PCI DSS nedir?
PCI DSS (Payment Card Industry Data Security Standard), ödeme kartı verisini saklayan, işleyen veya ileten tüm kuruluşlar için geliştirilmiş bilgi güvenliği standardıdır. Ağ güvenliği, veri koruma, erişim kontrolü, izleme ve test gibi alanlarda teknik ve operasyonel şartlar belirler.
Standart, kart ödeme markalarının kurduğu bir kurul tarafından yayımlanır. Uygulama ve doğrulama yükümlülükleri ödeme altyapınıza, kuruluşunuzun işlem hacmine ve bankanızla ya da ödeme sağlayıcınızla yaptığınız sözleşmeye göre değişir.
Nasıl çalışır?
PCI DSS, kart sahibi verisinin korunmasını sağlayan bir dizi gereksinim içerir. Bu gereksinimler genel hatlarıyla şu başlıklara ayrılır:
- Güvenli ağ ve sistemler kurmak ve sürdürmek
- Hesap verisini korumak
- Zafiyet yönetim programı uygulamak
- Güçlü erişim kontrol önlemleri uygulamak
- Ağları düzenli izlemek ve test etmek
- Bilgi güvenliği politikasını sürdürmek
Uyumluluğun nasıl doğrulanacağı, işlem hacmine göre öz değerlendirme anketi ya da bağımsız denetim biçiminde olabilir.
Sunucu ve hosting ortamında
Kart verisiyle çalışan bir e-ticaret sitesinde sunucunun güvenliği doğrudan kapsama girer. Güncel yazılım, güvenlik duvarı, güçlü erişim kontrolü, günlükleme ve düzenli zafiyet taraması beklenir. Kart verisini kendi sunucunuzda tutmak yerine ödeme sağlayıcısının barındırdığı bir ödeme sayfası kullanmak, kapsamı ve sorumluluğu önemli ölçüde azaltabilir.
Barındırma sağlayıcısının PCI uyumluluğu, sizin uyumluluğunuzu otomatik olarak sağlamaz; sorumluluk paylaşımı net olmalıdır.
Nelere dikkat edilmeli?
- Kart verisini mümkünse kendi sistemlerinizde saklamayın, ödeme sağlayıcısının çözümünü kullanın.
- Kart verisinin geçtiği sistemlerin kapsamını net belirleyip ağı ayırın.
- Yazılımları güncel tutun, düzenli zafiyet taraması yapın.
- Erişimi en az yetki ilkesine göre kısıtlayın ve çok faktörlü doğrulama kullanın.
- Günlükleri izleyin ve saklayın.
- Uyumluluk gereksinimleri için bankanız veya bir uzman değerlendirici ile çalışın.
Sık yapılan hatalar
- Ödeme sağlayıcısını kullandığı için hiçbir sorumluluğun kalmadığını sanmak.
- Kart verisini loglara, e-postaya veya yedeklere yanlışlıkla yazmak.
- Kapsamı belirlemeden tüm ağı etkileyen kontrolleri uygulamak.
- Uyumluluğu yılda bir kez yapılan bir kontrol olarak görmek.
Sık sorulan sorular
PCI DSS nedir?
Ödeme kartı verisini işleyen sistemler için bilgi güvenliği standardıdır.
PCI DSS kimler için geçerlidir?
Kart verisini saklayan, işleyen veya ileten tüm kuruluşlar için geçerlidir. Gereksinimlerin düzeyi işlem hacmine ve ödeme yöntemine göre değişebilir.
PCI DSS yasal bir zorunluluk mudur?
Standart bir kanun değil, kart markalarının ve bankaların sözleşmesel şartıdır. Yine de uyumsuzluk yaptırım ve sorumluluk doğurabileceğinden bankanızla ve bir uzmanla görüşmeniz önerilir.
İlgili terimler
- SBOM (Yazılım malzeme listesi)Bir yazılımın içerdiği tüm bileşenlerin ve sürümlerin envanteri.
- SOC 2SOC 2, hizmet kuruluşlarının güvenlik, erişilebilirlik ve gizlilik gibi kontrollerini bağımsız bir denetçinin raporlamasına dayanan bir güvence çerçevesidir.
- USOMTürkiye’nin Ulusal Siber Olaylara Müdahale Merkezi.
- VEX (Güvenlik Açığı İstismar Edilebilirlik Değişimi)VEX, bir ürünün belirli bir güvenlik açığından etkilenip etkilenmediğini makine tarafından okunabilir biçimde bildiren bir belgedir.
- CIS Benchmarkİşletim sistemleri ve yazılımlar için ayrıntılı sertleştirme kontrol listeleri.
- CIS KontrolleriCIS Kontrolleri, en yaygın siber saldırılara karşı önceliklendirilmiş ve uygulanabilir güvenlik önlemlerinden oluşan bir kontrol setidir.