Что такое PCI DSS

Каждый день мы совершаем покупки в интернете, оплачиваем услуги и вводим данные своей банковской карты на десятках сайтов. Но задумывались ли вы, что происходит с этими данными дальше и кто гарантирует их безопасность? Сегодня мы поговорим о невидимом страже, который стоит на защите ваших финансов в цифровом мире — стандарте PCI DSS.

Что такое PCI DSS

Расшифруем аббревиатуру. PCI DSS — это Payment Card Industry Data Security Standard, или Стандарт безопасности данных индустрии платежных карт. Говоря простым языком, это свод из более чем двухсот детальных требований, которые описывают, как нужно правильно и безопасно работать с данными банковских карт.

Этот стандарт был создан не государством, а самими гигантами платежной индустрии — Visa, MasterCard, American Express и другими. Они поняли, что для доверия к безналичной оплате нужны единые и строгие правила игры для всех участников рынка.

Можно представить стандарт PCI DSS как чертеж для постройки неприступной цифровой крепости. В нем прописано все: от требований к сетевой безопасности (как строить стены и рвы) до правил работы для сотрудников (кто имеет право на ключи от сокровищницы и как их контролировать). Цель одна — сделать так, чтобы данные карт не попали в руки мошенников.

Создание такой защищенной среды — сложная задача, особенно если вы строите свой бизнес в сети. Представьте, что вы запускаете интернет-магазин или сервис по подписке, используя готовую инфраструктуру — например, облачные решения от Рег.облако. Чтобы ваш бизнес мог законно и безопасно принимать платежи, вся IT-среда, где обрабатываются данные карт, должна соответствовать этим строгим правилам.

При этом важно не путать PCI DSS с другими стандартами. Например, в России действует закон 152-ФЗ, который защищает персональные данные граждан: имена, телефоны, адреса. Если ваш сервис хранит и данные карт для оплаты, и личные данные клиентов для доставки, вам нужно соблюдать оба набора правил. К счастью, современные провайдеры часто предлагают комплексную защиту, предоставляя как инфраструктуру, готовую к аттестации по PCI DSS, так и серверы, аттестованные по 152-ФЗ для хранения персональных данных.

Кто должен соблюдать стандарт

Простой ответ: все, кто хранит, обрабатывает или передает данные банковских карт. Это касается не только гигантских корпораций и банков. Список участников очень широк:

• Торговые предприятия (мерчанты). Это интернет-магазины, розничные сети, отели, авиакомпании, рестораны — любой бизнес, который принимает к оплате карты.
• Поставщики услуг. Компании, которые предоставляют услуги другим участникам рынка. Сюда входят платежные шлюзы, хостинг-провайдеры, разработчики платежных приложений.
• Банки. Финансовые организации, которые выпускают карты и обслуживают платежи.

Главный вопрос, который должен задать себе любой предприниматель: «Касаются ли мои компьютерные системы данных банковских карт?» Если ответ «да», то вы находитесь в зоне действия стандарта.

Однако уровень требований зависит от масштаба вашего бизнеса. Для небольшой кофейни, которая использует готовый банковский терминал, и для крупного маркетплейса с собственной системой обработки платежей требования PCI DSS будут разными. Чем больше у вас транзакций, тем строже аудит и выше уровень ответственности.

Есть и хорошая новость. Если ваш сайт при оплате перенаправляет клиента на страницу известной платежной системы, и клиент вводит данные карты уже там, то основная нагрузка по соответствию PCI DSS ложится именно на эту платежную систему. В этом случае вы напрямую не касаетесь данных карт. Ваша главная задача — убедиться, что ваш партнер по приему платежей сам сертифицирован по стандарту PCI DSS.

Уровни стандарта PCI DSS

Важно понимать: требования стандарта универсальны, но глубина проверки зависит от размера компании. Несправедливо требовать от маленького семейного кафе такой же отчетности, как от гигантского международного маркетплейса. Ведь и риски у них совершенно разные.

Поэтому индустрия платежных карт разделила все компании на четыре уровня PCI DSS (Levels). Главный критерий — количество транзакций по картам за год.

• Level 1 (самый строгий). Это уровень для гигантов: крупных банков, процессинговых центров и торговых сетей, которые обрабатывают более 6 миллионов транзакций в год. Для них обязателен полный и детальный аудит, который проводит независимая аккредитованная компания-аудитор (QSA — Qualified Security Assessor).
• Level 2. Для компаний, обрабатывающих от 1 до 6 миллионов транзакций в год.
• Level 3. Для тех, у кого от 20 тысяч до 1 миллиона транзакций.
• Level 4 (самый простой). Для небольших компаний с менее чем 20 тысячами онлайн-транзакций в год.

Компаниям с 2 по 4 уровень обычно не требуется дорогой внешний аудит. Вместо этого они должны ежегодно заполнять специальный Лист самооценки (SAQ — Self-Assessment Questionnaire). Это подробная анкета, где компания сама подтверждает, что выполняет все необходимые требования стандарта.

Требования стандарта PCI DSS

Итак, что же это за правила, которые все должны соблюдать? Стандарт PCI DSS состоит из 12 глобальных требований, которые, в свою очередь, делятся на множество конкретных подпунктов. Мы не будем погружаться в технические дебри, а сгруппируем эти 12 заповедей по их главной цели.

1. Построение и поддержка защищенной сети (например, с помощью платформы Рег.облако):

• Использование и правильная настройка межсетевых экранов (файрволов) для защиты данных.
• Отказ от использования стандартных паролей и настроек, установленных производителями оборудования и программ.

2. Защита данных держателей карт:

• Защита данных о картах при их хранении. Если вы храните номер карты, он должен быть зашифрован.
• Шифрование данных о картах при их передаче по открытым, общедоступным сетям (например, через интернет).

3. Управление уязвимостями:

• Использование и регулярное обновление антивирусного программного обеспечения.
• Разработка и поддержка безопасных систем и приложений. Это значит, что все программы и операционные системы должны быть вовремя обновлены. В рамках управления уязвимостями — постоянный мониторинг, поиск и устранение.

4. Контроль доступа:

• Ограничение доступа к данным карт только для тех сотрудников, кому это действительно необходимо для работы.
• Присвоение уникального идентификатора каждому человеку с доступом к компьютерной системе.
• Ограничение физического доступа к оборудованию, на котором хранятся данные карт (серверные комнаты под замком, видеонаблюдение и т.д.).

5. Регулярный мониторинг и тестирование сетей:

• Отслеживание и протоколирование всех действий с сетевыми ресурсами и данными карт. Проще говоря, ведение журнала событий.
• Регулярная проверка систем и процессов безопасности на наличие уязвимостей.

6. Поддержка политики информационной безопасности:

• Наличие и соблюдение формальной политики, в которой прописаны все правила безопасности для персонала.

Как получить сертификат соответствия PCI DSS

Получение соответствия — это не покупка документа, а серьезный проект. Процесс можно условно разделить на несколько этапов.

1. Определение области применения (Scoping). Это самый первый и важный шаг. Вы должны четко определить, какие именно части вашей IT-инфраструктуры (серверы, сети, компьютеры сотрудников, приложения) хранят, обрабатывают или передают данные карт. Цель — максимально сузить эту область, чтобы упростить и удешевить аудит.
2. Анализ на соответствие (Gap Analysis). Вы или приглашенный консультант сравниваете вашу текущую ситуацию с требованиями стандарта и находите пробелы — то, что нужно исправить.
3. Устранение несоответствий (Remediation). Самый трудоемкий этап. Вы внедряете недостающие средства защиты, меняете настройки, пишете инструкции для персонала, устанавливаете обновления — в общем, «латаете дыры», найденные на предыдущем шаге.
4. Аудит и подтверждение. Когда все готово, наступает момент проверки. Если вы относитесь к Level 1, к вам приезжает QSA-аудитор, который тщательно все проверяет и по итогам составляет Отчет о соответствии (Report on Compliance, RoC). Если вы относитесь к Level 2, 3 или 4, вы самостоятельно (или с помощью консультанта) заполняете подходящий вам Лист самооценки (SAQ).
5. Поддержание соответствия. Важно помнить: PCI DSS — это не разовое мероприятие. Подтверждать соответствие нужно ежегодно. Безопасность PCI DSS требует постоянного внимания.

Путь к получению заветного статуса PCI DSS Compliant может быть сложным, поэтому многие компании предпочитают делегировать часть задач, выбирая хостинг и облачные решения от провайдеров, чья инфраструктура уже прошла необходимую аттестацию. Это значительно упрощает и ускоряет весь процесс.

Андрей Лебедев