Information om PCI DSS

Baggrund

Forhandlere, der accepterer kortbetalinger, og tjenesteudbydere, som kan påvirke sikkerheden i kortdata-miljøet, skal overholde de sikkerhedskrav, der er defineret i Payment Card Industry Data Security Standard (PCI DSS).
Loomis Pay regulerer dette i vilkårene og betingelserne. En forhandler skal til enhver tid være PCI DSS-kompatibel og kunne fremlægge dokumentation ved forespørgsel.
For at uddybe detaljerne giver nedenstående information teknisk og organisatorisk vejledning i overensstemmelse med relevante krav og acceptaftalen.

Hvor stammer det fra?

Det blev udviklet af Payment Card Industry Security Standards Council (PCI SSC) – et globalt forum af brancheinteressenter, faciliteret af de førende betalingsmærker, med det formål at bekæmpe øget kortdatatyveri og efterfølgende svigagtig brug af stjålne kortdata. Dermed adresseres udviklende risici i branchen, herunder økonomisk ansvar for alle involverede parter og tab af forbrugertillid.

Hvad betyder PCI DSS-overholdelse?

PCI DSS-overholdelse betyder, at man til enhver tid opfylder PCI DSS-kravene og har gyldig dokumentation som bevis herfor.
Gyldige dokumenter til PCI DSS-overholdelse er enten et korrekt udfyldt PCI DSS Self-Assessment Questionnaire (SAQ) eller en Attestation of Compliance (AoC) / Report on Compliance (ROC), som eventuelt skal ledsages af rene Approved Scanning Vendor (ASV) scanningsrapporter.

Validering af PCI DSS skal fornys årligt. Løbende sikkerhedsforanstaltninger (f.eks. kvartalsvise ASV-scanninger, regelmæssig softwareopdatering, netværksovervågning, ændring af adgangskoder osv.) skal håndteres af forhandleren eller deres udpegede tjenesteudbydere.

Hvis et sikkerhedskrav ikke opfyldes, skal forhandleren straks iværksætte passende afhjælpende tiltag.

Hvem skal være PCI DSS-kompatibel?

PCI DSS-standarden gælder for alle organisationer, der accepterer, lagrer, behandler eller transmitterer kortdata og/eller følsomme autentificeringsdata eller som kan påvirke sikkerheden i kortdata-miljøet (herunder forhandlere, processorer, indløsere, udstedere og andre tjenesteudbydere).

➔ Det er et vigtigt ansvar for forhandlere, der accepterer kreditkortbetalinger, at være PCI DSS-kompatible til enhver tid og sikre, at alle relevante tjenesteudbydere, de benytter, også er PCI-kompatible.

➔ PCI DSS-validering kræves også for organisationer, der har outsourcet alle kortdatafunktioner til PCI-kompatible tjenesteudbydere.

Hvorfor er PCI DSS-overholdelse relevant for en forhandler?

PCI DSS-overholdelse fremmes af kortorganisationerne (betalingsmærkerne), som har fastlagt sikkerhedsprogrammer som et kernekrav i deres regulativer (f.eks. Visa AIS, Mastercard SDP), der omfatter PCI-overvågning, rapportering og sanktioner. Beskyttelse af betalings- og kundedata forhindrer alvorlige økonomiske og omdømmemæssige risici og er afgørende for at opbygge kundetillid som grundlag for en bæredygtig forretning.

PCI DSS-certificering er anerkendt som en global standard også uden for betalingsindustrien og bruges af instanser, forsikringsselskaber og brancheorganer (f.eks. IATA), samt af forbrugere, til at demonstrere overholdelse af gældende datasikkerhedsstandarder og kan være med til at udelukke grov uagtsomhed.