Узнайте, как соответствие стандартам PCI влияет на ваш бизнес

Что такое соответствие стандартам PCI?

Соответствие стандартам PCI это трехступенчатый процесс внедрения, соблюдения и подтверждения соответствия стандартам безопасности, установленным Советом Безопасности по Стандартам PCI. Эти стандарты были разработаны для облегчения общепромышленного внедрения единых методов защиты данных. Они предназначены для защиты данных держателя карты от точки продажи на время проведения транзакции и в некоторых случаях длительного хранения этой информации.

К кому относятся стандарты PCI?

Соответствие стандартам PCI относится ко ВСЕМ организациям, которые принимают, передают или хранят любую информацию, связанную с кредитными картами и в независимости от размера данных или метода обработки, а также включает в себя провайдеров услуг (процессинговые компании, хосты вебсайтов, шлюзы и так далее). Единственные продавцы, которые не обязаны соответствовать стандартам PCI, это те, кто принимают оплату ИСКЛЮЧИТЕЛЬНО наличными.

Каковы требования для проверки соответствия предприятия стандартам PCI?

Чтобы cсоответствовать стандартам PCI, продавцы должны ежегодно заполнять и сдавать Вопросник Самооценки (SAQ) и ежеквартально сканировать уязвимости сети (только в том случае, если продавец обрабатывает или передает данные владельца карты через сеть Интернет).

Продавец обязан выполнять и проходить опросник SAQ один раз в год, предполагая, что метод, которым предприятие продавца обрабатывает процессы и сохраняет транзакции, остается неизменным. Если методы обработки, передачи или хранения данных в предприятии изменятся, продавец должен проверить SAQ и внести соответствующие изменения, чтобы убедиться, что его соответствие стандартам PCI остается в силе.

Продавцы, которые хранят, обрабатывают или передают данные о держателях карт через сеть Интернет, должны проходить проверку уязвимости сети, выполняемую Утвержденным Поставщиком Сканирования (Approved Scanning Vendor или ASV) каждые 90 дней. Аналогично требованиям SAQ, если что-то изменится в сети, которая обрабатывает данные о держателях карт (например, установлен новый маршрутизатор), следует выполнить новое сканирование уязвимости сети, чтобы убедиться, что предприятие продолжает должным образом защищать данные о держателях карт с помощью нового аппаратного или программного обеспечения.

Какие преимущества у предприятий, соответствующим стандартам PCI?

Соответствие стандартам PCI является требованием ассоциаций карт, Planet Payment, а также наших Банков-Спонсоров. Соблюдение требований PCI DSS (Payment Card Industry Data Security Standard или Стандарт Безопасности Данных Индустрии Платежных Карт) значительно снижает риск того, что компания может стать жертвой взлома и утечки любых конфиденциальных данных о держателях карт. Утечка данных может иметь крайне негативный эффект для компаний и может также привести к серьезным штрафам, возможным судебным искам, дорогостоящим судебным проверкам и негативной деловой репутации.

В дополнение к написанному, клиенты часто опасаются, что данные их кредитных карт могут быть украдены. Соответствие стандартам PCI дает клиенту уверенность в том, что его конфиденциальные данные защищены по самым высоким стандартам в отрасли. Компании, прошедшие валидацию по соответствию стандартам PCI, имеют более высокий уровень доверия потребителей.

Каковы последствия при несоответствии стандартам PCI?

Последствия при несоответствии вышеупомянутым стандартам варьируются по степени тяжести: от простых штрафов за несоответствие до существенных штрафов, которые в конечном итоге могут привести к прекращению деятельности компании. Последствия резко ухудшаются после прецедента утечки данных у продавца.

Даже до прецедента утечки данных предприятие могут ожидать следующие последствия:

• Ежемесячные пенальти за несоответствие до подтверждения соответствия стандартам PCI
• Клиенты могут опасаться за безопасность своей конфиденциальной информации и реже вести дела с продавцом

После возможной утечки данных у продавца предприятие может подвергнуться следующим санкциям:

• Значительные штрафы от всех брендов кредитных карт, принимаемых продавцом
• Судебные иски, связанные с инцидентом (или инцидентами) и поданные покупателями или поставщиками услуг
• Дорогие судебные проверки безопасности
• Заморозка части денег на счетах продавцов для компенсации возможных расходов и потерь
• Учетная запись продавца может быть закрыта поставщиком торговых услуг
• Урон репутации, который может повлечь за собой уменьшение уровня продаж

Что такое утечка данных?

Утечка данных происходит, когда третьи лица незаконно проникают в систему обработки данных о кредитных картах, и эти данные украдены для злонамеренного использования хакерами или другими сотрудниками.

Как часто я обязан проверять свое соответствие стандартам PCI?

В соответствии с требованиями Совета по Стандартам Безопасности PCI, продавцы обязаны подтверждать свое соответствие, заполняя SAQ (Вопросник для Самооценки) каждый год.

Для тех продавцов, которые обрабатывают, хранят или передают данные о держателях карт в сети Интернет, сканирование уязвимостей сети также может потребоваться каждые 90 дней.

Важно отметить, что, если продавец меняет способ обработки платежей по кредитным или дебетовым картам, или способ обработки конфиденциальных данных о держателях карт, он должен проверить и подтвердить, что его ответы в SAQ точно отражают эти изменения.

Что такое Panoptic?

Panoptic - это компания, занимающаяся технологической безопасностью, с которой Planet Payment заключила контракт на обслуживание и помощь нашим продавцам в обеспечении соответствия стандартам PCI. Panoptic является частью Sysnet Global Solutions, которая является одновременно Квалифицированным Оценщиком Безопасности и Утвержденным Поставщиком Сканирования, а также сертифицирована Советом по Стандартам Безопасности PCI.

Почему я не могу работать с Planet Payment напрямую?

Чтобы обеспечить всестороннюю проверку соответствия стандартам PCI, Planet Payment выбрала Panoptic для решения данной задачи. Planet высоко ценит отношения со всеми своими клиентами, и поэтому для обеспечения наивысшего уровня обслуживания мы выбрали именно Panoptic, а также позволили им работать с вами напрямую, чтобы помочь вам соответствовать стандартам PCI.

Существуют ли какие-либо сборы, связанные с программой соответствия стандартам PCI от Planet Payment?

Плата, связанная с программой соответствия стандартам PCI, составляет 6,95 долларов США в месяц. С любого Продавца, который не подтвердит свое соответствие стандартам PCI, будет взиматься плата за несоответствие в размере 49,95 долларов США в месяц.

Что если я не желаю соответствовать данной программе?

Все продавцы, которые принимают дебетовые или кредитные карты в качестве метода оплаты, должны соответствовать требованиям стандартов PCI. Помните, что невыполнение этих требований может привести к неблагоприятным действиям в отношении вашего банковского счета, которые могут включать в себя штраф за несоответствие в размере 49,95 долларов США и возможное закрытие вашего банковского счета.

Что если я уже соответствую стандартам PCI с помощью другого поставщика услуг?

Мы разработали программу, чтобы вы могли быстро предоставить нам информацию, так как вы уже заявили о своем соответствии стандартам PCI. Если с этого момента прошло уже более года, вероятно, срок действия вашего подтверждения соответствия истек. Свяжитесь с поставщиком услуг, получите подтверждение о соответствии и загрузите документ на наш портал PCI. Вы также должны будете заполнить сокращенный SAQ (Вопросник для Самооценки).

Что если я не могу позволить себе соответствовать стандартам PCI?

Соответствие стандартам PCI в настоящее время является обязательным требованием для любого продавца, который желает принимать к оплате кредитные или дебетовые карты, точно так же, как и соблюдение правил техники безопасности и гигиены труда является требованием для любой компании, которая управляет магазином, офисом или фабрикой. Если вы не можете соответствовать стандартам безопасности, то в конечном итоге потенциальные опасности для вашего бизнеса значительны. Даже если ваша компания не может стать совместимым немедленно, вам необходимо продемонстрировать прогресс на пути к соответствию стандартам PCI.

Не решает ли за меня этот вопрос другой процессор/банк?

Другие банки и процессинговые компании сами решают, как соответствовать правилам Ассоциации и Отраслевым Стандартам. Planet Payment выбрала данный метод соблюдения наших обязательств, так как мы считаем его наиболее эффективным и экономически целесообразным способом соответствия стандартам.

Я не храню никакую информацию о держателях карт, значит я в безопасности, верно?

Хотя в ситуациях, когда продавец не хранит информацию о кредитных или дебетовых картах, риск утечки данных значительно снижается, вы все еще не полностью в безопасности. Есть много способов, с помощью которых хакеры могут украсть информацию о кредитной карте, даже если данные о ней не хранятся на вашей точке продажи. Один из наиболее распространенных способов кражи информации о кредитных или дебетовых картах — это когда данные находятся в транзите, поэтому хранение является только одним аспектом очень сложного процесса приема и передачи данных.

Какова моя ответственность, если я соответствую стандартам PCI, но у меня все равно произошла утечка данных?

Продавец по-прежнему несет ответственность в случае утечки данных, однако штрафы со стороны карточной сети (например, Visa или MasterCard) не будут такими серьезными, и в определенных обстоятельствах могут быть полностью сняты, если продавец сможет доказать свое полное соответствие.

Что такое страхование от утечки данных?

Страховка от утечки данных передает риск от продавца к страховщику в случае утечки данных владельцев карт через этого продавца. Некоторые страховые опции могут также включать в себя покрытие обязательных судебных проверок, затрат и расходов на замену кредитной карты клиенту, оценок и штрафов, взимаемых эмитентами карт, и, кроме того, некоторые страховые опции могут также охватывать нарушения, вызванные недобросовестностью сотрудников, физической кражей данных, а также компьютерным взломом.

Я не хочу платить ежемесячный сбор, может ли сбор быть уменьшен?

Чтобы покрыть стоимость программы, включая страховку, Planet Payment будет взимать небольшую плату с вашего счета ежемесячно. Planet Payment приложила все возможные усилия, чтобы обеспечить доступный уровень комиссии для продавцов. Вполне вероятно, что, если бы вы занялись собственным QSA и ASV, ваши расходы были бы гораздо выше.

К кому я могу обратиться за помощью?

В рамках тех отношений, которые Planet Payment установил с Panoptic Security, вы можете связаться с ними, чтобы они смогли помочь вам и ответить на любые ваши вопросы, связанные с PCI. Вы можете связаться с ними по номеру 801-783-2322 (Затем нажмите 1).

Где я могу узнать больше?

Для получения дополнительной информации о соответствии стандартам PCI, пожалуйста, посетите официальный сайт Совета по Стандартам Безопасности Индустрии Платежных Карт. Кроме того, ниже приведены ссылки на сайты руководств по безопасности Ассоциации каждого бренда карт.

• Совет по Стандартам Безопасности PCI
  
• Visa
• MasterCard
  
• Discover
  
• American Express
  
• Panoptic Security’s library