Сертифікація PCI DSS з Beforis

Коли компанія приймає, передає або зберігає платіжні дані, вимоги щодо їх захисту стають частиною щоденних бізнес-процесів. Для роботи з картковими платежами важливо враховувати вимоги платіжних систем, банків-еквайрів та інших учасників платіжної інфраструктури.

Стандарт PCI DSS встановлює вимоги щодо захисту даних платіжних карток і застосовується до організацій, які беруть участь у їх обробці, передачі або зберіганні. Підготовка до оцінки відповідності допомагає визначити поточний рівень безпеки, виявити необхідні доопрацювання та привести процеси й інфраструктуру у відповідність до застосовних вимог.

Beforis допомагає підготуватися до сертифікації PCI DSS та організовує взаємодію з перевіреними аудиторськими компаніями. Ми супроводжуємо проєкт на всіх етапах — від визначення відповідного рівня та scope до проходження сертифікаційного аудиту й отримання документа, що підтверджує відповідність.

Що таке PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) — міжнародний стандарт безпеки платіжних даних. Його вимоги спрямовані на захист інформації про платіжні картки та зниження ризиків, пов’язаних із її компрометацією.

Стандарт охоплює технічні та організаційні заходи безпеки: захист мереж і систем, контроль доступу, безпечне налаштування інфраструктури, захист даних під час зберігання та передачі, моніторинг подій безпеки, управління вразливостями та внутрішні політики компанії.

Конкретний обсяг вимог залежить від того, як саме бізнес працює з платіжними даними, яку роль він виконує в платіжній інфраструктурі та які вимоги висувають відповідні платіжні системи або партнери. Тому перед початком оцінки важливо визначити scope — область, яка має бути включена до оцінювання.

Кому може знадобитися сертифікація PCI DSS

Підтвердження відповідності PCI DSS актуальне для компаній, які самостійно обробляють, передають або зберігають дані платіжних карток, а також для бізнесів, до яких застосовуються відповідні вимоги з боку платіжних систем, банків-еквайрів або партнерів.

Залежно від моделі роботи це може бути актуально для e-commerce-проєктів, fintech-компаній, платіжних сервісів, SaaS-платформ та інших організацій, які працюють із картковими платежами. Якщо платіжні дані обробляються стороннім провайдером, обсяг власних зобов’язань компанії може відрізнятися.

Тому необхідність і формат підтвердження відповідності оцінюються індивідуально — з урахуванням платіжної інфраструктури та характеру обробки даних.

PCI DSS та платіжна інфраструктура

Відповідність стандарту особливо важлива для компаній, які створюють власну платіжну інфраструктуру або працюють з еквайрингом і платіжними системами. Водночас сам факт проходження оцінки PCI DSS не замінює інших вимог, які можуть висуватися банком, платіжним провайдером або законодавством конкретної країни.

Тому перед початком проєкту важливо визначити, які саме вимоги застосовуються до компанії, які системи входять до scope і який формат підтвердження відповідності необхідний.

Як пройти сертифікацію PCI DSS: покроковий процес

Приведення інфраструктури у відповідність до вимог — це системна робота, яка охоплює архітектуру програмного забезпечення, внутрішні регламенти та роботу персоналу.

Зазвичай підготовка та проходження оцінки відповідності PCI DSS складаються з кількох зрозумілих етапів:

1. Визначення Scope (області аудиту). Сегментація мережі та звуження контуру, у якому передаються дані платіжних карток. Чим менша область оцінки, тим нижчою може бути загальна вартість підтвердження відповідності PCI DSS.
2. Попередній GAP-аналіз. Порівняльна оцінка поточного стану систем із вимогами стандарту. Виявлення вразливостей, прогалин і відсутньої документації.
3. Усунення невідповідностей (Remediation). Доопрацювання архітектури, налаштування журналювання, впровадження шифрування та розробка внутрішніх регламентів і політик.
4. Сканування вразливостей. Проведення перевірок зовнішньої мережі за допомогою акредитованих ASV-сканерів і проведення тестування на проникнення.
5. Підсумковий аудит. Перевірка результатів QSA-аудитором та підготовка фінального звіту про відповідність (ROC) або анкети самооцінки (SAQ), залежно від застосовної процедури.

Для успішного підтвердження відповідності PCI DSS організація повинна продемонструвати виконання всіх застосовних вимог стандарту.

Скільки коштує сертифікація PCI DSS

Вартість підтвердження відповідності PCI DSS залежить від масштабу проєкту, обраного рівня підтвердження відповідності, складності інфраструктури та обсягу систем, включених до scope. Тому визначити єдину вартість для всіх компаній неможливо.

На ціну також впливає обсяг попередньої підготовки: необхідність доопрацювання процесів, розробки документації, проведення додаткових перевірок та інших заходів. Beforis визначає обсяг робіт після аналізу проєкту та погоджує вартість до початку співпраці.

Як отримати сертифікат PCI DSS

Щоб отримати підтвердження відповідності PCI DSS, необхідно пройти відповідну процедуру оцінки згідно із застосовними вимогами стандарту. До початку аудиту компанія повинна підготувати інфраструктуру, процеси та внутрішню документацію відповідно до визначеного scope.

Beforis допомагає пройти цей шлях послідовно: визначає необхідний рівень підтвердження відповідності, організовує попередню оцінку, допомагає підготувати документацію та рекомендації щодо доопрацювань, а також координує взаємодію з аудиторською компанією.

Після успішного проходження оцінки клієнт отримує документацію PCI DSS, що підтверджує відповідність вимогам у межах проведеної оцінки.

Чому бізнес обирає Beforis

Підготовка до відповідності вимогам PCI DSS охоплює технічну інфраструктуру, внутрішні процеси та документацію. Самостійна координація всіх цих напрямів може бути складною, особливо для компаній, які вперше проходять подібну перевірку.

Beforis бере на себе організаційну та консультаційну частину проєкту, співпрацює з перевіреними аудиторськими компаніями та допомагає визначити оптимальний scope. Це дає змогу заздалегідь оцінити необхідний обсяг робіт і підготувати інфраструктуру до аудиту без включення до scope зайвих елементів.

Якщо вашій компанії необхідно забезпечити відповідність вимогам PCI DSS, Beforis допоможе визначити застосовні вимоги, підготуватися до перевірки та скоординувати процес сертифікації.

Часті запитання про сертифікацію PCI DSS

Скільки часу займає процес сертифікації?

У середньому підготовка та аудит займають від 2–4 тижнів для невеликих проєктів до 2–3 місяців для великих сервісів, залежно від складності та scope проєкту.

Чи може компанія приймати карткові платежі без сертифіката PCI DSS?

Вимоги PCI DSS у будь-якому разі застосовуються, однак окремий «сертифікат PCI DSS» не обов'язково потрібен у кожному випадку. Застосовний формат підтвердження відповідності залежить від ролі компанії, середовища обробки платежів, а також вимог банку-еквайра, платіжної системи або платіжного провайдера.

Невиконання застосовних вимог може призвести до додаткових платежів, необхідності усунення невідповідностей або інших санкцій.

Як часто потрібно підтверджувати відповідність PCI DSS?

Відповідність PCI DSS, як правило, підтверджується щороку, тоді як зовнішнє сканування вразливостей, яке проводиться затвердженим постачальником ASV (Approved Scanning Vendor), зазвичай виконується щоквартально, якщо це застосовно.

Що станеться, якщо станеться витік даних платіжних карток?

Витік даних може мати серйозні фінансові та операційні наслідки, зокрема штрафи або санкції відповідно до правил платіжних систем, додаткові витрати на перевірку та усунення наслідків інциденту, втрату відносин із банком-еквайром або платіжним провайдером, а також репутаційні збитки.

Конкретні наслідки залежать від обставин витоку та відповідних договірних і нормативних вимог.

Навіщо потрібна сегментація мережі перед аудитом?

Ізоляція середовища, у якому обробляються дані платіжних карток, може зменшити scope аудиту, а отже — істотно скоротити обсяг інфраструктури та систем, які необхідно перевіряти. Це може допомогти зменшити як вартість, так і час, необхідний для забезпечення відповідності PCI DSS.