Betalningar

PCI DSS – vad är det och hur påverkar det din verksamhet?

Av Heine Aaen Hansen
Den 20 februari 2018

Om du arbetar i en bransch där kortbetalningar förekommer har du säkert hört talats om PCI DSS?

Vi årsskiftet trädde nya säkerhetskrav för kortterminaler in och i detta inlägg förklarar vi vad PCI DSS är, varför det finns och hur det påverkar din affärsverksamhet.

PCI DSS står för Payment Card Industry Data Security Standard och är en säkerhetsstandard som gäller för hela betalkortindustrin. När någon talar om PCI så är det PCI DSS de menar (i alla fall om det gäller betalkort). I resten av artikeln kommer vi för enkelhetens skull att kalla det PCI. 

Syftet med PCI är att öka säkerheten kring kortbetalningar i hela världen. Det görs genom PCI, en gemensam säkerhetsstandard som beskriver vad som gäller för företag som tar emot kortbetalningar.

PCI är ett gemensamt initiativ från alla de stora kortföretagen Visa, Mastercard, American Express, JCB och Discover (mest populärt i USA).

Regelverket hanteras av Payment Card Industry Security Standards Council (PCI SSC). De har även ansvar för att utveckla och uppdatera PCI. PCI SSC grundades 2006.

Vilka är det egentligen som berörs av PCI?

PCI omfattar alla företag som hanterar, samlar in, lagrar och överför kortinformation.

Även om du bara hanterar en enda liten korttransaktion så måste du följa PCI.

Vad innebär det att följa PCI?

PCI omfattar 6 huvudområden med totalt 12 olika krav:

Sätta upp och underhålla ett säkert nätverk

1.     Använda robusta brandväggar för att skydda kortdata

2.     Använd aldrig förinställda säkerhetssystem och lösenord

Skydda kortinformationen

3.     Kortinnehavarens information måste alltid skyddas

4.     Kortdata som överförs via allmänt nät ska krypteras på ett effektivt sätt

Upprätthåll effektiva säkerhetsåtgärder

5.     Skydda systemen genom att ha uppdaterade antivirusprogram och andra säkerhetsprogram

6.     Se till att installera och uppdatera till säkra system och applikationer

Ha lämplig behörighetskontroll

7.      Begränsa spridning av information om kortuppgifter

8.      Använd unika och konfidentiella identifikationsnamn i systemet

9.      Undvik att fysiskt hantera kortuppgifter och data

Övervaka och testa nätverket

10.  Övervaka och spåra all information

11.  Testa systemet regelbundet för att se till att alla processer finns på plats, fungerar korrekt och hålls up-to-date

Ha en säkerhetspolicy

12. Ta fram en formell informationssäkerhetspolicy som alla berörda parter följer

Om du vill gå på djupet med den tekniska biten så rekommenderar jag länken nedan, där finns fler än 200 säkerhetstips för att efterleva kraven i PCI.

Klicka och gå till PCI DSS.

Så följer du PCI

För att säkerställa att ditt företag lever upp till PCI-kraven ska du en gång om året avlägga en rapport till inlösande bank. Hur du rapporterar beror på hur många korttransaktioner ditt företag har per år.

Här listar jag en överblick av de olika kategorier som finns.

Om du har fler än 6 miljoner korttransaktioner per år så ska du varje år göra en revision med en ackrediterad revisor (PCI QSA) som bekräftar att företaget följer PCI-reglerna. QSA står för Qualified Security Assessor.

Om du har mellan 1 och 6 miljoner korttransaktioner per år så ska du fylla i ett självskattningsformulär (SAQ). Det sker en gång per år och visar att du efterlever PCI-kraven. Du kan även behöva göra en revision med en ackrediterad revisor (PCI QSA).

Om du har mellan 20 000 och 1 miljon korttransaktioner/år inom e-handel rapporterar du genom ett självskattningsformulär (SAQ) en gång om året. Det här är det vanligaste sättet att rapportera, och jag kommer strax att skriva mer om självskattningsformulär.

Om du har färre än 1 miljon korttransaktioner per år, eller 20 000 korttransaktioner per år inom e-handel är det upp till inlösande bank att bestämma hur du ska rapportera att du lever upp till PCI-kraven.

Alla företag, oavsett antal transaktioner, behöver göra en extern sårbarhetsskanning varje kvartal. Det görs av en ASV (Approved Scanning Vendor), ett företag som är godkänt av PCI SSC för att genomföra en sådan undersökning.

Slutsatsen är att alla företag som hanterar kortbetalningar måste redovisa (för kortföretagen och inlösande bank) att de följer PCI.

Så hur gör man det rent praktiskt?

Bli godkänd enligt PCI

PCI kan verka snårigt, så vi har försökt att förenkla det.

När du använder Bambora som inlösande bank får du ett verktyg som hjälper dig att bli validerad och rapportera enligt PCI.

Men vad gör vårt PCI-verktyg rent konkret då? 

Jo, det hjälper dig att hantera allt som har med PCI att göra.

Viktiga funktioner är:

●        PCI-validering (en steg-för-steg guide som tar dig genom SAQ)

●        Sårbarhetsskanning (ASV scans)

●        Utbildningar och övningar

●        Rapporter och monitorering

●        Säkerhetstester

Verktyget är smidigt att använda och designat för att snabbt och enkelt få företag att komma i fas med PCI-arbetet. Det gör det enkelt att bli godkänd enligt PCI!

Om ditt företag, mot förmodan, inte skulle leva upp till PCI-kraven, vad händer då?

Om din verksamhet inte efterlever PCI finns det en stor risk att företag och kortanvändare kan komma att utsättas för bedrägerier.

PCI skapades för att skydda företag och kortanvändare globalt. Om ditt företag äventyrar det skyddet riskerar ni dryga böter.

Hur stora böter det skulle bli varierar, men för att inte riskera något: Se till att leva upp till PCI-kraven!

Vill du veta mer om PCI?

Vi hoppas att den här artikeln gav dig en bra översikt av vad PCI är och hur du ska göra för att leva upp till de krav som ställs.

På den officiella hemsidan för PCI SSC finns mer information: https://www.pcisecuritystandards.org/

Om du har några frågor gällande PCI i allmänhet eller Bamboras PCI-verktyg i synnerhet, hör av dig så hjälper vi dig gärna.

Heine Aaen Hansen

Marketing & Digital Content på Bambora. Boknörd, galen i ord, och hopplös pappa. När han inte skriver, så läser han.

Cookies

Bambora använder cookies på sajten för att ge dig bästa möjliga upplevelse av den. 

Cookies (kakor) är små textfiler som lagras på besökarens dator och som är möjliga att använda för att följa upp vad besökaren gör på sajten.

Det finns två huvudtyper av cookies:
• En permanent cookie ligger kvar på besökarens dator under en bestämd tid.
• En sessionscookie lagras tillfälligt i datorns minne under tiden en besökare är inne på en sajt. Sessionscookies försvinner när du stänger ner din webbläsare.

Bambora använder cookies för att:
• Förbättra upplevelsen på sajten för besökaren t.ex genom att anpassa sajten efter besökarens önskemål, val och intressen.
• Ge underlag till statistik över hur sajten används av besökarna.
• Följa annonsering i medier och kunna anpassa våra tjänster så att du får mer relevanta erbjudanden.

Bambora använder också cookies från tredje part. Dessa används främst för att analysera besökarbeteenden i syfte att förbättra användarupplevelsen samt för att kunna göra det möjligt att göra annonsering mer relevant. 

Du väljer själv om du vill acceptera cookies.
Om du inte vill godkänna att din dator tar emot och lagrar cookies så kan du justera säkerhetsinställningarna i din webbläsare. Viss funktionalitet kan bara användas fullt ut om din webbläsare tillåter cookies.

We are open for business!

Welcome to the world of payment solutions. Choose your country and start accepting payments from customers all over the world.