PCI DSS za mala podjetja: kaj morate storiti in kje začeti

Če vaše podjetje shranjuje, obdeluje ali prenaša podatke imetnikov kartic, se vas standard PCI DSS neposredno dotika, ne glede na velikost prometa. Najhitrejši način, da zmanjšate obseg zahtev, je uporaba verificiranega POS terminala ali tokenizacije prek ponudnika plačilnih storitev, ker podatki kartic potem sploh ne pridejo do vaših sistemov. Preden se lotite papirologije, preberite kontrolni seznam spodaj in fazni načrt, ki vam pove, kaj storiti prvih 90 dni.

Na kratko:

• Uporaba certificiranega POS terminala ali tokenizacije prek ponudnika plačilnih storitev znatno zmanjša obseg zahtev, saj podatki kartic ne pridejo v vaše sisteme.
• Pri majhnih podjetjih je najboljša izbira SAQ B ali SAQ C-V, odvisno od arhitekture sistema, pravilna pa je tudi uporaba P2PE terminalov za bistveno enostavnejšo skladnost.
• Zamenjava starejšega terminala brez šifriranja za certificiran model s P2PE pogosto preusmeri podjetje v lažjo kategorijo SAQ, zato je pomembno pred nakupom povprašati ponudnika.
• Hitro izolirajte in zabeležite vse prizadete sisteme v primeru suma vdora, ter čim prej obvestite acquirerja in kartične sheme, da zagotovite hitro ukrepanje.
• Upoštevanje novih zahtev tudi za majhna podjetja vključuje uvedbo večfaktorske avtentikacije, redno preverjanje dnevnikov in dokumentiranje tveganja.

Kazalo

• Hiter kontrolni seznam: kdo je v obsegu in kaj storiti zdaj
• Ključne zahteve PCI DSS 4.x, ki vplivajo na mala podjetja
• Kako zmanjšati obseg skladnosti: praktične tehnike za mala podjetja
• SAQ: katero različico izbrati in kako se pripraviti
• Praktični izvedbeni načrt za 60 do 90 dni
• Kaj storiti ob sumu kompromitacije podatkov kartic
• PosSlo: kako certificiran terminal zmanjša obseg PCI zahtev
• Certificirani POS terminali in spletna plačila brez mesečnih stroškov
• Viri
• Pogosta vprašanja

Hiter kontrolni seznam: kdo je v obsegu in kaj storiti zdaj

Vsako podjetje, ki sprejema plačilne kartice, je nekje v obsegu PCI DSS. Vprašanje ni, ali velja standard, ampak koliko dela vam prinese.

Najprej preverite, kje se podatki kartic dejansko pojavijo v vašem poslovanju:

• Ali terminal ali blagajna kadarkoli shranjuje številke kartic ali podatke s magnetnega zapisa?
• Ali podatki potujejo skozi vaše lastno omrežje ali direktno k obdelovalcu?
• Ali imate spletno trgovino, ki sprejema plačila prek lastnega obrazca, ali uporabljate zunanjo preusmeritev?
• Kdo pri vas dostopa do sistemov, povezanih s plačili, in kako je ta dostop zaščiten?

Takoj lahko naredite tri stvari: preklopite na politiko naseljevanja podatkov kartic v lastnih sistemih, uporabite certificiran POS terminal ali rešitev s P2PE šifriranjem in vklopite več faktorsko avtentikacijo za vse skrbniške dostope. Nato pokličite svojega ponudnika plačilnih storitev (acquirerja) in vprašajte, katero vrsto SAQ vprašalnika pričakuje od vas.

Strokovni nasvet: Preden karkoli spremenite v svoji infrastrukturi, si zapišite natančen seznam vseh sistemov, ki se kakorkoli dotikajo plačilnih podatkov. Ta seznam boste potrebovali pri vsakem naslednjem korak.

Ključne zahteve PCI DSS 4.x, ki vplivajo na mala podjetja

Nova verzija standarda, PCI DSS 4.x, prinaša spremembe, ki jih majhna podjetja ne morejo prezreti. Standard je bolj prilagodljiv pri metodi izpolnjevanja, hkrati pa strožji pri nekaterih tehničnih kontrolah.

Štiri področja zahtevajo vašo pozornost:

• Ciljno usmerjena analiza tveganja (TRA) omogoča, da namesto togih pravil dokumentirate lastno oceno tveganja in utemeljite alternativne kontrole, če so enako učinkovite.
• Več faktorska avtentikacija (MFA) je zdaj obvezna za vsak dostop do okolja s podatki imetnikov kartic, ne le za administratorje na daljavo. PCI Security Standards Council to jasno opredeljuje kot eno od osrednjih novosti verzije 4.x.
• Beleženje in redni pregled dnevnikov postane stalna naloga, ne le tehnična nastavitev, ker morate dokazati, da dnevnike dejansko pregledujete in ne le zbirate.
• Šifriranje in tokenizacija ostajata najučinkovitejši način, da podatki kartic sploh ne pridejo v vaše sisteme v čitljivi obliki.

Za mala podjetja z eno lokacijo in enim terminalom to pomeni predvsem urejen dostop do sistemov in dokazljivo spremljanje dogodkov, ne obsežnega tehničnega projekta.

Kako zmanjšati obseg skladnosti: praktične tehnike za mala podjetja

Obseg skladnosti je odvisen od tega, koliko sistemov pri vas dejansko “vidi” podatke kartic. Manj sistemov v obsegu pomeni krajši SAQ vprašalnik in manj dela.

1. Uvedite P2PE terminal. Point to Pont šifriranje pomeni, da se podatki kartice šifrirajo že v trenutku vstavitve ali približanja kartice in se dešifrirajo šele pri obdelovalcu, nikoli na vaši strani. PCI SSC potrjuje, da majhni trgovci z uporabo certificiranih terminalov pogosto znatno zmanjšajo obseg zahtev.
2. Preusmerite obdelavo na PSP prek tokenizacije. Namesto da hranite podatke kartic, jih zamenjate s tokenom, ki je uporaben samo za vašega ponudnika plačil in nima vrednosti, če pride v napačne roke.
3. Onemogočite nepotrebne vmesnike na terminalu. Certificirane konfiguracije s tovarniško zaklenjenimi nastavitvami preprečijo, da bi kdo spremenil način obdelave podatkov ali dodal neavtoriziran dostop.
4. Za spletno trgovino uporabite virtualni terminal ali plačilni prehod namesto lastnega obrazca za vnos kartice, ker se s tem podatki kartic nikoli ne dotaknejo vašega strežnika.

Vsak od teh štirih ukrepov posamično zmanjša obseg. Skupaj lahko podjetje iz zahtevnejšega SAQ D prestavijo v bistveno enostavnejšo kategorijo.

SAQ: katero različico izbrati in kako se pripraviti

SAQ (samoohranitveni vprašalnik) je dokument, s katerim dokažete skladnost brez zunanjega revizorja, če vaš letni obseg transakcij tega ne zahteva. Napačna izbira vprašalnika je najpogostejša napaka malih podjetij.

Najpogostejši tipi so:

• SAQ A za trgovce, ki celotno obdelavo kartic v celoti preusmerijo na zunanjega ponudnika (npr. spletna trgovina s preusmeritvijo na plačilni prehod).
• SAQ A-EP za spletne trgovce, ki nadzorujejo stran s plačilnim obrazcem, tudi če je sama obdelava zunanja.
• SAQ B za trgovce s samostojnimi terminali brez povezave z drugimi sistemi.
• SAQ C-V za virtualne terminale, dostopne prek spletnega brskalnika, brez lokalnega shranjevanja podatkov.
• SAQ D za vse ostale, kjer sistemi shranjujejo ali obdelujejo podatke kartic na kompleksnejši način.

Preden izberete, preverite arhitekturo: kateri terminal uporabljate, ali podpira P2PE, in kako je urejena spletna integracija. Pravilna presoja pogosto spremeni SAQ D v veliko lažji SAQ C-V ali SAQ B. Za podjetja z večjim obsegom transakcij ali kompleksnejšo infrastrukturo acquirer lahko zahteva zunanjega presojevalca (QSA) ali redno skeniranje ranljivosti prek pooblaščenega ponudnika (ASV).

Strokovni nasvet: Ne izbirajte SAQ na podlagi tega, kar se zdi “varneje” izbrati. Napačna, prezahtevna izbira vam ne prinese dodatne varnosti, samo več nepotrebnega administrativnega dela.

Praktični izvedbeni načrt za 60 do 90 dni

Skladnost je proces, ne enkraten projekt, zato si razdelite delo v jasne faze z odgovornimi osebami.

1. Teden 1–2: inventura. Lastnik ali IT oseba popiše vse sisteme, ki se dotikajo podatkov kartic.
2. Teden 3–4: hitri tehnični ukrepi. MFA, posodobitve terminala, odstranitev nepotrebnega shranjevanja podatkov.
3. Teden 5–6: ASV sken. Zunanji pooblaščeni ponudnik preveri ranljivosti omrežja, če jih vaš SAQ zahteva.
4. Teden 7–10: izpolnitev SAQ. Skupaj s ponudnikom plačilnih storitev potrdite pravilno kategorijo in oddate dokumentacijo.
5. Teden 11–13: vzpostavitev stalnega nadzora. Redno spremljanje dnevnikov in periodično preverjanje pravic dostopa.

Stroški so odvisni predvsem od tega, ali že uporabljate certificirano opremo. Podjetje, ki zamenja terminal za certificiran model s P2PE, pogosto porabi manj časa na papirologijo kot podjetje, ki poskuša skladnost doseči z obstoječo, nepodprto infrastrukturo.

Kaj storiti ob sumu kompromitacije podatkov kartic

Hitrost odziva pri sumu vdora odloča, koliko škode nastane in kako hitro se vrnete k normalnemu poslovanju.

• Takoj izolirajte prizadete sisteme od omrežja, ne izklapljajte jih, saj lahko izbrišete dokaze.
• Ohranite dnevnike in dokaze ter po potrebi vključite forenzičnega strokovnjaka, ki ga pogosto priporoča ali zahteva vaš acquirer.
• Obvestite acquirerja in kartične sheme v skladu z njihovimi postopki, ker imajo te pogosto lastne obvezne roke za prijavo.
• Preverite, ali gre za osebne podatke po GDPR in po potrebi obvestite pristojni organ v 72 urah.
• Pripravite dokazila o skladnosti pred incidentom, ker vam ta olajšajo komunikacijo z zavarovalnico in kartičnimi shemami.

PosSlo: kako certificiran terminal zmanjša obseg PCI zahtev

Ponudnik POS terminalov ponuja klasične POS naprave, soft POS rešitve, unattended terminale ter spletna plačila. Pri prodaji vsak terminal vključuje evropsko SIM kartico za prenos podatkov, brez mesečnih stroškov.

Praktičen primer: trgovina, ki zamenja starejši terminal brez šifriranja za certificiran model s P2PE, pogosto preide iz zahtevnejšega SAQ D v enostavnejši SAQ B ali C-V, ker podatki kartic nikoli ne pridejo do njenih lastnih sistemov. Kadar niste prepričani, kateri korak prinese največje zmanjšanje obsega, se posvetujte s svojim ponudnikom terminala ali PSP, preden investirate v dodatno programsko opremo.

— PosSlo

Certificirani POS terminali in spletna plačila brez mesečnih stroškov

Namesto da mesece porabite na papirologijo okoli SAQ D, lahko obseg zmanjšate že z izbiro pravega terminala. PosSlo prodaja klasične POS terminale s podprtim P2PE šifriranjem, soft POS rešitve za plačevanje prek telefona in unattended terminale za samopostrežne prodajne točke.

Vse naprave vključujejo brezplačno evropsko SIM kartico, brez mesečnih stroškov, z instantnimi izplačili in konkurenčnimi transakcijskimi provizijami. Za spletne trgovce, ki želijo obdelavo kartic v celoti prepustiti zunanjemu ponudniku in tako ostati v najlažji kategoriji SAQ A, so na voljo spletne plačilne rešitve. Če raje preizkusite opremo brez takojšnjega nakupa, si oglejte možnost najema POS terminalov. Preverite ponudbo in izberite napravo, ki ustreza vašemu obsegu poslovanja.

Viri

Za natančna navodila preverite uradne standarde PCI SSC, navodila za trgovce, SAQ smernice in vzorčno dokumentacijo URSIV. Za tehnične podrobnosti o POS tveganjih si oglejte tudi analizo ZCS.

• PCI Security Standards Council – Standards
• PCI SSC – Merchants guidance

Pogosta vprašanja

Ali mora vsako malo podjetje izpolnjevati PCI DSS?

Da, če podjetje kakorkoli shranjuje, obdeluje ali prenaša podatke imetnikov kartic, ne glede na obseg prometa; zahtevnost dokazovanja pa je odvisna od velikosti in vrste obdelave.

Katera SAQ različica je najprimernejša za majhno trgovino?

Trgovine z enim samostojnim verificiranim terminalom običajno izpolnjujejo SAQ B, spletni trgovci s preusmeritvijo plačila pa SAQ A.

Kako P2PE terminal zmanjša obseg PCI zahtev?

P2PE terminal šifrira podatke kartice takoj ob branju, zato podatki nikoli ne pridejo v čitljivi obliki do vaših sistemov, kar pogosto prestavi podjetje v lažjo SAQ kategorijo.

Koliko stane certificiran POS terminal pri PosSlo?

Cene klasičnih POS terminalov so navedene na strani s cenami; najem terminala je na voljo po ceni na povpraševanje.

Kaj storiti takoj po sumu kompromitacije kartičnih podatkov?

Izolirajte prizadete sisteme, ohranite dnevnike kot dokaze in nemudoma obvestite svojega acquirerja ter kartične sheme o incidentu.

Priporočeno

• Tri nujni ukrepi za varnost kartičnih plačil malih in srednjih podjetij
• Trgovci: tokenizacija kartice v treh korakih zmanjša PCI bremena
• Slovenski podjetniki: uredite sprejem kartic in davčno blagajno še ta teden