PCIstandardeihin

PCIstandardeihin viittaa PCI Security Standards Councilin hallinnoimiin standardeihin, joiden tarkoituksena on suojata maksukorttitietoja ja varmistaa turvallinen maksujärjestelmä. Standardit ohjaavat, miten korttitietoja käsitellään, siirretään ja tallennetaan sekä miten riskejä hallitaan koko maksuketjussa kauppiaiden, maksunvälittäjien, palveluntarjoajien ja pankkien toimesta.

Keskeisin näistä standardeista on PCI DSS, eli Payment Card Industry Data Security Standard. Se määrittelee turvallisen ympäristön rakentamisen ja ylläpitämisen sekä korttitietojen suojaamisen useissa vaiheissa. Vaatimukset kattavat muun muassa verkon suojaamisen, korttitietojen suojaamisen, haavoittuvuuksien hallinnan, vahvan pääsynhallinnan, jatkuvan seurannan ja testauksen sekä tietoturvapolitiikan ylläpitämisen. PCI DSS -standardeja päivitetään säännöllisesti; nykyinen painopiste on joustavampi ja riskiperusteinen lähestymistapa.

Lisäksi PCIstandardeihin kuuluvat muut määrittelyt kuten PCI PIN (PIN Transaction Security) sekä PCI P2PE (Point-to-Point Encryption), jotka käsittelevät PIN-tapahtumien turvallisuutta ja tämänhetkisten maksutietojen salausmenetelmiä. PCI SSC julkaisee myös ohjeita testauksista, yhteistyöskäytännöistä ja valtuutetuista arvioitsijoista (QSA). Pienemmillä organisaatioilla on usein käytössä SAQ:t (Self-Assessment Questionnaire) ja AOC (Attestation of Compliance), joiden avulla voidaan osoittaa hyväksyttävä hallintatapa.

PCIstandardeihin sitoutuminen ei ole laki, mutta ne ovat laajalti pakollisia kuluttajille maksuja käsitteleville toimijoille. Epäonnistuminen voi johtaa sopimusrikkomuksiin, sakkoihin, liiketoiminnan rajoituksiin tai jopa korttitoiminnan menettämiseen sekä nostattaa tietoturvariskejä.