PCIprojekteissa

PCI-projekteissa tarkoitetaan projekteja, jotka tähtäävät PCI-standardeihin liittyvien vaatimusten toteuttamiseen ja ylläpitoon. Yleisesti termi viittaa maksukorttitietojen käsittelyyn liittyvien turvallisuusvaatimusten noudattamiseen, erityisesti PCI DSS -standardin noudattamiseen ja siihen liittyviin hallinnollisiin sekä teknisiin toimenpiteisiin. PCI-projektit kohdistuvat sekä kauppiaisiin että palveluntarjoajiin, jotka käsittelevät korttitietoja.

Projektin tavoitteena on suojata kortinhaltijoiden tiedot ja varmistaa vaatimusten noudattaminen koko toimintaketjussa. Tämä sisältää verkko- ja tietojärjestelmäympäristön rajaamisen, tiedon suojaamisen, pääsynhallinnan, haavoittuvuuksien hallinnan, monitasoisen autentikoinnin sekä jatkuvan monitoroinnin ja tapahtumalogien hallinnan.

Projektin tyypillinen elinkaari alkaa nykytilanteen kartoituksella ja gap-analyyseillä, joiden pohjalta laaditaan korjaus- ja toteutussuunnitelma. Toteutuksen jälkeen seuraa testaus ja toteutettujen kontrollien todentaminen. Pienemmissä organisaatioissa riittää PCI DSS -itsearviointi (Self-Assessment Questionnaire, SAQ); suuremmissa organisaatioissa edellytetään ulkopuolisen Qualified Security Assessorin (QSA) tekemä arviointi ja Attestation of Compliance (AOC). Lisäksi jatkuva valvonta ja säännölliset uudelleenarvioinnit ovat osa projektin ylläpitoa.

Roolit: projektin sponsor, PCI-ohjelmavastaava, IT-tietoturva, sisäinen auditointi sekä mahdollisesti ulkopuoliset palveluntarjoajat. Haasteet: muuttuva sääntely, määräaikaiset uudelleenarvioinnit, budjetti, resurssien saatavuus, vaikutus liiketoimintaan ja palvelutasopäätöksiin.

Hyödyt: riskien vähentäminen, paremman luottamuksen rakentaminen, helpottaa asiakkaiden vaatimuksiin vastaamista sekä yhteensopivuuden uuden lainsäädännön kanssa.