PCI хостинг: что это значит и когда вам это нужно

Если вы планируете принять платежи в Интернете, вы, вероятно, столкнулись с термином PCI хостингПолемЭто может звучать как то, что должен иметь каждый бизнес, но необходимо ли это, зависит от того, как вы обрабатываете платежи и данные держателя карт.

Эта статья объяснит, что означает хостинг PCI, поможет вам выяснить, нужно ли вашему бизнесу следовать стандартам PCI DSS, и уточнить, когда хостинг PCI на самом деле является хорошим путем.Если вы не уверены в своих обязанностях по безопасности платежных данных, это руководство сделает вещи более ясными.

Что такое PCI DSS?

Прежде чем говорить о хостинге PCI, это помогает понять PCI DSS, также известный как Стандарт безопасности индустрии платежных картПолемPCI DSS - это набор руководящих принципов безопасности, направленных на защиту информации о кредитной карте, где бы она ни хранилась, обрабатывается или отправляется.Эти правила поступают от крупных карточных брендов, таких как Visa, Mastercard и American Express, и применяются к всем, кто принимает платежи по картам.

Цель установить эти стандарты состоит в том, чтобы снизить шансы на устранение данных, которые могут привести к мошенничеству.Придерживаться них означает установление постоянных мер безопасности (например, данных о шифровании карт), чтобы обеспечить безопасность платежей.

Что такое хостинг PCI?

PCI хостинг это среда веб -хостинга, которая настроена для соответствия правилам безопасности, необходимым для PCI DSS.Это включает в себя такие вещи, как:

• Брандмауэры и сетевые элементы управления для обеспечения отделения и безопасных платежных данных
  
• Шифрование для данных, перемещающихся через ваши серверы
  
• Сильные средства контроля доступа, которые ограничивают, кто может приблизиться к конфиденциальной информации
  
• Системы регистрации, которые отслеживают активность, чтобы обнаружить что -то необычное

Проще говоря, PCI Hosting предоставляет безопасную основу, созданную для защиты данных держателя карт.

Что сказано, Просто использование семейного хоста PCI не означает, что вы автоматически соответствуете автоматическиПолемХостинг -провайдер дает вам инструменты для безопасной среды, но вашему бизнесу все еще необходимо управлять программным обеспечением, процессами и политиками, соответствующими стандартам PCI.

Какие хостинг -хостинг PCI - и что это не делает

Поставщики хостинга PCI обрабатывают многие технические требования, такие как брандмауэры, сетевые элементы управления и ограничения доступа.

Однако, Есть обязанности, которые вам все еще нужны для управления собой, включая:

• Сохраняя ваше программное обеспечение и плагины в актуальном состоянии: Устаревшие приложения или расширения могут представить Риски безопасности даже на безопасном сервере.
  
• Управление доступом пользователя: Убедитесь, что у пользователей есть только те разрешения, которые им нужны, и включают двухфакторную аутентификацию, где это возможно.
  
• Мониторинг журналов и деятельности: Регулярно просмотрите журналы, чтобы обнаружить необычное поведение, прежде чем оно станет проблемой.
  
• Минимизация экспозиции данных карт: Соберите только то, что вам нужно, и используйте токенизацию, когда это возможно, чтобы снизить риски.
  
• Проводя сканирование уязвимости: Регулярные сканирования необходимы для поиска слабостей и, как правило, являются вашей ответственностью, даже когда они размещены на серверах, совместимых с PCI.

Как узнать, должен ли ваш бизнес соответствовать PCI

Чтобы решить, требуется ли хостинг PCI, первым шагом является выяснение того, нужно ли ваш бизнес на самом деле соответствовать требованиям PCI DSS.Это начинается с понимания того, что называется PCI Scope.

Применение PCI относится к процессу оценки того, какие части вашей бизнес -среды вступит в контакт с кредитной картой.

Это включает в себя:

• Серверы
  
• Приложения
  
• Сети
  
• Рабочие станции
  
• Сотрудники с доступом к этим системам

Если какая -либо часть вашей настройки касается данных о платежах, даже кратко, она находится в области PCI и должна следовать правилам PCI DSS.

Вот быстрый способ подумать об этом:

• Если Данные кредитной карты проходят через ваш сервер в любой момент, например, во время обработки оплаты, ваши системы находятся в объеме.
• Если вместо этого, ваш Обработка оплаты происходит полностью вне вашей среды (Например, через сторонний платежный шлюз), и ваши серверы никогда не видят и не хранят данные карт, вы, вероятно, выходят из сфера.В этом случае хостинг PCI может не потребоваться.

Когда хостинг PCI, вероятно, не нужен

Многие предприятия держат свою среду хостинга в сфере PCI, полагаясь на внешние платежные решения, которые обрабатывают конфиденциальную информацию.Типичные примеры включают в себя:

• Хостого оформления страниц: Такие услуги, как Cheer Checkout, PayPal или Square, надежно собирают платежные данные на своих собственных серверах.Ваш сайт отправляет там клиентов, поэтому ваши серверы не обрабатывают данные карт.
  
• Встроенные формы оплаты с токенизацией: Платежные процессоры предлагают встроенные формы (например, элементы полосы или поля Braintree Hosted), которые отправляют данные карты непосредственно из браузера пользователя к поставщику платежей.Ваша система получает только токен, который является ссылкой, которая не может быть использована для кражи данных.
  
• Нет хранения данных карт: Если вы не храните полные номера кредитных карт, но используете токенизированные услуги по счетам или сводки, ответственность за хранение лежит в соответствии с поставщиком соответствующего, что упрощает ваши собственные системы.

Когда работает ваш поток платежей, ваша среда хостинга обычно не в области масштабов, а хостинг PCI может не понадобиться.

Когда требуется хостинг PCI

Хостинг PCI становится необходимым, когда ваша собственная инфраструктура напрямую взаимодействует с данными держателя карты.Вот признаки того, что хостинг PCI применяется к вам:

• Вы размещаете свои собственные формы оплаты: Если клиенты вводят информацию о кредитной карте в формы, размещенные на вашем веб -сайте, эти данные проходят через ваши серверы, размещая их по объему.
  
• Вы храните полные номера карт: Будь то подписки, повторяющийся выставление счетов или отсроченные платежи, хранение полных данных карт на ваших серверах означает более высокие требования безопасности.
  
• Вы запускаете индивидуальные платежные системы: Если вы построили свою собственную проверку, шлюз или решение для точек продаж, ваша среда хостинга является частью потока платежей и должна соответствовать стандартам PCI.
  
• Вы подвергаетесь формальному аудиту PCI: Предприятия, обрабатывающие большие объемы транзакций, могут пройти аудиты, которые включают в себя обзор вашей среды хостинга.

В этих ситуациях, Выбор хостингового провайдера Важно знакомо с требованиями PCI и предложением, готовыми к соблюдению функций.

12 требований PCI DSS кратко

После подтверждения, что вы находитесь в области PCI, следующим шагом является понимание того, что на самом деле требует соответствия.Вот где поступают 12 требований PCI DSS. Это базовые стандарты, которые каждый бизнес должен следовать, для правильной защиты данных держателя карт:

1. Используйте брандмауэры для защиты данных - Брандмауэры действуют как контрольно -пропускные пункты, фильтруя сетевой трафик, чтобы блокировать несанкционированный доступ.
   
2. Изменить пароли и настройки по умолчанию - Учетные данные по умолчанию широко известны и уязвимы, поэтому используйте сильные, уникальные пароли.
   
3. Защита данных сохраненной карты - шифровать и ограничить хранение данных держателя карты.Чем меньше вы держите, тем меньше ваш риск.
   
4. Зашифровать данные в транзите - Использовать шифрование, как TLS Когда данные карты перемещаются по общедоступным или ненадежным сетям.
   
5. Используйте антивирус и анти-мультиварение - Держите эти инструменты обновленными, чтобы поймать и остановить вредоносное программное обеспечение.
   
6. Сохранить системы и приложения защищены - Регулярно исправлять программное обеспечение и быстро исправлять уязвимости.
   
7. Ограничить доступ к данным держателя карты - Дайте доступ только людям, которые нуждаются в этом для выполнения своей работы.
   
8. Назначьте уникальные идентификаторы пользователям - Отдельные входы облегчают отслеживание активности пользователя.
   
9. Контролировать физический доступ - Ограничьте, кто может физически достичь устройств или документов, хранящих данные держателя карт.
   
10. Журнать и монитор доступа - Поддерживать подробные журналы, чтобы обнаружить подозрительную активность и помочь с аудитами.
    
11. Системы безопасности регулярно - Запустите сканирование уязвимости и тесты на проникновение, чтобы найти и исправить слабости.
    
12. Поддерживать политику безопасности - Документируйте свои процедуры безопасности и убедитесь, что все участники понимают свои роли.

Поддержание соответствия PCI с течением времени

Удовлетворить стандарты PCI DSS один раз недостаточно.Соответствие - это постоянные усилия, которые требуют регулярного внимания, чтобы обеспечить безопасность данных держателя карт по мере развития вашего бизнеса и технологий.

Вот несколько ключевых практик, которые помогут вам оставаться в долгосрочной перспективе:

1. Регулярно просматривайте свой PCI Scope

Ваша среда может измениться при добавлении новых систем, интеграций или услуг.Периодически переоценивайте, какие части данных вашей карты настройки, чтобы убедиться, что вы покрываете все необходимые области.

2. Сохраняйте обновление программного обеспечения и систем

Заплата и обновления безопасности выпускаются для исправления уязвимостей.Сделайте обновление обычной части ваших операций, а не одноразовой задачей.

3. Провести текущий мониторинг и регистрацию

Непрерывный мониторинг помогает рано ловить подозрительную активность.Убедитесь, что ваши журналы регулярно рассматриваются и надежно хранятся.

4. Расписание сканирования уязвимости и тестов на проникновение

Запустите эти тесты не менее квартальных или после серьезных изменений.Они раскрывают слабые точки, прежде чем нападавшие найдут их.

5. Обучите свою команду на лучшие практики безопасности

Сотрудники являются ключевой линейкой защиты.Регулярное обучение помогает им понять свою роль в защите данных владельца карт и распознавания угроз.

6. Обновите свои политики и процедуры безопасности

По мере развития угроз, и ваш бизнес растет, сохраняйте актуальную документацию.Это держит вашу команду выровнять и подготовленную к аудитам.

7. Работайте с квалифицированными оценщиками безопасности при необходимости

Если ваш бизнес проходит формальные аудиты PCI, партнерство с QSA может помочь вам оставаться на пути и сделать процесс более плавным.

Рассматривая соответствие PCI как непрерывное приоритет, вы снижаете риск и обеспечиваете безопасность своих клиентов.Завтра оставаться упреждающим экономит дорогостоящие проблемы.

Заключение

Не каждый бизнес нуждается в хостинге PCI.Если данные владельца карты никогда не касаются ваших серверов, потому что вы используете хостированные заказа, токенизированные формы или сводки, ваша среда хостинга, вероятно, выходит за рамки PCI.

Если ваши системы справляются с хранением, обработкой или передачей данных карт, инвестиции в PCI-готовый хостинг-это умный шаг к соблюдению соответствия и защите ваших клиентов.

Прежде чем принимать решения о хостинге или безопасности, тщательно просмотрите весь свой поток платежей.Понимание того, где ваша среда подходит в PCI, может сэкономить ваше время, деньги и головные боли в будущем.