PCI-tietoturvastandardi

Tietomurtojen riski erilaisissa tietojärjestelmissä on kasvanut ja tietoturvasta on tullut tärkeä osa yritysten arkea.

PCI DSS (Payment Card Industry Data Security Standard), eli lyhyesti PCI-standardi, on kansainvälinen maksukorttialan tietoturvastandardi, jossa ovat mukana Visa International, MasterCard Worldwide, American Express, JCB ja Discover Financial Services.

PCI-standardi lyhyesti:

Ohjaa maksukorttien tili- ja tapahtumatietojen vastaanottamista, käsittelyä, tallentamista ja välittämistä
Standardin noudattaminen on pakollista kaikille korttitapahtumia vastaanottaville, välittäville tai tallentaville tahoille, kuten kaikille kauppiaille, jotka vastaanottavat maksukortteja sekä kaikille palveluntarjoajille, jotka käsittelevät maksukorttitapahtumia
Vaatimukset koskevat lisäksi kaikkia järjestelmäkomponentteja. Tällaisia ovat kaikki verkkokomponentit, palvelimet ja sovellukset, jotka sisältyvät tai ovat liitettyinä kortinhaltijoiden tietoja sisältävään ympäristöön
Tavoitteena turvata kortinhaltijoiden tilitiedot kaikissa olosuhteissa ja nostaa kaikkien korttitietoja käsittelevien tahojen tietoturvataso mahdollisimman korkeaksi
Standardia hallinnoi kansainvälinen, korttijärjestöjen perustama riippumaton PCI Security Standards Council -toimielin: https://www.pcisecuritystandards.org/
Korttijärjestöillä omat vaatimustenmukaisuussohjelmat, joiden kautta standardia sovelletaan:
- Visa Account Information Security (AIS) http://www.visaeurope.com/aboutvisa/security/ais/
- MasterCard Site Data Protection (SDP) http://www.mastercard.com/us/sdp/

Standardin pääkohdat:

Suojaa tiedot asentamalla palomuuriratkaisu ja ylläpitämällä sitä.
Älä käytä ohjelmistotoimittajan määrittämiä oletussalasanoja tai muita tietoturva-asetuksia.
Suojaa tallennetut kortinhaltijatiedot.
Siirrä kortinhaltijoiden tiedot ja muut luottamukselliset tiedot julkisissa tietoverkoissa salattuina.
Käytä virustorjuntaohjelmistoa ja päivitä se säännöllisesti.
Kehitä turvallisia järjestelmiä ja sovelluksia sekä ylläpidä niitä.
Rajoita pääsy tietoihin koskemaan vain niitä, jotka tarvitsevat niitä liiketoiminnallisiin tarkoituksiin.
Luo jokaiselle tietojärjestelmän käyttäjälle yksilöllinen käyttäjätunnus.
Rajoita fyysinen pääsy kortinhaltijoiden tietoihin.
Seuraa ja valvo kaikkea verkkoresurssien ja kortinhaltijoiden tietojen käyttöä.
Testaa tietoturvajärjestelmät ja -prosessit säännöllisesti.
Luo työntekijöitä ja alihankkijoita koskeva tietoturvakäytäntö.