PCIDSSkravene

PCIDSSkravene er en global sikkerhetsstandard utviklet av PCI Security Standards Council for organisasjoner som håndterer betalingskortdata. Standarden gjelder både kjøpmenn og tjenesteleverandører som lagrer, behandler eller overfører kortinformasjon, og har som mål å beskytte kortinnehaverdata og redusere risikoen for datainnbrudd.

PCI DSS består av tolv krav som er inndelt i seks overordnede mål: Bygg og vedlikehold et sikkert nettverk og systemer; Beskytt kortinnehaverdata; Oppretthold en sårbarhetsstyringsprosess; Implementer sterke tilgangskontroller; Overvåk og test nettverk regelmessig; Oppretthold en informasjonssikkerhetspolicy.

Standarden gjelder for alle organisasjoner som lagrer, behandler eller overfører betalingskortdata. Omfanget inkluderer både detaljister og tjenesteleverandører som håndterer kortinformasjon på vegne av andre, og krever tilpassede sikkerhetskontroller basert på virksomhetens størrelse og risiko.

Samsvar vurderes vanligvis gjennom SAQ (Self-Assessment Questionnaire) for handelsenheter og ROC (Report on Compliance) for tjenesteleverandører. I tillegg må organisasjoner gjennomføre jevnlige sikkerhetsevalueringer og kvartalsvise skanninger av nettverk for sårbarheter ved hjelp av en godkjent leverandør (ASV). Enkelte miljøer bruker tilpassede SAQ-typer avhengig av omfang og teknologier.

PCI DSS representerer en kontinuerlig prosess snarere enn et engangsprosjekt, og etterlevelse krever ledelsesforpliktelse, regelmessig revisjon og løpende oppdatering av sikkerhetstiltak. Manglende eller avvikende etterlevelse kan medføre økonomiske konsekvenser og tap av mulighet til å akseptere betalingskort.