Соответствие PCI DSS в Азербайджане
Готовим к оценке по PCI DSS v4.0.1 — с QSA или по SAQ. Сначала сужаем область проверки, потом закрываем замечания, вплоть до доработки вашей системы. Проверяет независимый аудитор.
Кому нужен PCI DSS
Всем, кто хранит, обрабатывает или передаёт данные платёжных карт — или может повлиять на их безопасность. Требование приходит от эквайера или платёжной системы, а не от государства.
QSA или SAQ — что нужно именно вам
Способ подтверждения зависит от вашего уровня, а уровень — от объёма транзакций и правил платёжных систем. Окончательное слово за эквайером.
Меньше систем в области проверки — меньше требований
Чем меньше ваших систем касается номера карты, тем короче список требований и дешевле оценка. С этого мы начинаем любой проект.
Платёжная страница у провайдера
Iframe или редирект — и данные карты не попадают на ваш сервер. Часто это путь от SAQ D к SAQ A.
Токенизация
Номер карты заменяется токеном. Системы, которые видят только токены, выходят из области проверки.
Сегментация сети
Среду данных карт отделяем от остальной инфраструктуры, чтобы проверка не затронула весь офис.
Поиск лишних данных
Находим номера карт там, где их быть не должно: в логах, бэкапах, тикетах. Удаляем — и область сужается.
Как проходит проект
-
Скоупинг
Определяем, где живут данные карт и какие системы попадают в область проверки. Ищем, как её сузить.
-
Gap-анализ
Сверяем текущее состояние с требованиями v4.0.1. На выходе — список разрывов, фиксированная цена и сроки.
-
Закрытие замечаний
Политики и процедуры, настройки, доработки кода и инфраструктуры. Делаете сами по нашей дорожной карте или поручаете нам.
-
Доказательства
Часть требований — это история работы контролей: регулярные сканы, ревью логов, пентест, обучение. Закладываем на это время заранее.
-
Оценка
Сопровождаем оценку у QSA или помогаем с SAQ — до подписанного AOC.
-
Поддержание
PCI DSS — ежегодный цикл, а не разовая отметка. Помогаем держать контроли в рабочем состоянии до следующей оценки.
PCI DSS v4.0.1: что изменилось
С 31 марта 2025 года обязательны требования, которые раньше были рекомендациями. Именно на них чаще всего спотыкаются при первой оценке по новой версии.
- Многофакторная аутентификация для любого доступа в среду данных карт
- Контроль скриптов на платёжных страницах и обнаружение их изменений
- Целевой анализ рисков для гибких по частоте требований
- Аутентифицированное внутреннее сканирование уязвимостей