PCI-sikkerhetskrav
Sikre forretningsvirksomheten i henhold til PCI-kravene
Forbrukersvindel, identitetstyveri og sikkerhetsbrudd er en utfordring for samfunnet. Betalingskortbransjens datasikkerhetsstandarder (PCI DDS) sørger for beskyttelse av sensitiv kortinformasjon. Mange bedrifter arbeider med å innfri den påbudte sertifiseringen og valideringen av systemene sine. Det er brukerstedet selv som er ansvarlig for å være PCI godkjent.
De økonomiske konsekvensene ved ikke å overholde sikkerhetskravene kan være ødeleggende for din bedrift. Du kan redusere risikoen ved å sørge for verifisering og bekreftelse i henhold til bransjekravene. Ved å følge de standardiserte PCI DSS-prosedyrene kan du:
- Beskytte dine kunders personlige data
- Styrke kundenes tillit takket være datasikkerhet på et høyere nivå
- Skjerme organisasjonen din mot økonomiske tap
- Bevare kundens tillit og beskytte ditt varemerkes omdømme
Gjør en vurdering
PCI danner grunnlag for beskyttelse av sensitive data hos kredittkortselskaper, samt alle forretningsvirksomheter inklusive detaljhandel (ansikt-til-ansikt), post- eller telefonordre og e-handel. Spørsmålene nedenfor kan hjelpe deg i å analysere dine behov. De tre første spørsmålene er avgjørende med tanke på PCI sikkerhetskravene og utgjør en risiko dersom de ikke blir gjennomført:
- Leveres virusbeskyttelsen av et vel ansett firma og er den oppdatert?
- Er de nyeste programvareutgavene lagt inn på operativsystemet, f.eks. sikkerhetsoppdateringer?
- Er tilstrekkelig brannmurbeskyttelse installert og oppdatert?
- Hvilken leverandør står for programvaren du bruker på salgsstedet? Er programvare utviklet internt? Lagrer betalingsprogrammet kortnumre, sporingsdata eller PIN-data?
- Hvor mange personer i din organisasjon har tilgang til sensitiv kortinformasjon?
- Blir passord endret ofte og skiller de seg fra standardpassord?
- Er de interne prosedyrene i tråd med PCI-kravene? Dette omfatter prosedyrer for oppbevaring av rapporter med begrenset personaltilgang.
- Hvor blir sensitive data oppbevart? Hvor mange personer har tilgang til disse?
- Følges PCI-kravene for flyttbare enheter som bærbare PC-er, håndholdte datamaskiner og enheter med trådløs kommunikasjon?
1. oktober må alle e-handelsaktører benytte en PCI-sertifisert tjenestetilbyder eller bevise sitt eget samsvar med PCI DSS.
Vanligvis skilles det mellom to ulike e-handels løsninger.
- Hosted løsning
- All kortinformasjon lagres, behandles og overføres kun i et miljø hos en PSP som er PCI DSS sertifisert
- Brukerstedet håndterer ikke kortinformasjon
- Ikke-hosted løsning
- Kortinformasjon lagres, behandles og overføres hos brukerstedet eller annen part
- Benevnes ofte som API løsning
- Hver løsning er unik
For begge løsningene må du bevise ditt samsvar med PCI DSS ved å fylle ut et egenerklæringsskjema. Dette må gjøres årlig.
Egenerklæringsskjemaene også kalt SAQ (Self-Assessment Questionnaire) finner du her
Dersom du har en Hosted løsning skal du benytte SAQ skjema A.
Dersom du har en Ikke-hosted løsning skal du benytte SAQ skjema D.
Utfylte skjemaer sendes til Elavon,
Epost : PCINorge@elavon.com
Fax :+47 22 43 22 39. Husk å merke faxen med PCI.
For mer informasjon om PCI, anbefaler vi følgende linker :
PCI Security Standards
Visa's Compliance Programme
Dersom noe er uklart eller du har spørsmål angående imøtekommelse av kravene, vennligst kontakt din Elavon kundekontakt eller PCI støttekontakt på telefon +47 22 43 22 46, e-post PCINorge@elavon.com.