PCI DSS Nedir ve Neden Denetim?
İçerikte Neler Var?
Aralık 2004'te Visa, MasterCard, American Express, Discover ve JCB dahil olmak üzere büyük kart markaları, artan veri ihlallerine karşı güçlerini birleştirerek PCI Güvenlik Standartları Konseyi'ni (PCI SSC) kurmuştur. Bu inisiyatif, günümüzde kart sahibi verilerini işleyen tüm kuruluşlar için küresel bir zorunluluk olan PCI DSS standardını ortaya çıkarmıştır.
Kredi, banka veya ön ödemeli kart verilerini depolayan, ileten veya işleyen tüm üye işyerleri (merchants), servis sağlayıcılar ve alt yükleniciler PCI DSS standardına uymakla yükümlüdür. PCI denetimi; altyapınızın kart sahibi verilerini korumak için belirlenen 12 teknik ve operasyonel gereksinime tam uyumlu olup olmadığını bağımsız olarak test eder.
PCI Denetiminizden Önce Bilmeniz Gerekenler
Resmi bir PCI denetimine hazırlanırken ve Kart Sahibi Veri Ortamınızı (CDE - Cardholder Data Environment) güvenceye alırken, tüm hassas varlıklarınızın topolojide nerede konumlandığını eksiksiz bilmeniz gerekir. Hassas verilerin geçtiği noktaları belirlemek adına kapsamlı bir veri envanteri ve sistem taraması gerçekleştirmek hazırlığın en kritik fazıdır.
PCI denetimlerinde yaşanan aksaklıkların büyük bölümü kapsam (scoping) hatalarından kaynaklanır. Kart verisini saklayan, işleyen veya aktaran her türlü personel, süreç ve teknoloji CDE sınırları içerisindedir ve denetim kapsamına dahildir. Bu bileşenler şunları kapsar:
- Güvenlik duvarı (firewall), yönlendirici (router) veya yama yönetimi gibi kimlik doğrulama ve güvenlik sağlayan sistemler
- Doğrudan ya da dolaylı olarak CDE ağına bağlı tüm sunucu, iş istasyonu ve cihazlar
- Kart sahibi veri ortamına veri trafiği geçişine izin veren tüm yönlendirme kuralları
- CDE güvenliğini doğrudan veya dolaylı olarak etkileyebilecek üçüncü taraf sistemler
Ağ Bölümlendirme (Network Segmentation) ile Kapsamı Daraltın
Denetim maliyetlerini ve karmaşıklığı azaltmanın en etkili yolu mantıksal ve fiziksel kontrollerle ağ segmentasyonu uygulamaktır. Kapsam dışı kurumsal ağlar ile CDE arasına yerleştirilen sıkı güvenlik duvarı kuralları, denetlenecek varlık sayısını en aza indirerek süreci kolaylaştırır.
PCI Denetim Süreci Nasıl Çalışır?
Yetkili bir dış denetim, bağımsız bir QSA (Qualified Security Assessor) tarafından yürütülen ve adım adım ilerleyen resmi bir değerlendirmedir:
Boşluk Analizi (Gap Analysis)
QSA, kuruluşunuzun sunduğu operasyonları ve iş modellerini analiz eder; mevcut altyapı ile standart arasındaki boşlukları ve eksiklikleri raporlar.
Yerinde İnceleme ve Kanıt Toplama
Denetçi, kurumun Bilgi Güvenliği ekipleriyle mülakatlar yapar; süreçleri yerinde gözlemler, konfigürasyon kayıtlarını ve kurumsal politika dokümanlarını toplar.
Raporlama ve Onay (RoC & AoC)
Değerlendirme sonucunda resmi Uyumluluk Raporu (RoC - Report on Compliance) hazırlanır ve başarıyla geçen kuruma Uygunluk Onay Formu (AoC - Attestation of Compliance) verilir.
12 Temel PCI DSS Gereksinimi
Kuruluşunuza verilecek olan RoC raporu, kart sahtekarlığını önlemek için tasarlanan aşağıdaki 6 ana güvenlik hedefi ve 12 teknik gereksinim üzerinden yapılandırılır:
- Gereksinim 1: Kart verilerini korumak için güvenlik duvarı yapılandırması kurun ve sürdürün.
- Gereksinim 2: Şifreler ve güvenlik parametreleri için üretici varsayılanlarını (default) kullanmayın.
- Gereksinim 3: Depolanan tüm kart sahibi verilerini güçlü yöntemlerle şifreleyin.
- Gereksinim 4: Verilerin açık ve genel ağlardaki aktarımını güçlü kriptografi ile koruyun.
- Gereksinim 5: Zararlı yazılımlara karşı korunun ve antivirüs sistemlerini güncel tutun.
- Gereksinim 6: Güvenli sistem ve yazılımlar geliştirin, yamaları düzenli uygulayın.
- Gereksinim 7: Kart verilerine erişimi iş gereksinimi ("bilmesi gereken kadar") ile sınırlandırın.
- Gereksinim 8: Sistem erişimi olan her personele benzersiz bir kullanıcı kimliği (ID) atayın.
- Gereksinim 9: Kart verilerinin bulunduğu ortamlara fiziksel erişimi engelleyin.
- Gereksinim 10: Ağ kaynaklarına ve kart verilerine tüm erişimleri izleyin ve loglayın.
- Gereksinim 11: Güvenlik sistemlerini, süreçleri ve zafiyetleri düzenli olarak test edin.
- Gereksinim 12: Tüm personel ve paydaşlar için geçerli kapsamlı bir bilgi güvenliği politikası yürütün.
PCI Denetimi Kurumunuza Nasıl Fayda Sağlar?
Kurumsal müşteriler ve küresel iş ortakları yalnızca doğrulanmış, PCI uyumlu işletmelerle çalışmayı tercih eder. PCI sertifikası taşımak yeni kurumsal müşteri kazanımında doğrudan bir güven rozeti işlevi görür.
Uyumsuzluğun Finansal ve Operasyonel Maliyeti
PCI DSS gereksinimlerini yerine getirmeyen kurumlar 5.000 ila 500.000 ABD Doları arasında değişen ağır para cezalarına çarptırılabilir. Bu tutara ek olarak kartların yeniden basımı, adli bilişim (DFIR) soruşturma masrafları ve işlem başına kesilen komisyon oranlarının artırılması riski bulunur. Daha da önemlisi, kart kuruluşları ödeme alma yetkinizi tamamen iptal edebilir.
İtibarınızı, kurumsal müşterilerinizi ve kart kabul etme kabiliyetinizi riske atmamak için proaktif bir denetim hazırlığı yürütmek işletmenizin dijital sürekliliğini teminat altına alır.
PCI DSS Denetimine Eksiksiz Hazırlanın
Uzman QSA baş denetçilerimizle kapsam belirleme (scoping), segmentasyon ve boşluk analizi süreçlerinizi yönetelim; sertifikasyon sürecini hızlandıralım.
Denetim Danışmanlığı Alın