Rola IT we wdrażaniu PCI DSS

Czym jest PCI DSS?

PCI DSS (Payment Card Industry Data Security Standard) to standard bezpieczeństwa wydawany przez PCI Security Standards Council. Określa, jak chronić dane posiadaczy kart płatniczych we wszystkich systemach, które je przetwarzają, przechowują lub przesyłają. Spełnienie wymagań potwierdza się oceną zgodności, a potocznie mówi się o „certyfikacie PCI”.

Obecnie obowiązuje wersja PCI DSS 4.0.1. Wymagania oznaczone w wersji 4.0 jako przyszłe obowiązują od 31 marca 2025 r.

Kogo dotyczy PCI DSS?

Każdej firmy i instytucji, która przetwarza dane kart płatniczych. Firma, która nie spełnia wymagań, może stracić możliwość przyjmowania płatności kartami.

Firmy pośredniczące w płatnościach online, np. udostępniające klientom bramki płatnicze, muszą mieć zgodność potwierdzoną przez zewnętrznego audytora.

Wymagania wobec IT

Wdrożenie PCI DSS to duże zadanie dla działu IT. Przed audytem trzeba dostosować infrastrukturę do wysokich wymagań bezpieczeństwa i przetwarzania danych. Najważniejsze obszary opisujemy poniżej.

Bezpieczeństwo sieci

• Połączenia między sieciami niezaufanymi (untrusted networks) a środowiskiem danych kartowych ogranicza firewall. Dozwolony jest tylko ruch niezbędny dla tego środowiska.
• Firewalle i routery mają zdefiniowane standardy konfiguracji.
• Połączenia z sieci publicznych do środowiska danych kartowych przechodzą przez komponenty w strefie DMZ. Konfiguracja nie ujawnia wewnętrznej adresacji IP ani routingu.
• Zdalny dostęp pracowników, administratorów i firm zewnętrznych wymaga uwierzytelniania wieloskładnikowego (MFA). W wersji 4.0 MFA obowiązuje przy każdym dostępie do środowiska danych kartowych.
• Dostęp administracyjny inny niż z konsoli jest szyfrowany, np. przez SSH, VPN lub TLS.
• Systemy IDS/IPS monitorują ruch w punktach krytycznych i na granicach środowiska danych kartowych.

Bezpieczeństwo systemów

• Komputery i serwery narażone na złośliwe oprogramowanie mają ochronę antywirusową, która wykrywa i usuwa znane zagrożenia.
• Laptopy i komputery pracowników z dostępem do sieci firmowej mają włączony firewall.
• Wszystkie systemy mają aktualne poprawki bezpieczeństwa. Krytyczne poprawki instaluje się w ciągu miesiąca od wydania.
• Nowe podatności są identyfikowane i mają nadany poziom ryzyka. Podatności o wysokim ryzyku w aplikacjach własnych od razu trafiają do programistów.
• Oprogramowanie do monitorowania integralności plików (file integrity monitoring) wykrywa zmiany w krytycznych plikach systemowych, co najmniej raz w tygodniu.
• Hasła są zabezpieczone silną kryptografią w czasie przesyłania i przechowywania.
• Po 15 minutach bezczynności sesja jest blokowana, a powrót wymaga ponownego logowania.
• Domyślne ustawienia fabryczne zmienia się przed podłączeniem systemu do sieci.
• Systemy przechowujące dane kartowe działają w sieci wewnętrznej.

Kopie zapasowe

• Kopie obejmują wszystkie istotne dane produkcyjne: bazy danych, back-office, raporty i konfigurację systemów. Dane krytyczne kopiuje się co najmniej raz dziennie.
• Kopie na nośnikach wymiennych są przechowywane poza siedzibą firmy, a to miejsce jest sprawdzane co najmniej raz w roku.
• Nośniki z kopiami są ewidencjonowane i okresowo inwentaryzowane.

Dokumentacja i polityki

Potrzebna jest polityka bezpieczeństwa i przetwarzania informacji. Opisuje ona zasady przetwarzania danych i czynności, które spełniają wymagania bezpieczeństwa. Oprócz najważniejszych punktów dla IT obejmuje m.in.:

• logowanie zdarzeń i audyt,
• zabezpieczenie serwerów i stacji roboczych,
• zarządzanie dostępem, kontami użytkowników i hasłami,
• uprawnienia użytkowników i konta osobiste,
• strukturę kont administracyjnych, technicznych i awaryjnych,
• bezpieczeństwo fizyczne,
• rozwój oprogramowania i wdrożenia zmian.

Jak się do tego zabrać?

Zaczynamy od audytu i inwentaryzacji. Po opisaniu stanu obecnego przygotowujemy dokumentację wymaganą przez PCI DSS, porównujemy ją ze stanem faktycznym i wskazujemy, co trzeba zmienić. Dobrze opisane środowisko łatwiej skonfigurować i utrzymać w zgodzie z wymaganiami.

Mamy doświadczenie we wdrażaniu PCI DSS. Dla Primex Payments wdrożyliśmy PCI DSS od zera i od 10 lat dbamy o bezpieczeństwo całej firmy. Zobacz historię Primex Payments.