Hoe kunnen uw inspanningen voor PCI compliance uw bedrijf uiteindelijk geld besparen?
Hoe groot uw bedrijf ook is, geen enkel systeem is volledig immuun voor cybercriminaliteit. Fraude als gevolg van gestolen betaalkaartgegevens kost bedrijven elk jaar miljarden euro’s. Als uw bedrijf gegevens van betaalkaarthouders accepteert, opslaat of verstuurt, moet u voldoen aan de PCI-vereisten. Hoewel PCI-compliance misschien een extra, onnodige taak lijkt die afleidt van het runnen van uw bedrijf, is het een noodzakelijke maatregel om zowel u als uw klanten te beschermen tegen de onmetelijke schade die veroorzaakt wordt door datalekken.
De eenvoud van kaartgebruik en de wijdverspreide beschikbaarheid van geldautomaten en betaalterminals hebben geleid tot een enorme uitbreiding van deze betaalmethode. Deze uitbreiding werd gevolgd door een periode van definiëren en afstemmen van verschillende veiligheidsnormen die vastleggen hoe gegevens moeten worden opgeslagen en beschermd tijdens kaartbetalingstransacties. Deze normen zijn van toepassing op alle deelnemers aan het kaartbetalingsproces – van e-commerce handelaren tot banken, evenals leveranciers die technische ondersteuning aan deze instellingen bieden.
In 2006 werd de Payment Card Industry Security Standards Council (PCI SSC) opgericht. De PCI Security Standards Council is een onafhankelijk orgaan, opgericht door de grote betaalkaartmerken (Visa, MasterCard, American Express, Discover en JCB), dat verantwoordelijk is voor het beheer en de administratie van PCI DSS. Het zijn echter de kaartmerken, niet de PCI Council, die verantwoordelijk zijn voor de naleving.
PCI DSS Compliantieniveaus
PCI DSS naleving is onderverdeeld in 4 niveaus, gebaseerd op het jaarlijkse aantal betaalkaarttransacties die door de bedrijfsprocessen verwerkt worden. De niveaus bepalen wat een organisatie moet doen om naleving te bereiken.
- Niveau 1 geldt voor handelaren die meer dan zes miljoen creditcard- of debetkaarttransacties per jaar verwerken. Deze winkeliers ondergaan een jaarlijkse audit die wordt uitgevoerd door bevoegde PCI DSS auditors en moeten ook elk kwartaal een PCI scan ondergaan door een Approved Scanning Vendor (ASV).
- Niveau 2 is voor handelaren die tussen één en zes miljoen betaalkaarttransacties per jaar verwerken. Zij moeten een jaarlijkse beoordeling uitvoeren met behulp van een Self-Assessment Questionnaire (SAQ) en moeten mogelijk ook elk kwartaal PCI DSS scans laten uitvoeren door een ASV.
- Niveau 3 is van toepassing op handelaren die tussen 20.000 en één miljoen transacties per jaar verwerken. Zij moeten een jaarlijkse beoordeling uitvoeren met behulp van een relevante SAQ en, indien nodig, elk kwartaal scannen op kwetsbaarheden.
- Niveau 4 is voor handelaren die minder dan 20.000 e-commercetransacties of tot een miljoen andere soorten transacties per jaar verwerken. Zij moeten een jaarlijkse beoordeling uitvoeren aan de hand van de betreffende SAQ en moeten mogelijk ook elk kwartaal PCI DSS scans laten uitvoeren door een ASV.
PCI DSS Vereisten
De Security Standards Council heeft zes groepen vereisten gedefinieerd die gebaseerd zijn op best practices in gegevensbescherming:
- Een veilig netwerk bouwen en onderhouden
- Gegevens van kaarthouders beschermen
- Een programma voor het beheer van kwetsbaarheden onderhouden
- Sterke toegangscontrolemaatregelen implementeren
- Regelmatig netwerken controleren en testen
- Informatiebeveiligingsmaatregelen onderhouden
Voordelen van PCI DSS Compliance
- Verbeterde informatiebeveiliging
- Betere relaties met klanten en belanghebbenden, wat resulteert in meer vertrouwen
- Voorkomen van boetes en straffen
- Bewijs dat uw beveiligingspraktijken aan de wereldwijde normen voldoen
PCI DSS werd opgericht om regels op te stellen binnen financiële instellingen en om te dienen als minimumstandaard voor de betalingsverwerkingsindustrie, om ervoor te zorgen dat het betalingssysteem sterker is en beter beschermd wordt tegen datalekken, die kunnen leiden tot fraude met betaalkaarten. Door preventieve maatregelen te nemen om uw bedrijf beter te beschermen, bespaart u tijd en geld.
Als u PCI DSS compliance wilt bereiken, kunt u ons een offerteaanvraag sturen met uw basisgegevens, zodat wij snel op uw aanvraag kunnen reageren en u met de juiste persoon in contact kunnen brengen.
