У 2020 році в мережу витекли 486 мільйонів записів персональних даних з банків, фінансових і страхових компаній. Це 900 даних за хвилину. Щоб уникнути таких витоків, з'явилася сертифікація за стандартом PCI DSS. Що це, навіщо вона потрібна компаніям і як датацентр з сертифікатом допомагає пройти аудит — читайте в матеріалі.

Що таке PCI DSS і яку «роль» він грає в бізнесі

PCI DSS — міжнародний стандарт, який регулює питання безпеки платіжних даних клієнтів. Його створила Рада зі стандартів безпеки індустрії платіжних карток (PCI SSC) у 2005 році, до якої входять Visa, MasterCard, American Express, JCB і Discover.

PCI DSS сертифікат дата центру

Кожні 60 секунд в інтернеті здійснюються покупки на 1 мільйон доларів

За даними дослідницької компанії CBR, майже всі інтернет-користувачі України хоча б раз здійснювали онлайн-покупки. Візьмемо для прикладу великий маркетплейс. Ми зайшли на сайт, вибрали товар і перейшли до оплати. З моменту, як ми ввели номер кредитної картки, ім'я власника і термін її дії — платіжні дані вже опинилися в інтернеті. І тут «м'яч безпеки» опиняється на стороні онлайн-магазину. Адже важливо, щоб сервіс компанії забезпечив захист платіжної інформації клієнта. Але що, якщо у вашого бізнесу немає сертифіката PCI DSS, але з важливими даними клієнтів працюєте — чи потрібно вам його отримувати?

Як зрозуміти чи потрібен PCI DSS вашому бізнесу

Проходити сертифікацію за PCI DSS важливо будь-якій компанії, яка використовує платіжні дані клієнтів. Тобто, якщо на онлайн-ресурсі або в додатку вашої компанії є форма для оплати з полями для внесення даних картки — відповідь «так». Вам потрібно проходити сертифікацію PCI DSS.
Зазвичай це банки, фінтех-компанії, оператори послуг платіжної інфраструктури, торговельні підприємства, ритейл, мережі заправних станцій, фінтех-стартапи, HoReCa, постачальники послуг і багато інших.

Рівні сертифікації та основні вимоги

Сертифікація за PCI DSS — серйозне випробування. Аудит містить 12 основних вимог до захисту інфраструктури компанії. У кожній з них ще 20–30 підзадач.

Вимоги до PCI DSS

Основні вимоги відповідно сертифікації PCI DSS (auditagency.com.ua)
У процесі сертифікації PCI DSS фахівці проводять аудит безпеки та вивчають кожен «інфраструктурний шар» підприємства. Всього їх три:
  • фізичний (обладнання); 
  • віртуальний (віртуальна інфраструктура);
  • шар програмного забезпечення (платіжний додаток). 
З огляду на спектр аудиту, термін сертифікації може бути різним. Все залежить від рівня інформаційної безпеки, політик безпеки, які вже є в компанії.
Сертифікація PCI DSS може тривати від місяця до року. В окремих випадках, якщо в компанії зовсім відсутні політики безпеки, такий процес може тривати кілька років.

У чому плюс датацентру з сертифікатом PCI DSS і як це полегшує життя

Оскільки зазвичай бізнес зберігає дані в хмарі та комерційних ЦОД, наявність сертифіката PCI DSS у датацентрі — додаткова гарантія їх збереження. Наприклад, датацентри Amazon і Microsoft відповідають вимогам стандарту і щорічно проходять аудит для його підтвердження.
Датацентри, як правило, не виконують платіжні послуги. Тобто, прямих дій з обробкою і передачею платежів клієнтів тут не виконують. А ось клієнти ЦОД, які розміщують обладнання, можуть надавати платіжні послуги бізнесу або фізичним особам.
В такому випадку завдання захисту даних розподіляється між бізнесом і датацентром. Тут прихована головна перевага — якщо ваша компанія розміщує свої сервери в датацентрі з сертифікатом PCI DSS, то аудит значно спроститься. Адже перевірку «фізичного шару» вам проходити вже не потрібно. Аудитор запросить у датацентру сертифікат PCI DSS, і на цьому перевірка закінчиться.
В середньому аудит включає близько 260 завдань з налаштування інформаційної безпеки компанії. У разі наявності сертифіката PCI DSS в датацентрі, він «закриє» до 30% від усього списку вимог. Що в підсумку не тільки заощадить бізнесу час її проходження, а й знизить вартість.

Датацентр GigaCenter отримав сертифікат PCI DSS

GigaCenter — датацентр з сертифікатом PCI DSS у Києві.
Аудитори проаналізували інформаційну безпеку і рівень захищеності фізичного розміщення серверів датацентру. За результатами сертифікації ми підтвердили високий статус інформаційної безпеки GigaCenter.
Сертифікат PCI DSS підтверджує високий рівень безпеки та надійності IT-сервісів компанії. Розміщуючись в датацентрі GigaCenter, ви будете впевнені в захищеності платіжної інформації клієнтів.