PCI DSS Compliance

مقدمه

استاندارد امنیت داده‌های صنعت کارت پرداخت (Payment Card Industry Data Security Standard یا به اختصار PCI DSS) مجموعه‌ای از استانداردهای امنیتی است که برای محافظت از اطلاعات کارت‌های اعتباری دارندگان کارت طراحی شده است. این استانداردها توسط کنسرسیوم PCI Security Standards Council (شورای استانداردهای امنیتی صنعت کارت پرداخت) ایجاد و نگهداری می‌شوند. هدف اصلی PCI DSS، کاهش آسیب‌پذیری‌ها و جلوگیری از تقلب‌های مالی مرتبط با کارت‌های اعتباری است. رعایت این استاندارد برای تمام سازمان‌هایی که از اطلاعات کارت‌های اعتباری استفاده می‌کنند، ذخیره می‌کنند یا آن‌ها را پردازش می‌کنند، ضروری است. این سازمان‌ها شامل بانک‌ها، پردازنده‌های پرداخت، بازرگانان (Merchant) و ارائه‌دهندگان خدمات هستند.

چرا PCI DSS مهم است؟

• حفاظت از مشتریان: PCI DSS به سازمان‌ها کمک می‌کند تا اطلاعات حساس مشتریان خود را در برابر سرقت و سوء استفاده محافظت کنند.
• کاهش ریسک‌های امنیتی: اجرای کنترل‌های امنیتی PCI DSS به کاهش آسیب‌پذیری‌ها و جلوگیری از حملات سایبری کمک می‌کند.
• جلوگیری از جریمه‌های مالی: عدم رعایت PCI DSS می‌تواند منجر به جریمه‌های سنگین مالی از سوی شرکت‌های صادرکننده کارت (مانند Visa، Mastercard، American Express) و سایر سازمان‌های نظارتی شود.
• حفظ اعتبار برند: نقض امنیت داده‌ها می‌تواند به اعتبار برند یک سازمان آسیب جدی وارد کند. رعایت PCI DSS به حفظ اعتماد مشتریان و شرکای تجاری کمک می‌کند.
• الزام قانونی: در بسیاری از کشورها، رعایت استانداردهای امنیتی مانند PCI DSS به عنوان یک الزام قانونی در نظر گرفته می‌شود.

دامنه PCI DSS

دامنه PCI DSS به تمام سیستم‌ها و شبکه‌هایی که اطلاعات کارت اعتباری را پردازش می‌کنند، ذخیره می‌کنند یا به آن‌ها دسترسی دارند، اشاره دارد. این شامل موارد زیر می‌شود:

• سیستم‌های POS (نقطه فروش): دستگاه‌هایی که برای پردازش پرداخت‌های کارت اعتباری در فروشگاه‌ها استفاده می‌شوند.
• سرورهای وب: سرورهایی که وب‌سایت‌های تجارت الکترونیکی را میزبانی می‌کنند و اطلاعات کارت اعتباری را جمع‌آوری می‌کنند.
• پایگاه‌های داده: پایگاه‌هایی که اطلاعات کارت اعتباری را ذخیره می‌کنند.
• شبکه‌های داخلی: شبکه‌هایی که سیستم‌های فوق به آن‌ها متصل هستند.
• ارائه‌دهندگان خدمات: شرکت‌هایی که خدمات مرتبط با پردازش کارت اعتباری را به سازمان‌ها ارائه می‌دهند.

الزامات کلیدی PCI DSS

PCI DSS شامل 12 الزام اصلی است که سازمان‌ها باید آن‌ها را رعایت کنند. این الزامات در 6 هدف اصلی دسته‌بندی می‌شوند:

الزامات کلیدی PCI DSS

**هدف 1: ساخت و نگهداری شبکه امن**		1.1. نصب و نگهداری یک فایروال برای محافظت از داده‌های کارت اعتباری. فایروال	1.2. تغییر رمزهای عبور پیش‌فرض و پیکربندی امن سیستم‌ها. امنیت سیستم	1.3. محدود کردن دسترسی به داده‌های کارت اعتباری بر اساس نیاز به دانستن. کنترل دسترسی
**هدف 2: محافظت از اطلاعات دارندگان کارت**		2.1. محافظت از داده‌های ذخیره شده کارت اعتباری با استفاده از رمزنگاری. رمزنگاری	2.2. مخفی کردن شماره کارت اعتباری (PAN) هنگام نمایش. مخفی‌سازی داده‌ها	2.3. از بین بردن داده‌های کارت اعتباری که دیگر نیازی به آن‌ها نیست. حذف امن داده‌ها
**هدف 3: نگهداری یک برنامه مدیریت آسیب‌پذیری**		3.1. نصب و به‌روزرسانی نرم‌افزار ضد ویروس. نرم‌افزار ضد ویروس	3.2. اسکن منظم سیستم‌ها برای شناسایی آسیب‌پذیری‌ها. اسکن آسیب‌پذیری	3.3. نصب وصله‌های امنیتی برای رفع آسیب‌پذیری‌ها. وصله‌های امنیتی
**هدف 4: پیاده‌سازی قوی کنترل‌های دسترسی**		4.1. محدود کردن دسترسی فیزیکی به سیستم‌هایی که داده‌های کارت اعتباری را پردازش می‌کنند. امنیت فیزیکی	4.2. ایجاد یک سیاست کنترل دسترسی قوی. سیاست امنیتی	4.3. بررسی منظم دسترسی‌ها. ممیزی امنیتی
**هدف 5: نظارت و آزمایش منظم شبکه‌ها**		5.1. نظارت بر تمام فعالیت‌های شبکه. نظارت بر شبکه	5.2. نگهداری و بررسی لاگ‌ها. مدیریت لاگ	5.3. آزمایش منظم سیستم‌ها برای شناسایی نفوذها. تست نفوذ
**هدف 6: حفظ یک سیاست امنیتی اطلاعات**		6.1. ایجاد و نگهداری یک سیاست امنیتی اطلاعات جامع. سیاست امنیت اطلاعات	6.2. آموزش کارکنان در مورد امنیت اطلاعات. آموزش امنیت	6.3. ارزیابی ریسک‌های امنیتی. ارزیابی ریسک

سطوح PCI DSS Compliance

چهار سطح PCI DSS Compliance وجود دارد که بر اساس حجم تراکنش‌های کارت اعتباری یک سازمان تعیین می‌شوند:

• سطح 1: بزرگترین بازرگانان با بیش از 6 میلیون تراکنش کارت اعتباری در سال. نیاز به ارزیابی توسط یک Qualified Security Assessor (QSA) و گزارش Compliance سالانه دارند.
• سطح 2: بازرگانانی که بین 1 تا 6 میلیون تراکنش کارت اعتباری در سال دارند. نیاز به خودارزیابی و گزارش Compliance سالانه دارند.
• سطح 3: بازرگانانی که کمتر از 1 میلیون تراکنش کارت اعتباری در سال دارند. نیاز به خودارزیابی سالانه دارند.
• سطح 4: بازرگانانی که از یک پردازنده پرداخت PCI DSS معتبر استفاده می‌کنند و تمام داده‌های کارت اعتباری را به پردازنده منتقل می‌کنند. نیاز به خودارزیابی سالانه دارند.

فرآیند Compliance

فرآیند Compliance PCI DSS معمولاً شامل مراحل زیر است:

1. ارزیابی دامنه: تعیین سیستم‌ها و شبکه‌هایی که در دامنه PCI DSS قرار دارند. 2. خودارزیابی یا ارزیابی QSA: انجام خودارزیابی (برای سطوح 2، 3 و 4) یا استخدام یک QSA (برای سطح 1) برای ارزیابی Compliance. 3. رفع نقاط ضعف: رفع نقاط ضعف امنیتی شناسایی شده در طول ارزیابی. 4. گزارش Compliance: ارائه گزارش Compliance به شرکت‌های صادرکننده کارت. 5. نگهداری و نظارت: نگهداری و نظارت مداوم بر سیستم‌ها و شبکه‌ها برای اطمینان از Compliance مداوم.

استراتژی‌های مرتبط

• رمزنگاری کلید به کلید
• احراز هویت دو عاملی
• تقسیم‌بندی شبکه
• امنیت پایگاه داده
• مانیتورینگ امنیتی SIEM
• تحلیل رفتار کاربر (UBA)
• پاسخ به حوادث امنیتی
• برنامه‌ریزی تداوم کسب و کار (BCP)
• بازیابی فاجعه (DR)
• مدیریت شناسنامه و دسترسی (IAM)
• آموزش آگاهی امنیتی
• تست نفوذ منظم
• اسکن آسیب‌پذیری خودکار
• استفاده از توکن‌سازی
• محدود کردن ذخیره‌سازی داده‌های کارت

تحلیل فنی

• تحلیل پروتکل‌های امنیتی: بررسی و پیکربندی صحیح پروتکل‌های امنیتی مانند TLS/SSL برای رمزنگاری ارتباطات. TLS/SSL
• تحلیل پیکربندی فایروال: اطمینان از پیکربندی صحیح فایروال‌ها برای جلوگیری از دسترسی غیرمجاز به داده‌های کارت اعتباری.
• تحلیل لاگ‌ها: بررسی لاگ‌ها برای شناسایی فعالیت‌های مشکوک و حملات احتمالی.
• تحلیل آسیب‌پذیری‌های نرم‌افزاری: شناسایی و رفع آسیب‌پذیری‌های موجود در نرم‌افزارهای مورد استفاده.
• تحلیل پیکربندی سیستم عامل: بررسی و پیکربندی امن سیستم‌عامل‌ها برای کاهش ریسک‌های امنیتی.

تحلیل حجم معاملات

• شناسایی الگوهای غیرمعمول: بررسی حجم معاملات برای شناسایی الگوهای غیرمعمول که ممکن است نشان‌دهنده تقلب باشند.
• تحلیل تراکنش‌های پرخطر: بررسی تراکنش‌هایی که از نظر مبلغ، مکان یا زمان غیرمعمول هستند.
• نظارت بر تراکنش‌های برگشتی: بررسی تراکنش‌های برگشتی برای شناسایی الگوهای تقلب.
• تحلیل تراکنش‌های بین‌المللی: بررسی تراکنش‌های بین‌المللی برای شناسایی تراکنش‌های مشکوک.
• استفاده از سیستم‌های تشخیص تقلب: استفاده از سیستم‌های تشخیص تقلب برای شناسایی و جلوگیری از تراکنش‌های تقلبی.

منابع بیشتر

• PCI Security Standards Council
• راهنمای PCI DSS
• لیست QSAها

نتیجه‌گیری

رعایت PCI DSS برای هر سازمانی که با اطلاعات کارت اعتباری سروکار دارد، حیاتی است. این استانداردها به محافظت از مشتریان، کاهش ریسک‌های امنیتی و جلوگیری از جریمه‌های مالی کمک می‌کنند. با اجرای کنترل‌های امنیتی PCI DSS و نگهداری و نظارت مداوم بر سیستم‌ها و شبکه‌ها، سازمان‌ها می‌توانند اطمینان حاصل کنند که داده‌های کارت اعتباری به طور ایمن محافظت می‌شوند.

شروع معاملات الآن

ثبت‌نام در IQ Option (حداقل واریز $10) باز کردن حساب در Pocket Option (حداقل واریز $5)

به جامعه ما بپیوندید

در کانال تلگرام ما عضو شوید @strategybin و دسترسی پیدا کنید به: ✓ سیگنال‌های معاملاتی روزانه ✓ تحلیل‌های استراتژیک انحصاری ✓ هشدارهای مربوط به روند بازار ✓ مواد آموزشی برای مبتدیان