Information om PCI DSS

Baggrund

Forhandlere, der accepterer kortbetalinger, og tjenesteudbydere, som kan påvirke sikkerheden i kortdata-miljøet, skal overholde de sikkerhedskrav, der er defineret i Payment Card Industry Data Security Standard (PCI DSS).
Loomis Pay regulerer dette i vilkårene og betingelserne. En forhandler skal til enhver tid være PCI DSS-kompatibel og kunne fremlægge dokumentation ved forespørgsel.
For at uddybe detaljerne giver nedenstående information teknisk og organisatorisk vejledning i overensstemmelse med relevante krav og acceptaftalen.

Hvor stammer det fra?

Det blev udviklet af Payment Card Industry Security Standards Council (PCI SSC) – et globalt forum af brancheinteressenter, faciliteret af de førende betalingsmærker, med det formål at bekæmpe øget kortdatatyveri og efterfølgende svigagtig brug af stjålne kortdata. Dermed adresseres udviklende risici i branchen, herunder økonomisk ansvar for alle involverede parter og tab af forbrugertillid.

Hvad betyder PCI DSS-overholdelse?

PCI DSS-overholdelse betyder, at din virksomhed til enhver tid opfylder PCI DSS-kravene og har gyldig dokumentation som bevis herfor.
Gyldige PCI DSS-dokumenter omfatter et korrekt udfyldt Self-Assessment Questionnaire (SAQ) eller en Attestation of Compliance (AoC) / Report on Compliance (ROC). Disse kan skulle suppleres med godkendte og fejlfrie ASV-scanningsrapporter.

PCI DSS-validering skal fornyes årligt. Løbende sikkerhedsforanstaltninger (f.eks. kvartalsvise ASV-scanninger, regelmæssige softwareopdateringer, netværksovervågning og ændring af adgangskoder) skal håndteres af forretningen eller dens tjenesteudbydere.

Hvis et sikkerhedskrav ikke opfyldes, skal forretningen straks iværksætte de nødvendige afhjælpende tiltag for at leve op til standarden igen.

Hvem skal overholde PCI DSS?

PCI DSS gælder for alle organisationer, der modtager, lagrer, behandler eller transmitterer kortdata og/eller følsomme autentifikationsdata – eller på anden måde kan påvirke sikkerheden i kortdatamiljøet. Dette omfatter forretninger, processorer, indløsere, udstedere og andre tjenesteudbydere.

➔ Forretninger, der modtager kortbetalinger, har ansvaret for altid at være PCI DSS-kompatible og sikre, at alle relevante tjenesteudbydere, de anvender, også er PCI-kompatible.

➔ PCI DSS-validering kræves selv for organisationer, der har outsourcet alle kortdatafunktioner til PCI-certificerede tjenesteudbydere.

Hvorfor er PCI DSS-overholdelse relevant for en forhandler?

PCI DSS-overholdelse fremmes af kortorganisationerne (betalingsmærkerne), som har fastlagt sikkerhedsprogrammer som et kernekrav i deres regulativer (f.eks. Visa AIS, Mastercard SDP), der omfatter PCI-overvågning, rapportering og sanktioner. Beskyttelse af betalings- og kundedata forhindrer alvorlige økonomiske og omdømmemæssige risici og er afgørende for at opbygge kundetillid som grundlag for en bæredygtig forretning.

PCI DSS-certificering er anerkendt som en global standard også uden for betalingsindustrien og bruges af instanser, forsikringsselskaber og brancheorganer (f.eks. IATA), samt af forbrugere, til at demonstrere overholdelse af gældende datasikkerhedsstandarder og kan være med til at udelukke grov uagtsomhed.