Jak zjistit, zda je webová stránka PCI kompatibilní?

PCI compliance, známé také jako PCI DSS (Payment Card Industry Data Security Standard), je povinný standard od roku 2006 pro všechny weby, které přijímají platby kartou. Spotřebitelé, provozovatelé stránek i jejich majitelé tak potřebují vědět, zda je daný web v souladu s tímto standardem, aby se ochránili před podvody a ztrátou dat.

Co je třeba vědět

Jediné spolehlivé kritérium je jednoduché: pokud web přijímá platby kreditní kartou, musí být PCI‑DSS kompatibilní. Weby, které prodávají zboží, ale neprovádějí platby, nejsou považovány za souladné. Podle PCI Security Standards Council je dodržování těchto standardů povinné pro všechny zainteresované strany a vymáhá jej hlavní poskytovatelé karet – American Express, Discover, JCB, MasterCard a Visa. Pokud stránka přesměruje zákazníka na externí platební bránu (např. PayPal), je to často známka toho, že samotná stránka nesplňuje požadavky PCI.

Klíčové informace o souladu

PCI DSS představuje soubor komplexních požadavků zaměřených na zvýšení bezpečnosti platebních údajů. Obsahuje pravidla pro řízení bezpečnosti, politiku, postupy, síťovou architekturu, návrh softwaru a další ochranná opatření. Cílem je chránit spotřebitele, vydavatele karet i vlastníky webů před podvody a dalšími bezpečnostními hrozbami.

Požadavky PCI DSS

Standard zahrnuje 12 hlavních požadavků, mezi které patří:

• Správná konfigurace firewallů a sítí
• Zakázání výchozích (default) hesel dodávaných výrobcem
• Ochrana a šifrování údajů držitelů karet při přenosu přes veřejné sítě
• Vývoj a údržba bezpečných systémů a aplikací
• Pravidelná aktualizace a používání antivirových programů
• Omezení fyzického a logického přístupu k údajům podle principu „need‑to‑know“
• Přiřazení unikátních ID všem uživatelům s přístupem k systémům
• Monitorování, sledování a pravidelné testování všech síťových zdrojů a bezpečnostních procesů
• Vytvoření a udržování bezpečnostní politiky pokrývající všechny výše uvedené oblasti

Pokud web nesplní některý z těchto požadavků, je považován za nesouladný.

Jak posoudit soulad

Ověření provádějí kvalifikovaní bezpečnostní auditoři (Qualified Security Assessors – QSA) a schválení skenovací poskytovatelé (Approved Scanning Vendors – ASV). Tyto organizace mají definované postupy a školený personál, který ověřuje, zda je web či obchodní jednotka v souladu s PCI DSS. Pro menší provozovatele jsou k dispozici samohodnotící dotazníky (Self‑Assessment Questionnaires – SAQ), jejichž typ se liší podle odvětví. Více informací najdete na oficiálních stránkách PCI Security Standards Council.