A PCI DSS hatóköre (scope) határozza meg, hogy a szervezet hány rendszere, folyamata és embere esik a megfelelőségi ellenőrzés alá. A hatókör csökkentése közvetlenül csökkenti az auditköltséget, az incidens-kockázatot és a szükséges biztonsági befektetéseket.
1. stratégia: tokenizáció (az ajánlott alapmegközelítés)
A tokenizáció az e-kereskedelmi és MOTO fizetési környezetben a leghatékonyabb hatókör-csökkentési eszköz: a PAN eliminálása a kereskedői rendszerekből (a PAN a PCI Proxy EU vault-jában marad); az eredmény: a kereskedő backend-rendszerei, adatbázisai és fejlesztési környezete kikerül a CDE-ből; SAQ A-ra vagy SAQ A-EP-re minősíthető a kereskedő (a legkisebb SAQ-ok); a hatókör-csökkentés nem igényel fizikai infrastrukturális változtatást.
2. stratégia: hálózati szegmentáció
A hálózati szegmentáció hatékony, de infrastrukturális beruházást igényel: a CDE-t hálózati szegmentációval (VLAN, tűzfalzónák) elkülönítik a többi rendszertől; a CDE-n kívüli rendszerek kikerülnek az audit hatóköréből; kötelező évenkénti szegmentáció-teszt (penetrációteszt szegmentáció-ellenőrzéssel). A szegmentáció önmagában nem eliminálija a PAN-t – ez a tokenizáció feladata.
3. stratégia: P2PE (Point-to-Point Encryption)
A P2PE (PCI-tanúsított Point-to-Point Encryption) fizikai POS-termináloknál alkalmazható: az EMV kártyaadatot a terminál azonnal titkosítja, és csak a fizetési processzorig érhető el visszafejtve; PCI SSC P2PE-listán szereplő megoldás esetén a kereskedő POS-termináljai kikerülhetnek a CDE-ből; az SAQ P2PE mindössze 35 kérdésből áll. A P2PE e-kereskedelemre nem alkalmazható – ott a tokenizáció a megfelelő megközelítés.
Kombinált stratégia: maximális hatókör-csökkentés
Az optimális hatókör-csökkentés: e-kereskedelem és MOTO: tokenizáció (SAQ A/A-EP); fizikai bolt: P2PE-tanúsított terminálok (SAQ P2PE); hálózat: szegmentáció a maradék CDE elemek izolálásához. A három megközelítés kombinálásával akár az összes fizetési csatorna minimális CDE-vel üzemeltethető.
Tervezze meg PCI DSS hatókör-csökkentési stratégiáját
Szakértőink segítenek az Ön vállalkozásának megfelelő hatókör-csökkentési stratégia megtervezésében és implementálásában.
Konzultáljon szakértőnkkel