PCI DSS Nedir?
PCI DSS (Payment Card Industry Data Security Standard), kartlı ödeme verilerinin güvenli işlenmesi için kullanılan uluslararası güvenlik standardıdır.
PCI DSS Nasıl Çalışır?
PCI DSS (Payment Card Industry Data Security Standard), kart verisini işleyen, ileten ya da saklayan tüm kuruluşlar için geçerli uluslararası bir güvenlik standardıdır. Kart ağları tarafından kurulan PCI Güvenlik Standartları Konseyi tarafından yayımlanır. Standart, kart numarası, son kullanma tarihi ve doğrulama kodu gibi verilerin korunması için ağ güvenliği, şifreleme, erişim kontrolü, izleme ve düzenli test gibi gereklilikler tanımlar.
Mağazanın yükümlülüğü, kart verisine ne kadar temas ettiğine göre değişir:
- Kart verisi hiç sitenizden geçmiyorsa (ödeme sağlayıcının barındırılan sayfası ya da gömülü alanı kullanılıyorsa) kapsam çok daralır.
- Kart formu kendi sayfanızdaysa ve veri sunucunuzdan geçiyorsa gereklilikler artar.
- Kart verisini saklıyorsanız yükümlülük en ağır düzeydedir ve kural olarak kart doğrulama kodu saklanamaz.
Uyum düzeyi işlem hacmine göre derecelendirilir; kuruluşun hangi düzeyde olduğu ve hangi belgeyi sunacağı ödeme kuruluşu ve banka ile netleştirilir.
PCI DSS E-Ticarette Neden Önemlidir?
Kart verisi sızıntısı doğrudan müşteri güvenini, markayı ve hukuki sorumluluğu etkiler. Uyumsuz mağazaya ödeme kuruluşu ya da banka ek denetim, ceza ya da sözleşme feshi uygulayabilir. Uyum yalnızca teknik bir belge değil, ödeme alabilmenin koşuludur.
Karar olarak en etkili yöntem kapsamı daraltmaktır: kart bilgisi mağazanın sunucusuna hiç uğramayacak şekilde ödeme sağlayıcının sayfası ya da güvenli gömülü alanları kullanılır. Böylece yükümlülük ve risk ödeme kuruluşuna kayar. Sitede ayrıca HTTPS, güncel yazılım, güçlü yönetici kimlik doğrulaması ve ödeme sayfasındaki betiklerin denetimi gerekir.
Bağlantı güvenliği için SSL sertifikası sayfasına, ödeme zinciri için ödeme altyapısı sayfasına bakılabilir.
PCI DSS’te Sık Yapılan Hatalar
- Kart verisini kendi sistemde saklamak. Kapsam ve risk gereksiz büyür.
- Ödeme sayfasına denetimsiz üçüncü taraf betik eklemek. Kart verisini çalan betik riski doğar.
- Uyumu bir kez yapılıp bitmiş saymak. Doğrulama düzenli yenilenir.
- Kapsamı bilmemek. Hangi verinin sistemden geçtiği çıkarılmadan yükümlülük belirlenemez.
PCI DSS Hakkında Sık Sorulan Sorular
PCI DSS kapsamında kart doğrulama kodu saklanabilir mi?
Kural olarak saklanamaz. Kart verisini saklayan kuruluşun yükümlülüğü en ağır düzeydedir; bu yüzden kart bilgisini kendi sisteminde tutmamak hem riski hem uyum kapsamını küçültür.
E-ticaret siteleri PCI DSS’e uymak zorunda mı?
Kart ödemesi alan her kuruluş standardın kapsamındadır. Yükümlülük düzeyi, kart verisinin mağaza sistemlerinden geçip geçmediğine göre değişir ve ödeme kuruluşuyla netleştirilir.
PCI DSS uyumu nasıl kolaylaştırılır?
Kart bilgisinin mağaza sunucusuna hiç uğramadığı, ödeme sağlayıcının barındırılan sayfası ya da güvenli gömülü alanları kullanılarak kapsam daraltılır.