Төлем карталары индустриясының ақпараттық қауіпсіздік стандартының (DSS) сәйкестігі қаржылық мекемелерді, саудагерлерді және қызмет провайдерлерін қоса Visa карта иесі деректерін сақтайтын, өңдейтін немесе тарататын барлық ұйымдардан талап етіледі. Visa бағдарламалары қатысушылардың сәйкестікті үздіксіз қамтамасыз етуін талап етіп, PCI DSS сәйкестігін басқарады.
Саудагерге қатысты талаптар туралы ақпарат алу
Visa карта иесінің ақпараттық қауіпсіздік бағдарламасы (CISP) — клиенттердің, саудагерлердің және қызмет провайдерлерінің ең жоғарғы ақпараттық қауіпсіздік стандартын ұстануын қамтамасыз етіп, Visa карта иесі деректерін қорғауға арналған сәйкестік бағдарламасы.
PCI қауіпсіздік стандарттары жөніндегі кеңесі (SSC) PCI DSS және барлық куәландыратын құжаттарды иеленеді, жүргізеді және басқарады, дегенмен, Visa барлық ақпараттық қауіпсіздік сәйкестігін қамтамасыз ету және тексеру бастамаларын басқарады.
Эмитенттер мен эквайерлер барлық қызмет провайдерлерінің, саудагерлерінің және саудагерлердің қызмет провайдерлерінің PCI DSS талаптарына сәйкестігін қамтамасыз етуге жауапты болады.
Саудагерді сәйкестікке тексеру транзакциялар көлемі, ықтималды тәуекел және төлем жүйесіне әсері негізінде басымдық берілген.
Саудагер деңгейлері туралы ақпарат алу
Эмитент пен сатып алушылар үшінші тарап агенттері (TPA) тіркелген уақытта және кейін 12 ай сайын барлық 1-деңгей және 2-деңгей қызмет провайдерлерінің PCI DSS сәйкестігін қамтамасыз етуі тиіс.
Эквайерлер саудагерлерінің тиісті деңгейде тексерілуін және саудагерлерінен қажетті сәйкестікті тексеру құжаттамасының алынуын қамтамасыз етуі тиіс. Саудагердің банктері мен саудагерлер сәйкестіктің тексерілгенін дәлелдейтін құжатты талап етуі мүмкін басқа төлем карта брендтерінің сәйкестік бойынша есеп беру талаптарын да тексеруі қажет.
Visa-мен тікелей байланысты емес 1-деңгей қызмет провайдерлері жылдық жергілікті PCI ақпараттық қауіпсіздік бағалауынан өтуі тиіс және қызмет провайдері мен білікті қауіпсіздік бағалаушысы (QSA) қол қойған сәйкестіктің рәсімделген аттестация құжатын Visa-ға тапсыруы тиіс. 2-деңгей қызмет провайдерлері қол қойылған өзін бағалау сауалнамасының (SAQ-D) үлгісін немесе QSA қолын қоса AOC үлгісін тапсыруы тиіс. Қызмет провайдерінің Visa қызмет провайдерлерінің жаһандық тізбесіне (Тізбе) енуі үшін PCI DSS сәйкестігін тексеру талап етіледі.
Ақпараттық қауіпсіздік сәйкестігінің талаптары туралы ақпарат алу
Visa Негізгі ережелері (VCR) қаржылық мекеме-клиенттерінің және жалпы алғанда, Visa төлем жүйесінің қатысушылары болып табылатын саудагерлердің және қызмет провайдерлерінің іс-әрекеттерін реттейді.
Эмитенттер мен эквайерлер, саудагерлердің пайдаланатын қызмет провайдерлерін қоса, өз қызмет провайдерлері мен саудагерлерінің PCI DSS сәйкестігін қамтамасыз ету үшін жауапты болады. Қызмет провайдері және саудагер барлық талаптарды үнемі сақтауы керек. (Visa Негізгі ережелерінің бөлім идентификаторы: №0002228 және №0008031)
Егер қызмет провайдері немесе саудагер PCI DSS талаптарын орындамаса немесе қауіпсіздік мәселесін түзетпесе, Visa эмитентке немесе эквайерге талаптарға сәйкессіздік үшін айыппұл сала алады. Эмитент немесе эквайер барлық айыппұлды төлеуге міндетті және оны Visa қызмет провайдеріне немесе саудагерге жүктеді деп есептемеуі тиіс. (Visa компаниясының негізгі ережелерінің бөлім идентификаторы: №0001054)
Сатып алушылар қосымша ақпарат бойынша [email protected] адресі бойынша Visa тәуекелдер тобына хабарласа алады.
Visa барлық аймақтарда PIN кодтың қауіпсіздігіне қойылатын талаптарға сәйкестікті тексеруді жеңілдетуде.
Visa төлем қосымшасы жеткізушілерінен өнімдерін PA–DSS талаптарына сәйкес әзірлеуді және сәйкестігін тексеруді өтінеді. PA–DSS талаптарына сәйкес қосымшалар саудагерлер мен агенттерге деректер бұзылу салдарын азайтуға, карта иесінің құпия деректерінің сақталуына жол бермеуге және PCI DSS талаптарының жалпы сәйкестігіне қолдау көрсетуге көмектеседі. PA–DSS стандарты тек авторизациядан өту немесе есеп айырысу аясында карта иесі деректерін сақтайтын, өңдейтін немесе тарататын үшінші тараптың төлем қосымшасы бағдарламасына қолданылады. Жергілікті бағдарламалық жасақтама саудагердің немесе агенттің PCI DSS бағалауы ішінде қамтылады.
PCI қауіпсіздік стандарттары жөніндегі кеңес туралы қосымша ақпарат алу
2008 ж. 1 қаңтарында Visa компаниясы Visa төлем жүйесінен осал төлем қосымшаларының пайдалануына жол бермеу үшін бірқатар мандат енгізді. Осы мандаттар эквайерлерден саудагерлер мен агенттердің карта иесінің құпия деректерін (яғни, толық магниттік жолақ деректері, CVV2 немесе PIN деректері) сақтайтын белгілі төлем қосымшаларын пайдаланбауын талап етеді және PA–DSS стандартына сәйкес төлем қосымшаларын пайдалануды талап етеді.
Төлем қосымшасын жеткізушілердің көбі PA–DSS талаптарына сәйкес төлем қосымшаларын ендіргенімен, белгілі осалдықтардың қайтадан ендірілмеуін қамтамасыз ету үшін төлем бағдарламасының жаңартуларын бірізділікпен әзірлемейтіні алаңдаушылық арттырып келеді. Сонымен қатар, тұтынушылар сайттарындағы төлемдік бағдарламалық жасақтамалар қауіпсіз орнатылмағандығы алаңдаушылық тудырады.
Саудагер мен агент деректерінің бұзылуы нәтижесінде төлем қосымшасымен айналысатын бірқатар компанияда төлем қосымшалары мен жүйелерін орнатқан кезде бағдарламалық жасақтама әдістері нашар екені, тұтынушыларға осал, ортақ немесе әдепкі қатынас тіркелгі деректері арқылы қолдау көрсетілетіні және тұтынушы сайттары орынсыз енгізілген қашықтан басқару құралдарымен басқарылатыны анықталды. Қаскүнемдер осы осал жазбаларды қолданып, карта иесінің орталарына қол сұға алады.
Visa төлем қосымшасымен айналысатын компанияларға маңызды бағдарламалық жасақтама процестерін шешуге көмектесетін озық тәжірибелер жиынтығын әзірлеп шығарды. Кешенді сараптама аясында эквайерлер, саудагерлер және агенттер пайдаланылатын төлем қосымшасы компаниялары жетілдірілген бағдарламалық жасақтама процестерін қатал сынақтан өткізгендеріне көз жеткізулері қажет.
Visa-ның төлем қосымшасы компанияларына арналған үздік он озық тәжірибесі
Visa бағдарламалық жасақтама жеткізушілерімен әзірленген кейбір төлем қосымшалары транзакцияны авторизациядан өткізгеннен кейін карта иесінің құпия деректерін (яғни, толық магниттік жолақ деректері, CVV2 немесе PIN деректері) сақтау үшін әзірленгенін анықтады. Осы карта иесі деректері элементтерін сақтау PCI DSS талаптарын және Visa ережелерін тікелей бұзу болып саналады. Қаскүнемдер осы осал төлем қосымшаларын пайдаланатын саудагерлер мен агенттерді көздейді және карта иесі деректерін тауып ұрлау үшін осы қауіпсіздік осалдықтарын қолданады.
Visa деректердің бұзылу салдарын азайту мақсатында эквайерлерді қоса, қажет болған жағдайда басты мүдделі тараптарды осал төлем қосымшаларының жаңартылған тізімін беріп, ескертеді. Егер осал төлем қосымшасын анықтасаңыз және төлем қосымшасының жеткізушісіне, қосымша нұсқасына, карта иесінің құпия деректері сақталатын жерге және жеткізушінің байланыс ақпаратына қатысты нақты мәліметіңіз болса, [email protected] электрондық адресі бойынша Visa-ға хабарлаңыз. Берілетін ақпараттың бәрі бағдарламалық жасақтама жеткізушісі арқылы тексеріледі, Visa ақпарат көзін ешбір бағдарламалық жасақтама жеткізушісіне ашпайды немесе ақпарат көзінің жеке басын ашатын ақпаратты жария етпейді.
Visa саудагерлер мен агенттерге деректер бұзылу салдарын азайтуға, карта иесінің құпия деректерінің (яғни, толық магниттік жолақ деректері, CVV2 немесе PIN деректері) сақталуына жол бермеуге және PCI DSS стандартымен жалпы сәйкестікті қолдауға көмектесетін төлем қосымшаларын әзірлеуде бағдарламалық жасақтама жеткізушілеріне нұсқау беру мақсатында 2005 жылы Төлем қосымшасының озық тәжірибелерін (PABP) әзірледі. 2008 жылы PCI қауіпсіздік стандарттары жөніндегі кеңесі Visa-ның PABP тәжірибелерін қабылдады және PA–DSS ретіндегі стандартты шығарды. PA–DSS енді Visa сәйкестік бағдарламасының мақсатында PABP орнын басады.
