Подготовка к сертификации PCI DSS

Подготовка к сертификации PCI DSS требует проверенной области оценки, действующих мер защиты и подтверждений, которые отражают реальную работу системы.

Уточните способ подтверждения соответствия

Определите организацию, среды, платёжные каналы и сервисных провайдеров, которые входят в область оценки. Уточните применимую версию стандарта и ожидаемый способ подтверждения: самооценка, внешняя оценка или другая согласованная форма. Сертификация другого провайдера не подтверждает соответствие всей среды мерчанта.

Свяжите требования с ответственными за системы

Закрепите за конкретными ответственными настройки сети и приложений, доступ, управление уязвимостями, журналирование, реагирование на инциденты и зависимости от третьих сторон. Запишите, какие меры защиты обеспечиваются провайдером, какие разделены между сторонами, а какие остаются обязанностью мерчанта.

Используйте план подготовки к PCI DSS для проработки потоков данных, области оценки, ответственных за меры защиты и сбора подтверждений.

Используйте актуальные и воспроизводимые подтверждения

Одних регламентов недостаточно, чтобы показать работу пересмотра доступов, мониторинга или контроля изменений. Определите источник подтверждений, частоту сбора и порядок работы с исключениями. Обновляйте схему потоков данных и реестр активов при изменениях в рабочей среде.

Сертификат подтверждает определённую область на указанную дату. Его нельзя использовать как неограниченное обещание о продукте.

Поддерживайте готовность после оценки

В течение года проверяйте изменения провайдеров, новые интеграции, схемы токенизации, привилегированный доступ и выводы из инцидентов. Публикуйте заявления о сертификации или услугах только с актуальным источником, датой и ответственным.

Оцениваете PayStar? Ознакомьтесь с информацией об оценке PCI DSS и запросите AOC для понимания документированной области, относящейся к вашей интеграции.