Dodržovanie štandardu PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) je medzinárodný štandard, ktorý stanovuje normy bezpečnosti spracovávania a zberu dát platobných kariet. Posledné záväzné znenie aktuálnych dokumentov je k dispozícii v angličtine na tomto odkaze, pre lepšiu zrozumiteľnosť je možné prečítať tiež popis štandardu v češtine, ktorý však nemusí byť aktuálny.

Opatrenia vyplývajúce zo štandardu PCI DSS zabraňujú zneužitiu dát platobných kariet zákazníka.

Obchodník má povinnosť zoznámiť sa so štandardom PCI DSS a dodržovať ho. V praxi majú trochu odlišné povinnosti obchodníci v e-commerce a mimo e-commerce, teda klienti s platobnou bránou a tí s platobným terminálom.

Platobná brána

Z pohľadu obchodníka v e-commerce stačí preukázať využitie certifikovaného (z hľadiska PCI DSS) poskytovateľa služieb, resp. riešenie, kedy obchodník neprichádza do styku s číslom platobnej karty. To je prípad platobnej brány Comgate – všetko prebieha bezpečne v prostredí platobnej brány, obchodník nemá prístup k údajom o platobných kartách, tieto dáta neprijíma, neprenáša ani neukladá vo svojich systémoch (pokladničný, účtovný systém). Pokiaľ teda obchodník implementuje platobnú bránu Comgate štandardne podľa návodu (a nikde inde pri sebe dáta o platobnej karte nezbiera), nemusí sa o nič starať. Comgate má certifikát PCI DSS najvyššej úrovne, pre klientov s platobnou bránou teda platí, že pri jej správnej implementácii nemusia prijímať žiadne ďalšie opatrenia.

Platobné terminály

Obchodník nesie zodpovednosť za ochranu dát držiteľov platobných kariet obzvlášť v mieste predaja a za ich prípadný prenos do pokladničného či iného počítačového systému. Nastavenie a zabezpečenie systémov musí byť ošetrené tak, aby neboli ohrozené dáta držiteľov platobných kariet, a to vrátane systémov vašich dodávateľov. Najlepším postupom ako minimalizovať možnosť odcudzenia citlivých dát, je neukladať žiadne kreditné dáta.

V prevádzkarni teda obchodník príjme také opatrenia, aby napríklad bezpečnostná kamera nesnímala klávesnicu terminálu, na ktorej zákazník zadáva PIN, alebo aby bol chránený priestor, kde sa ukladajú papierové potvrdenia z terminálu (pokiaľ citlivé dáta obsahujú). Za opatrenia vyplývajúce z dispozície a usporiadania prevádzkarne Comgate ručiť nemôže, avšak pokiaľ ide o prenos dát z terminálu, je všetko zabezpečené podľa štandardu PCI DSS. Podobne ako pri platobnej bráne teda platí, že ak je terminál nastavený podľa návodu, obchodník nemusí prijímať žiadne ďalšie opatrenia ohľadne ochrany dát platobných kariet počas ich prenosu.