İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

PCI DSS Nedir?

Yayın: · Son güncelleme:

PCI DSS Nedir? Kısaca

PCI DSS, ödeme kartı bilgilerini saklayan, işleyen veya ileten kuruluşların uyması gereken uluslararası güvenlik standardıdır. Büyük kart markalarının kurduğu PCI Güvenlik Standartları Konseyi tarafından yönetilir.

PCI DSS nedir?
İçindekiler
  1. PCI DSS nedir?
  2. Hangi gereksinimleri içerir?
  3. Küçük işletmeleri nasıl etkiler?

PCI DSS nedir?

PCI DSS, "Payment Card Industry Data Security Standard", yani Ödeme Kartı Endüstrisi Veri Güvenliği Standardı'nın kısaltmasıdır. Kart numarası gibi verilerin çalınmasını önlemek için asgari güvenlik kurallarını belirler. Standardı, büyük kart markalarının birlikte kurduğu PCI Security Standards Council yayımlar ve günceller.

Hangi gereksinimleri içerir?

Standart 12 ana gereksinim etrafında toplanır. Bunlar altı başlıkta özetlenebilir:

Örneğin kartın arkasındaki güvenlik kodunun işlem onaylandıktan sonra saklanmaması, standardın açık kurallarından biridir.

Küçük işletmeleri nasıl etkiler?

Kapsama kart kabul eden her işletme girer, ama yük işletmenin yapısına göre değişir. Kendi sitesinde kart bilgisi almayan ve ödemeyi tamamen bir ödeme kuruluşunun sayfasına yönlendiren küçük bir e-ticaret sitesi, çok daha dar bir kapsamla uğraşır. Uyumu genellikle bir öz değerlendirme anketiyle gösterir.

Kart verisini kendi sunucusunda tutan büyük bir işletme ise ayrıntılı denetimlerden geçer. En pratik yol, kart verisine hiç dokunmamaktır. Ödeme altyapınızı seçerken sağlayıcının PCI DSS uyumunu belgeleyip belgelemediğini sorun ve kart bilgisini kendi veritabanınıza kaydetmeyin.

Sıkça Sorulan Sorular

PCI DSS bir yasa mı?

Hayır, kart markalarının sözleşmeler yoluyla uyguladığı bir sektör standardıdır. Uyulmaması ceza, ek ücret veya kart kabul yetkisinin kaybı gibi ticari sonuçlar doğurabilir.

Sanal POS kullanan işletme PCI DSS'e uymak zorunda mı?

Kart kabul eden işletmeler kapsamdadır. Ödemeyi tamamen sağlayıcının sayfasında alan işletmelerde yükümlülükler genellikle sınırlı bir öz değerlendirmeyle karşılanır.

İlgili terimler

Kredi Kartı Dolandırıcılığı(Credit Card Fraud)Kredi kartı dolandırıcılığı, kart numarası, son kullanma tarihi, güvenlik kodu ya da kartın kendisi ele geçirilerek kart sahibinin izni olmadan harcama yapılması veya nakit çekilmesidir. Çevrim içi ve fiziksel olarak gerçekleşebilir.CardingCarding, çalınmış kredi ya da banka kartı bilgilerinin yasa dışı pazarlarda alınıp satılması ve bu bilgilerle izinsiz alışveriş, hediye kartı alımı veya para transferi yapılmasıdır. Ciddi bir bilişim ve dolandırıcılık suçudur.Şifreleme(Encryption)Şifreleme, okunabilir veriyi bir algoritma ve anahtar kullanarak yetkisiz kişilerin anlayamayacağı bir biçime dönüştüren ve yalnızca doğru anahtarı bilenin eski hâline getirebildiği veri koruma yöntemidir.ISO 27001ISO 27001, kurumların bilgi güvenliği yönetim sistemi kurması, işletmesi ve sürekli iyileştirmesi için şartları tanımlayan uluslararası standarttır. Uyum, akredite kuruluşların denetimiyle belgelendirilebilir.Veri Güvenliği(Data Security)Veri güvenliği, dijital verilerin oluşturulmasından silinmesine kadar her aşamada yetkisiz erişim, değiştirme, kayıp ve sızıntıya karşı korunması için uygulanan teknik ve idari önlemlerin bütünüdür.Zafiyet Yönetimi(Vulnerability Management)Zafiyet yönetimi, bir kurumdaki güvenlik açıklarının sürekli olarak tespit edildiği, risk düzeyine göre önceliklendirildiği, giderildiği ve giderildiğinin doğrulandığı döngüsel güvenlik sürecidir.Erişim Kontrolü(Access Control)Erişim kontrolü, bir kaynağa, örneğin dosyaya, uygulamaya, ağa ya da fiziksel bir odaya kimin, ne zaman ve hangi yetkiyle ulaşabileceğini belirleyip uygulayan güvenlik mekanizmalarının bütünüdür.Bilgi Güvenliği(Information Security)Bilgi güvenliği, dijital ya da kâğıt ortamdaki her türlü bilginin yetkisiz kişilerce görülmesini, değiştirilmesini veya yok edilmesini önlemeye yönelik ilke, süreç ve önlemlerin bütünüdür.