Pci dss level 1

Содержание:

Payment Card Industry Data Security Standard (PCI DSS) — стандарт безопасности данных индустрии платёжных карт, разработанный Советом по стандартам безопасности индустрии платежных карт (Payment Card Industry Security Standards Council, PCI SSC), учреждённым международными платёжными системами Visa, MasterCard, American Express, JCB и Discover. Стандарт представляет собой совокупность 12 детализированных требований по обеспечению безопасности данных о держателях платёжных карт, которые передаются, хранятся и обрабатываются в информационных инфраструктурах организаций. Принятие соответствующих мер по обеспечению соответствия требованиям стандарта подразумевает комплексный подход к обеспечению информационной безопасности данных платёжных карт.

Содержание

О стандарте безопасности данных индустрии платежных карт [ править | править код ]

Требования стандарта распространяются на все компании, работающие с международными платёжными системами Visa и MasterCard. В зависимости от количества обрабатываемых транзакций, каждой компании присваивается определённый уровень с соответствующим набором требований, которые они должны выполнять. В рамках требований стандарта предусматриваются ежегодные аудиторские проверки компаний, а также ежеквартальные сканирования сетей.

Стандарт объединяет в себе требования ряда программ международных платежных систем по защите информации, в частности:

  • у MasterCard — Site Data Protection (SDP);
  • у Visa в США — Cardholder Information Security (CISP);
  • у Visa в Европе — Account Information Security (AIS).

С сентября 2006 года стандарт введён международной платёжной системой Visa на территории региона CEMEA (центральная и восточная Европа, Ближний Восток и Африка) как обязательный, соответственно, его действие распространяется и на Россию. Поэтому поставщики услуг (процессинговые центры, платёжные шлюзы, интернет-провайдеры), работающие напрямую с VisaNet, должны пройти процедуру аудита на соответствие требованиям стандарта.

Сертификация по PCI DSS [ править | править код ]

Разные международные платежные системы предъявляют разные требования к процессу сертификации по PCI DSS. Различают уровни сертификации для торгово-сервисных предприятий (англ. Merchant ) и поставщиков услуг.

Существуют следующие методы проверки соответствия требованиям стандарта PCI DSS:

  • внешний QSA-аудит (англ.), выполняемый PCI QSA-компанией на объекте проверяемой организации;
  • заполнение листа самооценки (SAQ);
  • автоматизированное ASV-сканирование уязвимостей периметра сети.

Метод проверки соответствия, или комбинация методов, выбирается в зависимости от уровня сертификации торгово-сервисного предприятия или предприятия — поставщика услуг.

Уровни сертификации торгово-сервисных предприятий [ править | править код ]

Торгово-сервисным предприятием (ТСП) является организация, принимающая платежные карты в оплату за продаваемые товары или услуги. Примерами торгово-сервисных предприятий являются магазины, рестораны, отели и интернет-магазины.

По классификации Visa:

  • ТСП, обрабатывающие более чем 6 млн транзакций в год.

Требования к сертификации:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.
  • ТСП, обрабатывающие от 1 до 6 млн транзакций в год.

Требования к сертификации:

  • ежегодная самооценка соответствия с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.
  • ТСП, обрабатывающие от 20 000 до 1 млн транзакций в год с применением средств электронной коммерции.

Требования к сертификации:

  • ежегодная самооценка соответствия с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.
  • ТСП, обрабатывающие до 20 000 транзакций в год с применением средств электронной коммерции, а также иные ТСП, обрабатывающие до 1 млн транзакций в год.

Требования к сертификации:

  • рекомендована ежегодная самооценка соответствия с заполнением опросного листа;
  • рекомендовано ежеквартальное ASV-сканирование;
  • требования определяются банком-эквайером.

По классификации MasterCard:

  • ТСП, обрабатывающие более чем 6 млн транзакций в год.
  • ТСП, через системы которых были скомпрометированы данные о держателях карт;
  • ТСП, отнесенные международной платёжной системой Visa к 1 уровню;
  • ТСП, напрямую отнесенные международной платёжной системой MasterCard к 1 уровню.

Требования к сертификации:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.
  • ТСП, обрабатывающие от 1 до 6 млн транзакций в год;
  • ТСП, отнесенные международной платёжной системой Visa ко 2 уровню.

Требования к сертификации:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.
  • ТСП, обрабатывающие от 20 000 до 1 млн транзакций в год с применением средств электронной коммерции.
  • ТСП, отнесенные международной платёжной системой Visa к 3 уровню.

Требования к сертификации:

  • ежегодная самооценка соответствия с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.

Требования к сертификации:

  • рекомендована ежегодная самооценка соответствия с заполнением опросного листа;
  • рекомендовано ежеквартальное ASV-сканирование;
  • требования определяются банком-эквайером.

Уровни сертификации поставщиков услуг [ править | править код ]

Поставщиками услуг являются организации, оказывающие различные услуги, в основном в сфере информационных технологий, торгово-сервисным предприятиям, банкам-эквайерам и эмитентам, и непосредственно международным платежным системам. При этом, организация — поставщик услуг получает доступ к данным о держателях карт. Примерами поставщиков услуг является процессинговые центры, платежные шлюзы, дата-центры, поставщики услуг токенизации и шифрования «точка-точка» (P2PE).

По классификации Visa:

  • Все процессинговые центры, подключенные к VisaNet;
  • Поставщики услуг, обрабатывающие, хранящие или передающие данные о более чем 300 000 транзакций в год.

Требования к сертификации:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.
  • Поставщики услуг, обрабатывающие, хранящие или передающие данные о менее чем 300 000 транзакций в год.

Требования к сертификации:

  • ежегодная самооценка соответствия с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.

По классификации MasterCard:

  • Все процессинговые центры.
  • Поставщики услуг, обрабатывающие, хранящие или передающие данные о более чем 300 000 транзакций в год.
  • Все процессинговые центры и поставщики услуг, через системы которых были скомпрометированы данные о держателях карт.

Требования к сертификации:

  • ежегодный аудит, выполняемый QSA-аудитором на объекте организации;
  • ежеквартальное ASV-сканирование.
  • Поставщики услуг, обрабатывающие, хранящие или передающие данные о менее чем 300 000 транзакций в год.

Требования к сертификации:

  • ежегодная самооценка соответствия с заполнением опросного листа (SAQ);
  • ежеквартальное ASV-сканирование.

Аудиторские компании PCI QSA [ править | править код ]

Как видно из классификации, сертификация по высшим уровням должна проводиться аудиторской компанией, обладающей статусом Qualified Security Assessor (PCI QSA). Для остальных уровней привлечение QSA не является обязательным требованием. Однако QSA может оказать консалтинговые услуги для прохождения сертификации по любому уровню. [ источник не указан 2624 дня ]

Аудиторские компании PCI PA-QSA [ править | править код ]

Существует родственный PCI DSS стандарт безопасности платежных приложений — Payment Card Industry Payment Application — Data Security Standard (PCI PA-DSS). Производители программного обеспечения, участвующего в обработке платежных транзакций, должны сертифицировать приложения по стандарту PA-DSS. По требованиям международных платежных систем Visa и MasterCard все торгово-сервисные предприятия (англ. Merchant ) и поставщики услуг начиная с 1 июля 2012 года должны использовать только сертифицированные по стандарту PA-DSS платёжные приложения. Контроль выполнения этого требования возложен на банки-эквайеры. Сертификацию платёжных приложений по стандарту PA-DSS могут выполнять компании, обладающие статусом PCI PA-QSA. [ источник не указан 2624 дня ]

Читайте также:  Горячие клавиши копировать все

Требования стандарта PCI DSS [ править | править код ]

PCI DSS определяет следующие шесть областей контроля и 12 основных требований по безопасности.

Построение и сопровождение защищённой сети [ править | править код ]

  • Требование 1: установка и обеспечение функционирования межсетевых экранов для защиты данных держателей карт.
  • Требование 2: неиспользование выставленных по умолчанию производителями системных паролей и других параметров безопасности.

Защита данных держателей карт [ править | править код ]

  • Требование 3: обеспечение защиты данных держателей карт в ходе их хранения.
  • Требование 4: обеспечение шифрования данных держателей карт при их передаче через общедоступные сети.

Поддержка программы управления уязвимостями [ править | править код ]

  • Требование 5: использование и регулярное обновление антивирусного программного обеспечения.
  • Требование 6: разработка и поддержка безопасных систем и приложений.

Реализация мер по строгому контролю доступа [ править | править код ]

  • Требование 7: ограничение доступа к данным держателей карт в соответствии со служебной необходимостью.
  • Требование 8: присвоение уникального идентификатора каждому лицу, имеющему доступ к информационной инфраструктуре.
  • Требование 9: ограничение физического доступа к данным держателей карт.

Регулярный мониторинг и тестирование сети [ править | править код ]

  • Требование 10: контроль и отслеживание всех сеансов доступа к сетевым ресурсам и данным держателей карт.
  • Требование 11: регулярное тестирование систем и процессов обеспечения безопасности.

Поддержка политики информационной безопасности [ править | править код ]

  • Требование 12: разработка, поддержка и исполнение политики информационной безопасности.

Версии стандарта PCI DSS [ править | править код ]

Совет PCI SSC следует трехлетнему циклу обновления стандарта. Первый год — внедрение стандарта в индустрии, второй год — сбор обратной связи в виде комментариев и пожеланий от участников индустрии платежных карт, третий год — подготовка новой версии стандарта. Между этапами проводятся конференции PCI SSC Community Meeting, которые состоят из американской и европейской сессий. В ходе конференций организации-участники, международные платежные системы, консультанты и QSA-аудиторы, а также торгово-сервисные предприятия и поставщики услуг обсуждают будущее стандарта и сопутствующих документов.

История изменений стандарта:

  • 1.0 — первоначальная версия стандарта.
  • 1.1 — принята в сентябре 2006 года.
  • 1.2 — принята в октябре 2008 года.
  • 1.2.1, малая редакция — принята в июле 2009 года; содержит незначительные технические поправки.
  • 2.0 — принята в октябре 2010 года.
  • 3.0 — принята в ноябре 2013 года.
  • 3.1 — принята в апреле 2015 года.
  • 3.2 — принята в апреле 2016 года.

В последнее время Visa и MasterCard все более активно требуют соответствия стандарту PCI DSS от платежных шлюзов, торгово-сервисных предприятий, подключенных к ним, а также от поставщиков услуг, которые могут влиять на безопасность карточных данных. В связи с этим вопрос соответствия требованиям стандарту PCI DSS становится важным не только для крупных игроков индустрии платежных карт, но и для небольших торгово-сервисных предприятий. В этой статье мы ответим на основные вопросы, которые волнуют организации, перед которыми встала задача сертификации по стандарту PCI DSS.

Стандарт PCI DSS был разработан Советом по стандартам безопасности данных индустрии платежных карт PCI SSC (Payment Card Industry Security Standards Council), который был учрежден международными платежными системами Visa, MasterCard, American Express, JCB, Discover. Стандарт регламентирует предопределенный перечень требований, как с технической, так и с организационной стороны, подразумевая комплексный подход с высокой степенью требовательности к обеспечению безопасности данных платежных карт (ДПК).

FAQ по PCI DSS для тех, кто интересуется сертификацией

# На кого распространяются требования стандарта PCI DSS?

В первую очередь стандарт определяет требования к организациям, в информационной инфраструктуре которых хранятся, обрабатываются или передаются данные платёжных карт, а также к организациям, которые могут влиять на безопасность этих данных. Цель стандарта достаточно очевидна — обеспечить безопасность обращения платёжных карт. С середины 2012 года все организации, вовлечённые в процесс хранения, обработки и передачи ДПК должны соответствовать требованиям PCI DSS, и компании на территории Российской Федерации не являются исключением.

Чтобы понять, попадает ли ваша организация под обязательное соблюдение требований стандарта PCI DSS, предлагаем воспользоваться несложной блок-схемой.

  • Хранятся, обрабатываются или передаются ли данные платежных карт в вашей организации?
  • Могут ли бизнес-процессы вашей организации непосредственно влиять на безопасность данных платежных карт?

При отрицательных ответах на оба эти вопроса сертифицироваться по PCI DSS ненужно. В случае же хотя бы одного положительного ответа, как видно на рисунке 1, соответствие стандарту является необходимым.

# Каковы требования стандарта PCI DSS?

Для соответствия стандарту необходимо выполнение требований, которые в общих чертах представлены двенадцатью разделами, приведёнными в таблице ниже.

Таблица 1. Верхнеуровневые требования стандарта PCI DSS

Требования стандарта PCI DSS
1. Защита вычислительной сети 7. Управление доступом к данным о держателях карт
2. Конфигурация компонентов информационной инфраструктуры 8. Механизмы аутентификации
3. Защита хранимых данных о держателях карт 9. Физическая защита информационной инфраструктуры
4. Защита передаваемых данных о держателях карт 10. Протоколирование событий и действий
5. Антивирусная защита информационной инфраструктуры 11. Контроль защищённости информационной инфраструктуры
6. Разработка и поддержка информационных систем 12. Управление информационной безопасностью

Если же несколько углубиться, стандарт требует прохождения порядка 440 проверочных процедур, которые должны дать положительный результат при проверке на соответствие требованиям.

# Как можно подтвердить соответствие стандарту PCI DSS?

Существуют различные способы подтверждения соответствия требованиям стандарта PCI DSS, которые заключаются в проведении внешнего аудита (QSA), внутреннего аудита (ISA) или самооценки (SAQ) организации. Особенности каждого из них проиллюстрированы в таблице.

Таблица 2. Способы подтверждения соответствия стандарту PCI DSS

Внешний аудит QSA (Qualified Security Assessor) Внутренний аудит ISA
(Internal Security Assessor)
Самооценка SAQ
(Self Assessment Questionnaire)
Выполняется внешней аудиторской организацией QSA, сертифицированной Советом PCI SSС. Выполняется внутренним прошедшим обучение и сертифицированным по программе Совета PCI SSC аудитором.Может быть проведен только в случае, если первично соответствие было подтверждено QSA-аудитом. Выполняется самостоятельно путём заполнения листа самооценки.
В результате проверки QSA-аудиторы собирают свидетельства выполнения требований стандарта и сохраняют их в течение трёх лёт. В результате проверки ISA-аудиторы, как и при внешнем аудите, собирают свидетельства выполнения требований стандарта и сохраняют их в течение трёх лёт. Сбор свидетельств выполнения требований стандарта не требуется.
По результатам проведённого аудита подготавливается отчёт о соответствииROC (Report on Compliance). Самостоятельно заполняется лист самооценки SAQ.

Несмотря на кажущуюся простоту представленных способов, клиенты зачастую сталкиваются с непониманием и затруднениями при выборе соответствующего способа. Примером тому являются возникающие вопросы, приведенные ниже.

Читайте также:  0 Байт на диске с что делать

# В какой ситуации необходимо проводить внешний аудит, а в какой — внутренний? Или же достаточно ограничиться самооценкой организации?

Ответы на эти вопросы зависят от типа организации и количества обрабатываемых транзакций в год. Нельзя руководствоваться случайным выбором, поскольку существуют документированные правила, регулирующие, какой способ подтверждения соответствия стандарту будет использовать организация. Все эти требования устанавливаются международными платёжными системами, наиболее популярными из них в России являются Visa и MasterCard. Даже существует классификация, согласно которой выделяют два типа организаций: торгово-сервисные предприятия (мерчанты) и поставщики услуг.

Торговосервисноепредприятие — это организация, принимающая платежные карты к оплате за товары и услуги (магазины, рестораны, интернет-магазины, автозаправочные станции и прочее).

Поставщик услуг – организация, оказывающая услуги в индустрии платежных карт, связанные с обработкой платежных транзакций (дата-центры, хостинг-провайдеры, платежные шлюзы, международные платежные системы и т. д.).

В зависимости от количества обрабатываемых в год транзакций, мерчанты и поставщики услуг могут быть отнесены к различным уровням.

Допустим, торгово-сервисное предприятие обрабатывает до 1 млн транзакций в год с применением электронной коммерции. По классификации Visa и MasterCard (рис. 2) организация будет относиться к уровню 3. Следовательно, для подтверждения соответствия PCI DSS необходимо проведение ежеквартального внешнего сканирования уязвимостей компонентов информационной инфраструктуры ASV (Approved Scanning Vendor) и ежегодная самооценка SAQ. В таком случае организации не нужно заниматься сбором свидетельств соответствия, поскольку для текущего уровня в этом нет необходимости. Отчётным документом будет выступать заполненный лист самооценки SAQ.

ASV-сканирование (Approved Scanning Vendor) — автоматизированная проверка всех точек подключения информационной инфраструктуры к сети Интернет с целью выявления уязвимостей. Согласно требованиям стандарта PCI DSS, такую процедуру следует выполнять ежеквартально.

Или же рассмотрим пример с поставщиком облачных услуг, который обрабатывает более 300 тысяч транзакций в год. Согласно установленной классификации Visa или MasterCard, поставщик услуг будет относиться к уровню 1. А значит, как указано на рисунке 2, необходимо проведение ежеквартального внешнего сканирования уязвимостей компонентов информационной инфраструктуры ASV, а также внешнего ежегодного QSA аудита.

Стоит отметить, что банк, участвующий в процессе приёма платёжных карт к оплате за товары или услуги, так называемый банк-эквайер, а также международные платежные системы (МПС) могут переопределить уровень подключённого к ним торгово-сервисного предприятия или используемого поставщика услуг согласно своей собственной оценке рисков. Присвоенный уровень будет иметь приоритет перед классификацией международной платёжной системы, указанной на рисунке 2.

Рисунок 2. Классификация уровней и требования подтверждения соответствия стандарту PCI DSS

# Представляет ли однократное нарушение сроков ASV-сканирования серьёзный риск с точки зрения соответствия PCI DSS?

Организация, получившая статус PCI DSS, должна регулярно выполнять ряд требований, например проводить ежеквартальное ASV-сканирование. При первичном прохождении аудита достаточно иметь документированную процедуру ASV-сканирования и результаты хотя бы однократного её успешного выполнения за последние три месяца. Все последующие сканирования должны быть ежеквартальными, отрезок времени не должен превышать трёх месяцев.

Нарушение расписания внешнего сканирования на уязвимости влечет за собой наложение дополнительных требований к системе менеджмента информационной безопасности в организации. Во-первых, необходимо будет все же провести ASV-сканирование на уязвимости, добиться «зеленого» отчета. А во-вторых, потребуется разработать дополнительную процедуру, которая не будет допускать подобных нарушений расписания в будущем.

В заключение

Основные выводы можно выразить цитатой Петра Шаповалова, инженера по защите информации ООО «Дейтерий»:

«Несмотря на то, что на территории Российской Федерации уже начала функционировать своя Национальная система платежных карт (НСПК), требования международных платежных систем не упразднили. Наоборот, в последнее время от Visa и MasterCard участились письма банкам-эквайерам о том, чтобы последние требовали соответствия стандарту PCI DSS от платежных шлюзов, торгово-сервисных предприятий, подключенных к ним, а также от поставщиков услуг, которые могут влиять на безопасность карточных данных. В связи с этим вопрос соответствия требованиям стандарту PCI DSS становится важным не только для крупных игроков индустрии платежных карт, но и для небольших торгово-сервисных предприятий.

Актуальной для российского рынка сейчас является услуга по управляемым сервисам. Заключается она в том, что поставщик услуг предоставляет клиентам не только оборудование или виртуальную информационную инфраструктуру в аренду, но и услуги по ее администрированию в соответствии с требованиями стандарта PCI DSS. Особенно полезно это для небольших торгово-сервисных предприятий, которые не имеют своих подразделений информационных технологий и информационной безопасности. Обращение к сертифицированным поставщикам услуг помогает существенно упростить процесс сертификации по стандарту PCI DSS для торгово-сервисных предприятий и обеспечить защиту данных платежных карт на должном уровне».

В качестве примера компании, предоставляющей услуги по управляемым сервисам PCI DSS (не только аренда инфраструктуры PCI DSS, но и её администрирование в соответствии с требованиями стандарта), можно привести IaaS-провайдера «ИТ-ГРАД».

Привет, %username%!
Этот пост мы подготовили для тех, кто работает в сфере интернет-коммерции и планирует принимать (или уже принимает) платежи на собственном сайте. Мы расскажем о международном стандарте безопасности данных PCI DSS. Поговорим о его основных требованиях к информационной инфраструктуре, которая обеспечивает обработку и обеспечение безопасности данных банковских карт. Также мы рассмотрим основные причины прохождения сертификации и возможности, которые получает сертифицированная компания.

PCI DSS (Payment Card Industry Data Security Standard) — стандарт безопасности данных индустрии платежных карт. Стандарт разработан международными платежными системами Visa и MasterCard. Любая организация, планирующая принимать и обрабатывать данные банковских карт на своем сайте, должна соответствовать требованиям PCI DSS.

Существует 4 уровня сертификатов PCI DSS, которые в первую очередь отличаются максимально возможным количеством обрабатываемых транзакций:

  • Level 4 позволяет обрабатывать до 20 тыс. транзакций в год. Для подтверждения соответствия требованиям PCI DSS требуется ежеквартальное сканирование внешних адресов на наличие уязвимостей (ASV-сканирование) и заполнение листа самооценки (Annual Self-Assessment Questionnaire, SAQ)
  • Level 3 позволяет обрабатывать от 20 тыс. до 1млн. транзакций в год. Для прохождения сертификации требуется как ежеквартальное ASV-сканирование, так и заполнение листа самооценки (SAQ).
  • Level 2 позволяет обрабатывать от 1 млн. до 6 млн. транзакций в год. Для подтверждения соответствия требованиям PCI DSS требуется ежеквартальное ASV-сканирование и заполнение листа самооценки (SAQ). Однако, после 30 июня 2012 года для заполнения SAQ на этом уровне будет необходимо либо отправлять собственных сотрудников на специализированный тренинг, либо привлекать компанию-аудитора (PCI QSA).
  • Сертификация на соответствие требованиям PCI DSS Level 1 проводится только с привлечением независимого аудитора (QSA) и позволяет обрабатывать более 6 млн. транзакций в год. Процедура сертификации включает в себя обследование информационной инфраструктуры компании, разработку рекомендаций и нормативных документов, необходимых для соответствия стандарту, консультационную поддержку при внедрении.

Мы ежегодно проходим сертификацию на соответствие требованиям стандарта PCI DSS. Для нас, как для процессингового центра, соответствие требованиям PCI DSS Level 1 является обязательным. Такое требование международные платежные системы (МПС) предъявляют к компаниям, предоставляющим услуги интернет-эквайринга.
Предприятия, реализующие товары или услуги через Интернет, проходят сертификацию на соответствие требованиям PCI DSS по ряду причин:

  • Конверсия. Компании опасаются потери части оплат при переходе из корзины на отдельную платежную страницу.
  • Имидж. Иногда крупные компании не хотят, чтобы для ввода данных банковской карты клиент переходил с сайта компании на сайт сторонней организации (банка или процессингового центра).
  • Технические задачи. Компании нужно построить собственную высокотехнологичную схему проведения платежей, ориентированную на специфику бизнеса.
Читайте также:  Вентканал в несущей стене

Сертификация PCI DSS позволяет работать с банками напрямую через платежные интерфейсы банка и самого интернет-предприятия. Это позволяет исключить переход покупателя на сайт сторонней организации. Кроме того, построение собственной платежной системы позволяет работать напрямую сразу с несколькими банками, «балансируя» между ними, и построить систему «каскадного» проведения платежей. При «каскадном» проведении платежа, его авторизация осуществляется последовательно в нескольких банках и процессинговых центрах, что позволяет значительно снизить процент отклоненных транзакций.

Но самостоятельная работа с банками дает компании не только преимущество в адаптации платежной системы «под себя». Она обязывает компанию взять на себя борьбу с мошенническими операциями при обработке данных банковских карт на своем сайте. Иными словами, компании необходимо построить собственную систему мониторинга и борьбы с мошенническими операциями (анти-фрод). Задача анти-фрод системы – фильтрация операций, определяемых как мошеннические, по ряду признаков (например, несовпадение банка-эмитента со страной оплаты или проживания плательщика).

На стадии построения и отладки анти-фрод системы много времени «съест» сбор и анализ данных об операциях по банковским картам. Цель сбора данных – выявление отличительных признаков мошеннических операций. В процессе сбора статистики компании придется столкнуться с большим объемом «charge-back» операций.

Построение собственной анти-фрод системы логично и финансово обосновано для компаний с большим оборотом платежей по банковским картам. Для таких компаний гибкость и полный контроль над системой фильтрации платежей являются критически важными. Плюс, у такой компании есть возможность выделить ресурсы на разработку и постоянное развитие технологий и инструментов собственного “мини процессингового центра”.

Стоит отметить, что в мониторинге рисков сложно найти лучшего поставщика услуг, чем процессинговый центр. Благодаря разнообразию и значительному количеству клиентов, ПЦ обладает обширной историей мониторинга и фильтрации. Даже если компания занимается построением собственной анти-фрод системы, она может отдавать на обработку в ПЦ транзакции, вызывающие сомнения у внутренних специалистов по рискам.

Для принятия взвешенного решения о выборе способа обработки данных банковских карт, необходимо оценивать все составляющие процесса от подачи документов до поддержки кардхолдеров. Для того чтобы принять решение было проще, мы провели сравнение двух основных подходов по приему и обработке данных банковских карт: если ввод данных осуществляется на стороннем сайте (например, ПЦ) – и если данные вводят на сайте предприятия с последующей авторизацией платежа в банке.

Ввод данных банковской карты осуществляется на сайте предприятия с последующей авторизацией платежей (например в банке) Ввод данных банковской карты осуществляется на стороннем сайте (например на защищенной платежной странице ПЦ)
PCI DSS Прохождение сертификации на соответствие требованиям PCI DSS обязательно. Прохождение сертификации не обязательно.
Подключение Для приема платежей напрямую, необходимо самостоятельно подключиться к банку. Решение банка зависит, в том числе, от оборота компании. Для подключения необходимо передать пакет документов личному менеджеру, который будет взаимодействовать с банком и заниматься подготовкой договора.
Комиссия Комиссия, взимаемая банком за обработку платежей, составляет от 2% от суммы транзакции и зависит от объема оборота и сферы деятельности компании. Процент комиссии, полученный клиентом от банка напрямую, зачастую равен проценту, предоставляемому ПЦ. Это связано с “оптовыми” условиями работы для ПЦ и высоким уровнем надежности мониторинга транзакций, в котором заинтересован банк. Комиссия, взимаемая ПЦ за обработку платежей и комплекс дополнительных услуг, составляет от 2,5% от суммы транзакции и зависит от объема оборота и сферы деятельности компании.
Бухгалтерия Взаимодействием с банком по вопросам бухгалтерской отчетности и проведением платежей компания занимается самостоятельно. Для составления отчетов требуется активная работа с банком и построение собственной биллинговой системы. Биллинговая система ПЦ предоставляет клиентам возможность производить online-учет осуществленных транзакций. Возможность самостоятельно выгружать бухгалтерские документы (акт, детализированная выписка системы PayOnline, счет) в интерфейсе личного кабинета.
Поддержка плательщиков Для оказания квалифицированной поддержки плательщиков необходимо организовать собственный Call-центр или покупать услуги стороннего (от 25 000 руб. /мес. за работу специалиста). Если у Вас уже есть Call-центр, необходимо провести дополнительную обучение специалистов для работы с держателями карт. Также требуется построение инфраструктуры Call-центра: софт, телефония. Поддержка держателей карт, совершающих платежи в Вашем интернет-магазине, осуществляется специалистами Call-центра ПЦ.
Мониторинг транзакций Мониторинг транзакций должен осуществляться штатными квалифицированными специалистами предприятия e-commerce, обрабатывающего данные банковских карт. Заработная плата специалиста по рискам — от 35 000 руб. / мес. Мониторинг транзакций, с том числе программный, осуществляется специалистами департамента рисков ПЦ.
Железо Требуются вложения в серверную часть, необходимые для прохождения сертификации и обеспечения достаточного уровня безопасности. Сумма зависит от Level-a сертификата и предполагаемой инфраструктуры. Вам не требуются дополнительные расходы на развитие серверной части, так как обработка транзакций происходит на защищенных серверах ПЦ.
Разработка Для организации самостоятельного приема платежей необходима разработка или покупка биллинговой системы, в том числе сервисов безопасной передачи данных в банк, безопасных форм приема платежей, дополнительных интерфейсов. Требуется постоянная работа специалиста высокой квалификации стоимостью не менее 65000 руб. / мес. Для подключения к ПЦ требуется единоразовое привлечение разработчика для внедрения платежной формы на сайт компании. При необходимости, брендированая платежная форма разрабатывается специалистами ПЦ.
Прием платежей на сайте (без перехода на сторонний ресурс) Вы обрабатываете данные банковских карт на сайте без перехода на сторонний ресурс. Возможна реализация приема платежей без прямого перехода на сайт ПЦ с использованием технологии IFrame.

Таким образом, если компания собирается пройти сертификацию на соответствие PCI DSS и самостоятельно обрабатывать данные банковских карт на сайте, к ней применяются все требования стандарта PCI DSS. Они охватывают безопасность на уровне сетей, оборудования, приложений, баз данных, физических хранилищ, документирования и управления процессами. И, как уже говорилось выше, построение анти-фрод системы и биллинговой системы, задача непростая и длительная в реализации, также выполняется компанией самостоятельно.

К компаниям, работающим только с платёжным шлюзом и не принимающих на своем данных банковских карт клиентов, относятся только требования департамента рисков платежного шлюза (ПЦ). Они касаются сайта предприятия e-commerce, корректности контента и ценовых предложений, организационной формы компании.

Если после прочтения этого поста у Вас появились вопросы – пишите в комментарии. Со стороны аудитора и специалиста по требованиям стандарта PCI DSS Вас проконсультирует Евгений Безгодов aka Bezgodov, исполнительный директор компании Deiteriy, CISA, PCI QSA. Со стороны платежного шлюза как всегда на связи специалисты процессингового центра PayOnline.