Комплаенс
Соответствие требованиям PCI DSS
Защита данных платёжных карт при их приёме, передаче и хранении.
Кого это касается
Компании, которые принимают оплату картами напрямую: интернет-магазины, сервисы подписок, офлайн-точки с собственным процессингом.
Что требует стандарт
- Сегментация сети и изоляция платёжного контура
- Шифрование карточных данных при передаче и запрет хранения CVV
- Разграничение доступа к платёжным данным по принципу необходимости
- Регулярное сканирование уязвимостей и тестирование на проникновение
- Мониторинг и журналирование доступа к платёжному контуру
- Поддержание актуальности компонентов и политики безопасности
Что делаем мы
- Сокращаем область применения: выносим ввод карты на сторону эквайринга, работаем с токенами
- Проектируем сегментацию, чтобы требования применялись к одному контуру, а не ко всей сети
- Проводим тестирование на проникновение и сканирование уязвимостей
- Настраиваем логирование и мониторинг доступа к платёжным данным
- Готовим доказательства и сопровождаем проверку со стороны банка-эквайера
Что обычно находим
Главный источник расходов — попытка обрабатывать карточные данные на своей стороне. Перенос ввода карты на hosted-страницу провайдера убирает большинство требований сразу.