderings uit (kwartaalliks en na elke belangrike aanpassing, opgradering of modifikasie in die netwerk of infrastruktuur), dien dit aan die ASV (Approved Scanning Vendor) -kwartaal voor, na die slaag van die aanvanklike voldoeningskandering, implementering van stelsels (indringing) opsporingstelsels en lêermoniteringstelsels) om te waarsku oor ongemagtigde wysiging van kritieke lêers en kompromis deur die stelsel;
Die opstel en instandhouding van 'n beleid oor inligtingsekuriteit wat aspekte rakende die keuring van personeel, risikobepaling, kwesbaarheidsassessering, afstandtoegang, ens. Moet dek.
Ondernemings wat nie oor die kundigheid en / of interne hulpbronne beskik om 'n doeltreffende nakomingsprogram uit te voer nie, moet die hulp van 'n eksterne vennoot en 'n gekwalifiseerde sekuriteitsadviseur soek, wat leiding sal gee ten opsigte van die PCI-DSS-selfevalueringsvraelys wat hulle moet voltooi, die vereistes hulle moet vergader vir hul vlak van voldoening, die infrastruktuurtekorte wat hulle moet oplos, ens.
Sommige van die las om aan hierdie vereistes te voldoen, kan gedeel word met oplossingsvennote, soos gasheerverskaffers, wat kan help met die implementering en instandhouding van fisiese, netwerk- en stelselkontroles..
Hoe u die beste webhosting vir PCI-vereistes kan vind
Die keuse van 'n goeie webhosting kan op sigself 'n ingewikkelde taak wees. As u PCI-DSS-nakoming by die lys van u vereistes voeg, kan die proses nog ingewikkelder word. Hier is die belangrikste dinge wat u moet doen as u soek na 'n PCI-kompatible webhosting:
Bespreek PCI-nakomingskomponente wat deur u gasheer onderneem word
Vra die aanbieder van die webhosting oor die komponente van die PCI-nakoming wat hulle vir u kan hanteer. Byvoorbeeld, HostGator sê op hul webwerf duidelik dat hul VSP en toegewyde bedieners opgedateer is om aan die PCI-vereistes vir bedieners te voldoen. HostGator sal egter nie ondersteuning bied om te verseker dat die inkopiekarre, betalingsgateway-sagteware, inkopie-inkopies, ens. Wat op u webwerf gebruik word, aan PCI voldoen nie; hierdie taak besleg u dus as die gebruiker van hierdie oplossings..
Kry meer besonderhede oor elke komponent
Aangesien versuim om aan PCI-voldoeningsvereistes te voldoen, 'n magdom risiko's inhou wat die bestaan ​​van u besigheid moontlik bedreig, moet u die fynskrif van die ekstra dienste wat u gasheerfirma onderneem, lees in u pogings om aan die PCI-vereistes te voldoen, en vra vir meer inligting oor aangeneem oplossings om te sien of hierdie dienste ooreenstem met u PCI-DSS-voldoeningsvereistes. Gasheerondernemings soos Rackspace bied meer as net u PCI-nakoming van bedieners deur 'n magdom ander dienste te lewer (bv. Bestuurde firewall, SSL-sertifikate, bestuurde antivirusoplossings, beoordelingsdienste vir kwesbaarheid, firewall vir webtoepassings, ens.).
Kyk na ondersteuning
Dit is ongetwyfeld 'n moeilike proses vir enigeen, of dit nou 'n klein of groot onderneming is, om na die doolhof te soek om te voldoen aan die bedryfstandaarde wat deur kredietkaartondernemings gestel word. Ondersteuning wat u bied met die bespreking van u behoeftes en hulp met die ondersoek van die dienste wat u benodig, kan help om die ingewikkeldheid van u pogings om voldoeningsvol te maak.
Dit is belangrik om te onthou dat PCI-nakoming 'n gedeelde verantwoordelikheid is, en deur te kies vir 'n PCI-hosting, een word nie outomaties aan PCI voldoen nie. Om 'n duidelike beeld te kry van die verantwoordelikhede wat elke oplossingsvennoot onderneem, is 'n belangrike stap in die bereiking en handhawing van nakoming.