Соответствие PCI DSS в Грузии

Что такое PCI DSS

Стандарт безопасности данных индустрии платёжных карт (PCI DSS) устанавливает Совет по стандартам безопасности индустрии платёжных карт, основанный крупнейшими платёжными системами. Он распространяется на любую организацию, которая хранит, обрабатывает или передаёт данные держателей карт либо может повлиять на безопасность этих данных. Действующая версия: PCI DSS 4.0.1. Требования, которые в версии 4.0 были отложены на будущее, стали обязательными 31 марта 2025 года, в том числе целевой анализ рисков, усиленная аутентификация и меры защиты от скимминга на платёжных страницах.

Как подтверждается соответствие

Сертификата PCI DSS не существует. Соответствие подтверждается документами, которые определяет Совет и принимает ваш банк-эквайер или платёжные системы:

• Опросник для самооценки (SAQ) для торговых компаний, которые вправе его использовать, и некоторых поставщиков услуг, с подписанным свидетельством о соответствии (AOC).
• Отчёт о соответствии (ROC), который готовит квалифицированный аудитор безопасности (QSA) для крупных торговых компаний и большинства поставщиков услуг, также с AOC.
• Ежеквартальные внешние сканирования на уязвимости, которые проводит авторизованный поставщик услуг сканирования (ASV), если этого требует тип SAQ или ROC.

Какой путь применим, зависит от объёма операций, платёжных систем и указаний вашего эквайера. Осторожно относитесь к предложениям «сертификата PCI DSS»: значение имеют действующее AOC и подтверждающие отчёты.

Для поставщиков услуг действуют собственные правила подтверждения, и их клиенты обычно ежегодно запрашивают копию AOC поставщика услуг. Если вы размещаете, обрабатываете или обслуживаете платежи для других компаний, ожидайте такого запроса в договорах и при проверке благонадёжности.

Кому это нужно в Грузии

Оплата картами широко распространена в Грузии, а интернет-эквайринг и эквайринг в торговых точках обеспечивают грузинские банки и поставщики платёжных услуг, поднадзорные Национальному банку Грузии. Запросы на подтверждение соответствия PCI DSS обычно исходят от эквайеров, платёжных систем или иностранных партнёров. Типичные случаи:

• Интернет-магазины и онлайн-сервисы, принимающие оплату картами на своём сайте или через платёжную страницу.
• Поставщики платёжных услуг, платёжные агрегаторы и процессинговые компании, которые обрабатывают данные карт для других компаний.
• Гостиницы, турагентства и туроператоры в Тбилиси, Батуми и на курортах, которые получают данные карт по телефону, по электронной почте или через системы бронирования.
• Контакт-центры, хостинг-провайдеры и поставщики IT-услуг, которые могут повлиять на безопасность среды данных держателей карт клиента.

Чем помогает BALTUM

1. Карта потоков данных и определение области. Прослеживаем, где данные карт поступают, перемещаются и хранятся, и ищем способы сократить область за счёт токенизации, размещённых у провайдера платёжных страниц или сегментации.
2. Путь подтверждения. Вместе с вами определяем, какой тип SAQ или ROC применим и чего ожидает ваш эквайер.
3. Оценка несоответствий. Сравниваем текущие меры с PCI DSS 4.0.1, включая требования, ставшие обязательными в 2025 году.
4. Помощь в устранении несоответствий. Политики, целевой анализ рисков, меры управления доступом и журналирования, управление уязвимостями, контроль скриптов на платёжных страницах и управление поставщиками услуг.
5. Подготовка SAQ или сопровождение оценки QSA. Помогаем заполнить SAQ и AOC или подготовиться к оценке QSA и координируем сканирования ASV с авторизованным поставщиком.
6. Ежегодный цикл. Помогаем поддерживать подтверждения в актуальном состоянии к следующему ежегодному подтверждению соответствия.

Продолжительность зависит от размера и сложности среды данных держателей карт. Мы определяем её после определения области.

Связанные стандарты и материалы

Система по ISO/IEC 27001 охватывает многие процессные требования PCI DSS, но не все технические, поэтому два стандарта часто внедряют вместе. Шире о финансовом секторе читайте в статье о требованиях к кибербезопасности для банков и финансовых компаний в Грузии.

Чтобы обсудить ваши платёжные потоки, напишите нам на info@baltum.org или воспользуйтесь формой заявки.

Частые вопросы

Можно ли получить сертификат PCI DSS?

Такого сертификата не существует. Соответствие подтверждается SAQ или ROC вместе с подписанным свидетельством о соответствии (AOC), а также отчётами о сканировании ASV, если они требуются.

Мы используем платёжную страницу провайдера. Нужен ли нам PCI DSS?

Да, но область обычно намного меньше. Многие торговые компании, полностью передавшие платёжную страницу провайдеру, могут использовать короткий SAQ. Ваш сайт всё равно нуждается в мерах защиты, потому что именно он направляет клиентов на платёжную страницу.

Является ли BALTUM аудитором QSA?

Нет. BALTUM помогает подготовиться и устранить несоответствия. Если требуется ROC, оценку проводит квалифицированный аудитор безопасности (QSA), а сканирования проводит авторизованный поставщик услуг сканирования (ASV).