PCI DSS შესაბამისობა საქართველოში

რა არის PCI DSS

საგადახდო ბარათების ინდუსტრიის მონაცემთა უსაფრთხოების სტანდარტს (PCI DSS) ადგენს PCI უსაფრთხოების სტანდარტების საბჭო, რომელიც წამყვანმა საბარათე სისტემებმა დააფუძნეს. ის ვრცელდება ნებისმიერ ორგანიზაციაზე, რომელიც ინახავს, ამუშავებს ან გადასცემს ბარათის მფლობელის მონაცემებს, ან რომელსაც ამ მონაცემების უსაფრთხოებაზე გავლენის მოხდენა შეუძლია. მიმდინარე ვერსიაა PCI DSS v4.0.1. მოთხოვნები, რომლებიც 4.0 ვერსიაში მომავალი თარიღით იყო განსაზღვრული, 2025 წლის 31 მარტიდან სავალდებულო გახდა, მათ შორის მიზნობრივი რისკების ანალიზი, უფრო ძლიერი ავთენტიფიკაცია და საგადახდო გვერდებზე ბარათის მონაცემების მოპარვის (სკიმინგის) საწინააღმდეგო კონტროლი.

როგორ დასტურდება შესაბამისობა

PCI DSS სერტიფიკატი არ არსებობს. შესაბამისობა დასტურდება საბჭოს მიერ განსაზღვრული დოკუმენტებით, რომლებსაც იღებს თქვენი ექვაიერი ბანკი ან საბარათე სისტემები:

• თვითშეფასების კითხვარი (SAQ) იმ სავაჭრო კომპანიებისა და ზოგიერთი მომსახურების მიმწოდებლისთვის, რომლებსაც მისი გამოყენების უფლება აქვთ, ხელმოწერილ შესაბამისობის ატესტაციასთან (AOC) ერთად.
• შესაბამისობის ანგარიში (ROC), რომელსაც კვალიფიციური უსაფრთხოების შემფასებელი (QSA) ამზადებს მსხვილი სავაჭრო კომპანიებისა და მომსახურების მიმწოდებლების უმეტესობისთვის, ასევე AOC-თან ერთად.
• გარე დაუცველობების კვარტალური სკანირება, რომელსაც ავტორიზებული სკანირების მომწოდებელი (ASV) ატარებს, თუ ამას SAQ-ის ტიპი ან ROC მოითხოვს.

რომელი გზა გამოიყენება, დამოკიდებულია თქვენი ტრანზაქციების მოცულობაზე, საბარათე სისტემებსა და თქვენი ექვაიერის მითითებებზე. ფრთხილად იყავით „PCI DSS სერტიფიკატის“ შეთავაზებებთან: მნიშვნელობა აქვს მოქმედ AOC-სა და მის დამადასტურებელ ანგარიშებს.

მომსახურების მიმწოდებლებს ვალიდაციის საკუთარი წესები აქვთ და მათი კლიენტები, როგორც წესი, ყოველწლიურად ითხოვენ მომსახურების მიმწოდებლის AOC-ის ასლს. თუ სხვა კომპანიებისთვის გადახდებს მასპინძლობთ, ამუშავებთ ან მხარს უჭერთ, ეს მოთხოვნა ხელშეკრულებებსა და სათანადო შემოწმების პროცესში მოსალოდნელია.

ვის სჭირდება ის საქართველოში

საქართველოში ბარათით გადახდები ფართოდ გამოიყენება, ხოლო ონლაინ და მაღაზიებში ექვაირინგს უზრუნველყოფენ ქართული ბანკები და გადახდის მომსახურების პროვაიდერები, რომლებიც საქართველოს ეროვნული ბანკის ზედამხედველობის ქვეშ არიან. PCI DSS მტკიცებულებებს, როგორც წესი, ითხოვენ ექვაიერები, საბარათე სისტემები ან უცხოელი პარტნიორები. ტიპური შემთხვევები:

• ელექტრონული კომერციის კომპანიები და ონლაინ მომსახურებები, რომლებიც ბარათით გადახდებს საკუთარ ვებსაიტზე ან საგადახდო გვერდის მეშვეობით იღებენ.
• გადახდის მომსახურების პროვაიდერები, საგადახდო ფასილიტატორები და პროცესინგის კომპანიები, რომლებიც სხვა ბიზნესებისთვის ბარათის მონაცემებს ამუშავებენ.
• სასტუმროები, ტურისტული სააგენტოები და ტუროპერატორები თბილისში, ბათუმსა და საკურორტო ზონებში, რომლებიც ბარათის მონაცემებს ტელეფონით, ელექტრონული ფოსტით ან დაჯავშნის სისტემებით იღებენ.
• საკონტაქტო ცენტრები, ჰოსტინგისა და IT მომსახურების მიმწოდებლები, რომლებსაც შეუძლიათ გავლენა მოახდინონ კლიენტის ბარათის მფლობელის მონაცემთა გარემოს უსაფრთხოებაზე.

როგორ გეხმარებათ BALTUM

1. მონაცემთა ნაკადების აღწერა და ფარგლების განსაზღვრა. ვადგენთ, სად შემოდის, მოძრაობს და ინახება ბარათის მონაცემები, შემდეგ კი ვეძებთ ფარგლების შემცირების გზებს ტოკენიზაციის, გარე საგადახდო გვერდების ან ქსელის სეგმენტაციის მეშვეობით.
2. ვალიდაციის გზა. თქვენთან ერთად ვაზუსტებთ, SAQ-ის რომელი ტიპი ან ROC გამოიყენება და რას ელის თქვენი ექვაიერი.
3. ხარვეზების ანალიზი. ვადარებთ არსებულ კონტროლის ზომებს PCI DSS v4.0.1-ს, მათ შორის 2025 წელს სავალდებულო გამხდარ მოთხოვნებს.
4. ხარვეზების აღმოფხვრის მხარდაჭერა. პოლიტიკები, მიზნობრივი რისკების ანალიზი, წვდომისა და ჟურნალირების კონტროლი, დაუცველობების მართვა, საგადახდო გვერდის სკრიპტების მონიტორინგი და მომსახურების მიმწოდებლების მართვა.
5. SAQ-ის მომზადება ან QSA შეფასების მხარდაჭერა. გეხმარებით SAQ-ისა და AOC-ის შევსებაში ან QSA შეფასებისთვის მომზადებაში და ავტორიზებულ მომწოდებელთან ASV სკანირების კოორდინაციაში.
6. ყოველწლიური ციკლი. გეხმარებით, მომდევნო ყოველწლიური ვალიდაციისთვის მტკიცებულებები განახლებულ მდგომარეობაში შეინარჩუნოთ.

ვადები დამოკიდებულია თქვენი ბარათის მონაცემთა გარემოს ზომასა და სირთულეზე. მათ ფარგლების განსაზღვრის შემდეგ ვადგენთ.

დაკავშირებული სტანდარტები და სტატიები

ISO/IEC 27001-ის სისტემა PCI DSS-ის ბევრ პროცესულ მოთხოვნას ფარავს, მაგრამ არა ყველა ტექნიკურს, ამიტომ ორივე ხშირად ერთად იმართება. ფინანსურ სექტორზე უფრო ფართო სურათისთვის წაიკითხეთ კიბერუსაფრთხოების მოთხოვნები ბანკებისა და ფინანსური კომპანიებისთვის საქართველოში.

თქვენი საგადახდო ნაკადების განსახილველად დაგვიკავშირდით მისამართზე info@baltum.org ან მოთხოვნის ფორმით.

ხშირად დასმული კითხვები

შეგვიძლია თუ არა PCI DSS სერტიფიკატის მიღება?

ასეთი სერტიფიკატი არ არსებობს. შესაბამისობა დასტურდება SAQ-ით ან ROC-ით, ხელმოწერილ შესაბამისობის ატესტაციასთან ერთად, ასევე ASV სკანირების ანგარიშებით, სადაც ეს მოითხოვება.

ვიყენებთ გადახდის პროვაიდერის გარე საგადახდო გვერდს. ისევ გვჭირდება PCI DSS?

დიახ, მაგრამ ფარგლები, როგორც წესი, გაცილებით მცირეა. ბევრ სავაჭრო კომპანიას, რომელსაც საგადახდო გვერდები სრულად გარე მიმწოდებელზე აქვს გადაცემული, შეუძლია მოკლე SAQ-ის გამოყენება. თქვენს ვებსაიტს მაინც სჭირდება კონტროლის ზომები, რადგან ის მომხმარებლებს საგადახდო გვერდზე გადაამისამართებს.

არის თუ არა BALTUM QSA?

არა. BALTUM უზრუნველყოფს მზადყოფნისა და ხარვეზების აღმოფხვრის მხარდაჭერას. როცა ROC არის საჭირო, შეფასებას ატარებს კვალიფიციური უსაფრთხოების შემფასებელი (QSA), ხოლო სკანირებას ავტორიზებული სკანირების მომწოდებელი (ASV).