Per proteggere i dati dei titolari di carta, le aziende conformi allo standard PCI seguono una serie di standard di sicurezza dei dati delle carte di credito, noti come PCI DSS. Scopri perché la conformità PCI è importante per tutte le organizzazioni che gestiscono o elaborano pagamenti con carta.
Dopo aver letto questo articolo sarai in grado di:
Argomenti correlati
Privacy dei dati
GDPR
CAN-SPAM Act
Informazioni personali
Informazioni di identificazione personale (PII)
Abbonati a theNET, il riepilogo mensile di Cloudflare sulle tematiche più discusse in Internet.
Copia link dell'articolo
La conformità allo standard PCI (Payment Card Industry) implica il rispetto di una serie di criteri di sicurezza per i dati dei titolari di carta. Tutte le organizzazioni che elaborano transazioni con carte di credito, di debito e/o prepagate sono soggette ai requisiti di conformità PCI.
Per essere sicuri, i dati delle carte di credito devono restare segreti e la conformità PCI dimostra che un'azienda può essere considerata affidabile nel mantenere segreti tali dati. Proprio come un proprietario di casa non presterebbe le chiavi di casa a qualcuno di cui non si fida per affidare i propri beni, i marchi di carte di credito non si fideranno di un commerciante che trasmetterà i dati delle proprie carte di pagamento se il commerciante non li custodisce in modo sicuro.
Se un'azienda archivia, elabora o trasmette i dati dei titolari di carte di credito, tramite Internet, telefono, app, carta o di persona, deve seguire una serie di regole per proteggere le informazioni su tali pagamenti.
Sebbene la conformità PCI non sia richiesta dalla legge federale degli Stati Uniti, le società di carte di credito possono imporre sanzioni per inadempienza alle aziende che non proteggono adeguatamente i dati dei titolari di carta. Ma la cosa più critica è che non proteggere i dati dei titolari di carta rende più facile per i criminali rubare tali dati. Questo tipo di furto rappresenta un rischio significativo: secondo le proiezioni del Nilson Report, nei prossimi 10 anni si prevede che il settore globale delle carte di pagamento perderà 397 miliardi di dollari in tutto il mondo a causa delle frodi.
PCI DSS sta per "Payment Card Industry Data Security standard”, ovvero Standard di sicurezza dei dati del settore delle carte di pagamento. Il framework PCI DSS guida le aziende con processi solidi per proteggere i dati delle transazioni dei titolari di carta e le informazioni di autenticazione della carta. Il suo scopo è proteggere sia i dati dei titolari di carta sia i dati di autenticazione con requisiti che aiutano a prevenire, rilevare e reagire agli incidenti di sicurezza.
La conformità PCI si applica a livello globale a tutti i commercianti che accettano carte di credito, carte di debito o carte prepagate. Ciò significa che le aziende di tutte le dimensioni, dal bar dietro l'angolo alla multinazionale di abbigliamento firmato, sono soggette alla conformità PCI, anche se si avvalgono di terze parti per l'elaborazione delle transazioni.
I dati sulle transazioni dei titolari di carta trattati dal PCI DSS includono:
I dati di autenticazione sensibili coperti da PCI DSS includono:
Il framework PCI DSS comprende 12 requisiti fondamentali (con oltre 300 sottorequisiti):
PCI DSS e gli standard di sicurezza correlati sono amministrati dal PCI Security Standards Council (PCI SSC), un'organizzazione di settore fondata da American Express, Discover Financial Services, JCB International, MasterCard Worldwide e Visa Inc. Tra le organizzazioni partecipanti figurano anche commercianti, banche emittenti di carte di pagamento, elaboratori, sviluppatori e altri fornitori.
La prima versione, PCI DSS 1.0, è stata introdotta nel 2004. Nel 2006, PCI SSC ha rilasciato la versione 1.1, che chiedeva ai commercianti di rivedere tutte le applicazioni online e stabilire firewall per una maggiore sicurezza.
Lo standard PCI DSS ha continuato a evolversi nel corso degli anni in risposta alle violazioni dei dati e alle vulnerabilità emerse nell'ecosistema di elaborazione delle carte. L'attuale versione 4.0 è diventata l'unica versione attiva a partire dal 31 marzo 2024, quando è stata archiviata la versione 3.2.1.
PCI DSS v4.0 è stato pubblicato nel 2022 per "affrontare le minacce e le tecnologie emergenti e abilitare metodi innovativi per combattere le nuove minacce". Le organizzazioni hanno tempo fino al 31 marzo 2025 per conformarsi a tutti i requisiti PCI DSS v4.0.
Sebbene i requisiti fondamentali PCI DSS non siano cambiati sostanzialmente, la nuova versione 4.0 si concentra maggiormente sulle modalità di implementazione dei controlli di sicurezza. Tra gli esempi di modifiche vi sono:
Ecco qui un riepilogo delle principali modifiche dalla versione 3.2.1 alla versione 4.0.
La conformità PCI è garantita dai marchi di carte di credito responsabili dell'elaborazione dei pagamenti. Quando un commerciante (ad esempio qualcuno che accetta carte di pagamento come metodo di pagamento per beni e servizi) effettua un certo numero di transazioni con carta di pagamento all'anno, è tenuto a compilare un rapporto completo sulla conformità PCI DSS. Se non lo fanno, sono soggetti a multe.
Le sanzioni PCI DSS si basano su una serie di fattori, come la gravità della violazione, il tempo impiegato per risolvere o porre rimedio al problema e se si è verificata una violazione. Se un'azienda rimane non conforme a PCI, c'è anche la possibilità che non sia in grado di utilizzare le carte di credito per i pagamenti all'interno del proprio sistema.
Lo standard PCI DSS suddivide le aziende (o "commercianti", come le chiamano) in quattro livelli in base al numero di transazioni con carta elaborate in un periodo di 12 mesi.
I quattro livelli* sono:
Il modo in cui un commerciante può ottenere la certificazione di conformità PCI cambia in base al suo livello. In generale, quante più transazioni gestiscono, tanto più rigorosi saranno i requisiti di verifica della conformità.
Ad esempio, i commercianti di livello 2-4 compilano e inviano un questionario di autovalutazione (SAQ) annuale. Esistono diversi tipi di questionari SAQ, a seconda del modo in cui il commerciante elabora le informazioni relative alla carta di pagamento. Le organizzazioni devono fare riferimento alle Istruzioni e linee guida SAQ per determinare quale SAQ (se presente) si applica alla propria organizzazione. Un riepilogo delle differenze nei requisiti SAQ nella versione 4.0 può essere trovato qui.
I commercianti di livello 1 (come Cloudflare), che gestiscono più di sei milioni di transazioni all'anno, vengono sottoposti a controlli annuali. I commercianti di livello 1 devono ricevere un Report sulla conformità da un PCI SSC Qualified Security Assessor (QSA) o PCI SSC Internal Security Assessor (ISA. Questo processo per i commercianti di livello 1 si svolge una volta all'anno o una volta al trimestre, a seconda dell'emittente della carta. I commercianti di livello 1 possono anche avere valutazioni della sicurezza dei dati in loco.
Infine, tutti i commercianti devono compilare e inviare un modulo di attestazione di conformità (AOC), che è sostanzialmente una dichiarazione alla società della carta di credito che il commerciante è conforme allo standard PCI.
*Queste definizioni sono per lo più accurate, ma ogni marchio di carte di credito definisce e valuta la conformità in modo leggermente diverso. È importante verificare con ogni società di carte di credito i criteri specifici del programma.
Cloudflare mantiene la conformità PCI DSS di livello 1 ed è conforme a PCI dal 2014. Molti dei nostri clienti ci chiedono anche di fornire una copia del nostro AOC, che sostanzialmente attesta alla società della carta di credito che siamo conformi allo standard PCI. Se non avessimo questa certificazione, non potremmo lavorare con determinati clienti e la nostra banca acquirente non ci consentirebbe di utilizzare le carte di pagamento come metodo di pagamento per i nostri servizi.
Aiutiamo inoltre i nostri clienti a mantenere la sicurezza attraverso i loro siti Web e le loro applicazioni. Ecco alcuni esempi di come Cloudflare può aiutare le aziende a soddisfare determinati requisiti PCI DSS:
Scopri di più sui servizi di sicurezza per siti Web e applicazioni di Cloudflare e sulle funzioni integrate di sicurezza, privacy e conformità di una connettività cloud.