Azərbaycanda PCI DSS uyğunluğu
PCI DSS v4.0.1 üzrə qiymətləndirməyə hazırlayırıq — QSA ilə və ya SAQ üzrə. Əvvəlcə yoxlama sahəsini daraldırıq, sonra qeydləri bağlayırıq — lazım gələrsə, sisteminizi təkmilləşdirməyə qədər. Yoxlamanı müstəqil auditor aparır.
PCI DSS kimə lazımdır
Ödəniş kartlarının məlumatlarını saxlayan, emal edən və ya ötürən — yaxud onların təhlükəsizliyinə təsir edə bilən hər kəsə. Bu tələb dövlətdən deyil, ekvayerdən və ya ödəniş sistemindən gəlir.
QSA, yoxsa SAQ — sizə məhz nə lazımdır
Təsdiq üsulu səviyyənizdən, səviyyə isə tranzaksiyaların həcmindən və ödəniş sistemlərinin qaydalarından asılıdır. Son söz ekvayerindir.
Yoxlama sahəsində sistem nə qədər azdırsa, tələb də o qədər azdır
Kart nömrəsinə toxunan sistemləriniz nə qədər az olsa, tələblərin siyahısı bir o qədər qısa, qiymətləndirmə isə ucuz olur. İstənilən layihəyə bundan başlayırıq.
Ödəniş səhifəsi provayder tərəfində
Iframe və ya redirect — və kart məlumatları serverinizə düşmür. Çox vaxt bu, SAQ D-dən SAQ A-ya keçid yoludur.
Tokenləşdirmə
Kart nömrəsi tokenlə əvəz olunur. Yalnız tokenləri görən sistemlər yoxlama sahəsindən çıxır.
Şəbəkə seqmentasiyası
Kart məlumatları mühitini infrastrukturun qalan hissəsindən ayırırıq ki, yoxlama bütün ofisi əhatə etməsin.
Artıq məlumatların axtarışı
Kart nömrələrini olmamalı olduqları yerlərdə tapırıq: loqlarda, ehtiyat nüsxələrdə, tiketlərdə. Silirik — və sahə daralır.
Layihə necə keçir
-
Yoxlama sahəsinin müəyyənləşdirilməsi
Kart məlumatlarının harada saxlanıldığını və hansı sistemlərin yoxlama sahəsinə düşdüyünü müəyyən edirik. Onu necə daraltmaq olacağını araşdırırıq.
-
Gap-təhlil
Mövcud vəziyyəti v4.0.1 tələbləri ilə tutuşdururuq. Nəticədə — uyğunsuzluqların siyahısı, sabit qiymət və müddət.
-
Qeydlərin bağlanması
Siyasət və prosedurlar, sazlamalar, kodun və infrastrukturun təkmilləşdirilməsi. Yol xəritəmiz üzrə özünüz edirsiniz və ya bizə həvalə edirsiniz.
-
Sübutlar
Tələblərin bir hissəsi nəzarət mexanizmlərinin iş tarixçəsini tələb edir: müntəzəm skanlar, loqların nəzərdən keçirilməsi, pentest, təlim. Buna lazım olan vaxtı əvvəlcədən plana qoyuruq.
-
Qiymətləndirmə
QSA-nın qiymətləndirməsini müşayiət edirik və ya SAQ ilə kömək edirik — imzalanmış AOC-yə qədər.
-
Uyğunluğun dəstəklənməsi
PCI DSS birdəfəlik qeyd deyil, illik dövrdür. Növbəti qiymətləndirməyə qədər nəzarət mexanizmlərini işlək vəziyyətdə saxlamağa kömək edirik.
PCI DSS v4.0.1: nə dəyişib
31 mart 2025-ci ildən əvvəllər tövsiyə xarakterli olan tələblər məcburidir. Yeni versiya üzrə ilk qiymətləndirmədə ən çox məhz onlarda büdrəyirlər.
- Kart məlumatları mühitinə istənilən giriş üçün çoxfaktorlu autentifikasiya
- Ödəniş səhifələrindəki skriptlərə nəzarət və onların dəyişikliklərinin aşkarlanması
- Tezliyi çevik müəyyən edilən tələblər üçün məqsədyönlü risk təhlili
- Autentifikasiyalı daxili zəiflik skanı