Pikaohje korttimaksamisen turvallisuuteen
- Älä koskaan tallenna kortin magneettijuovan tai sirun sisältämiä ura-1 ja ura-2 -tietoja, kortin takana olevaa CVV2-tarkistuslukua tai kortin tunnuslukua (PIN-koodi).
- Käytettävän korttimaksamisen ratkaisun pitää tukea PCI DSS -standardin vaatimuksia.Korttitapahtumia käsittelevillä järjestelmillä kuten maksupäätteillä ja korttitietoja käsittelevillä kassajärjestelmillä tulee olla PA-DSS hyväksyntä.
- Varmista, että maksutapahtumiasi käsittelevät tahot noudattavat PCI DSS -standardia.
- Erillismaksupäätteet saa kytkeä ainoastaan PCI DSS -hyväksytyn palveluntarjoajan varmennus/ tapahtumienvälityspalveluun.
- Säilytä korttinumeroa ja voimassaoloaikaa vain välttämätön aika turvallisessa paikassa salakirjoitetussa muodossa. Tuhoa tai poista maksukorttien tietoja sisältävät sähköiset ja paperiset tallenteet heti, kun niitä ei enää tarvita.
- Korttitietojen siirron julkisissa verkoissa, kuten internetissä, on tapahduttava aina salatussa ja suojatussa muodossa.
- Asenna käyttöjärjestelmiin ja sovellusohjelmiin kaikki tietoturvapäivitykset valmistajalta.
- Kauppias vastaa aina itse PCI DSS -standardin ja sen edellyttämien toimintatapojen noudattamisesta, kuten verkkoympäristön säännöllinen skannaus, auditointi, virustorjunta, palomuurit yms.
Mikä on PCI DSS?
PCI DSS on maksukorttien varmennuksia ja tapahtumia käsittelevien tietojärjestelmien ja prosessien tietoturvastandardi. Tavoitteena on turvata kortinhaltijoiden tilitiedot kaikissa olosuhteissa ja nostaa kaikkien korttitietoja käsittelevien tahojen tietoturvataso riittävän korkeaksi. Standardi sisältää tekniset ja hallinnolliset vaatimukset minimitoteutuksesta kauppiaan tai palveluntarjoajan korttitietoja käsittelevässä ympäristössä.
PCI DSS -standardin noudattaminen on pakollista kaikille kansainvälisten korttiyhtiöiden maksukorttien korttitietoja käsitteleville, välittäville tai tallentaville tahoille.
Kauppias on velvollinen noudattamaan PCI DSS -standardia omassa toiminnassaan. Kauppias vastaa lisäksi siitä, että sen korttitietojen käsittelyyn, välitykseen tai tallentamiseen osallistuvat sopimuskumppanit sekä kauppiaan korttitietoja sisältävien järjestelmien ylläpitoon osallistuvat tahot, noudattavat PCI DSS -standardia.
Standardia hallinnoi kansainvälisten korttijärjestöjen (Visa International, MasterCard Worldwide, American Express, JCB ja Discover Financial Services) perustama riippumaton toimielin PCI Security Standards Council.
PCI DSS -standardin yksityiskohtaiset määritykset löydät oheisesta linkistä PCI Security Standards Councilin sivuilta, englanninkielisenä.
PCI Security Standards Councilin dokumentit >
PCI DSS -standardin pääkohdat
- Suojaa tiedot asentamalla palomuuriratkaisu ja ylläpitämällä sitä.
- Älä käytä ohjelmistotoimittajan määrittämiä oletussalasanoja tai muita oletusasetuksia.
- Suojaa tallennetut kortinhaltijatiedot.
- Siirrä kortinhaltijoiden tiedot ja muut luottamukselliset tiedot julkisissa tietoverkoissa salattuina.
- Käytä virustorjuntaohjelmistoa ja päivitä se säännöllisesti.
- Kehitä turvallisia järjestelmiä ja sovelluksia sekä ylläpidä niitä.
- Rajoita pääsy tietoihin koskemaan vain niitä, jotka tarvitsevat niitä liiketoiminnallisiin tarkoituksiin.
- Luo jokaiselle tietojärjestelmän käyttäjälle yksilöllinen käyttäjätunnus.
- Rajoita fyysinen pääsy kortinhaltijoiden tietoihin.
- Seuraa ja valvo kaikkea verkkoresurssien ja kortinhaltijoiden tietojen käyttöä.
- Testaa tietoturvajärjestelmät ja -prosessit säännöllisesti.
- Luo työntekijöitä ja alihankkijoita koskeva tietoturvakäytäntö.
Netsin kauppiasohjeen PCI:stä ja korttimaksamisen tietoturvasta löydät
Korttitilitysten raportointipalvelusta tai saat sen Kauppiaspalveluista.
