PCI DSS - अनुरूपता का प्रमाण पत्र कैसे और क्यों प्राप्त करें

हाय% उपयोगकर्ता नाम%!
हमने यह पोस्ट उन लोगों के लिए तैयार किया है जो इंटरनेट कॉमर्स के क्षेत्र में काम करते हैं और अपनी साइट पर भुगतान स्वीकार करने (या पहले से ही स्वीकार) की योजना बनाते हैं। हम अंतर्राष्ट्रीय PCI DSS डेटा सुरक्षा मानक के बारे में बात करेंगे। आइए एक सूचना बुनियादी ढांचे के लिए इसकी बुनियादी आवश्यकताओं के बारे में बात करते हैं जो बैंक कार्ड डेटा के प्रसंस्करण और सुरक्षा प्रदान करता है। हम प्रमाणीकरण पारित करने के मुख्य कारणों और प्रमाणित कंपनी द्वारा प्राप्त अवसरों के बारे में भी विचार करेंगे।

PCI DSS (भुगतान कार्ड उद्योग डेटा सुरक्षा मानक) भुगतान कार्ड उद्योग के लिए डेटा सुरक्षा मानक है। मानक अंतरराष्ट्रीय भुगतान प्रणाली वीजा और मास्टरकार्ड द्वारा विकसित किया गया था। अपनी वेबसाइट पर बैंक कार्ड डेटा को स्वीकार करने और संसाधित करने की योजना बनाने वाले किसी भी संगठन को PCI DSS आवश्यकताओं का पालन करना चाहिए।

PCI DSS प्रमाणपत्र के 4 स्तर हैं, जो मुख्य रूप से संसाधित लेनदेन की अधिकतम संभव संख्या में भिन्न हैं:

• स्तर 4 आपको प्रति वर्ष 20 हजार लेनदेन तक संसाधित करने की अनुमति देता है। PCI DSS के अनुपालन की पुष्टि करने के लिए कमजोरियों ( ASV स्कैन ) के लिए बाहरी पतों की त्रैमासिक स्कैनिंग और एक स्व-मूल्यांकन शीट ( वार्षिक स्व-मूल्यांकन प्रश्नावली , SAQ) भरना आवश्यक है
• लेवल 3 आपको 20 हजार से 1 मिलियन तक प्रोसेस करने की अनुमति देता है। प्रति वर्ष लेनदेन। प्रमाणन के लिए त्रैमासिक ASV स्कैन और स्व-मूल्यांकन पत्रक (SAQ) दोनों की आवश्यकता होती है।
• स्तर 2 आपको प्रति वर्ष 1 मिलियन से 6 मिलियन लेनदेन करने की अनुमति देता है। PCI DSS आवश्यकताओं के अनुपालन को सत्यापित करने के लिए एक त्रैमासिक ASV स्कैन और स्व-मूल्यांकन (SAQ) शीट की आवश्यकता होती है। हालांकि, 30 जून 2012 के बाद, इस स्तर पर SAQ भरने के लिए, या तो अपने कर्मचारियों को विशेष प्रशिक्षण में भेजना आवश्यक होगा, या ऑडिटिंग कंपनी ( PCI QSA ) को शामिल करना होगा।
• PCI DSS स्तर 1 आवश्यकताओं के अनुपालन के लिए प्रमाणन केवल एक स्वतंत्र लेखा परीक्षक (QSA) की भागीदारी के साथ किया जाता है और आपको प्रति वर्ष 6 मिलियन से अधिक लेनदेन संसाधित करने की अनुमति देता है। प्रमाणन प्रक्रिया में कंपनी के सूचना बुनियादी ढांचे, सिफारिशों के विकास और मानक के अनुपालन के लिए आवश्यक नियामक दस्तावेजों और कार्यान्वयन के लिए परामर्श समर्थन का सर्वेक्षण शामिल है।

हम PCI DSS मानक के अनुपालन के लिए सालाना प्रमाणित हैं। हमारे लिए, प्रसंस्करण केंद्र के रूप में, PCI DSS स्तर 1 का अनुपालन अनिवार्य है। अंतर्राष्ट्रीय भुगतान प्रणाली (MPS) ऐसी ज़रूरतों को इंटरनेट प्राप्त करने वाली कंपनियों को प्रदान करती है।
इंटरनेट पर सामान या सेवाएँ बेचने वाले उद्यम कई कारणों से PCI DSS के अनुपालन के लिए प्रमाणित हैं:

• रूपांतरण। टोकरी से अलग भुगतान पृष्ठ पर जाने पर कंपनियां अपने भुगतान का हिस्सा खोने से डरती हैं।
• छवि। कभी-कभी बड़ी कंपनियां नहीं चाहतीं कि ग्राहक कंपनी की वेबसाइट से तीसरे पक्ष के संगठन (बैंक या प्रसंस्करण केंद्र) की वेबसाइट पर बैंक कार्ड डेटा दर्ज करें।
• तकनीकी कार्य। कंपनी को अपनी उच्च तकनीक भुगतान योजना बनाने की जरूरत है, जो व्यापार की बारीकियों पर केंद्रित है।

PCI DSS प्रमाणन आपको सीधे बैंक और इंटरनेट उद्यम के भुगतान इंटरफेस के माध्यम से बैंकों के साथ काम करने की अनुमति देता है। यह तीसरे पक्ष की वेबसाइट पर खरीदार के संक्रमण को समाप्त करता है। इसके अलावा, अपनी स्वयं की भुगतान प्रणाली का निर्माण आपको एक साथ कई बैंकों के साथ सीधे काम करने की अनुमति देता है, उनके बीच "संतुलन", और "कैस्केडिंग" भुगतानों की एक प्रणाली का निर्माण करता है। "कैस्केड" भुगतान के मामले में, इसका प्राधिकरण कई बैंकों और प्रसंस्करण केंद्रों में क्रमिक रूप से किया जाता है, जो अस्वीकार किए गए लेनदेन के प्रतिशत को काफी कम कर सकता है।

लेकिन बैंकों के साथ स्वतंत्र काम कंपनी को न केवल "अपने लिए" भुगतान प्रणाली को अपनाने में एक फायदा देता है। वह कंपनी को अपनी वेबसाइट पर बैंक कार्ड डेटा को संसाधित करते समय कपटपूर्ण संचालन के खिलाफ लड़ाई के लिए बाध्य करता है। दूसरे शब्दों में, कंपनी को धोखाधड़ी लेनदेन (एंटी-फ्रॉड) की निगरानी और संयोजन के लिए अपनी प्रणाली बनाने की आवश्यकता है। धोखाधड़ी-रोधी प्रणाली का कार्य ऐसे लेनदेन को फ़िल्टर करना है जिन्हें कई संकेतों के अनुसार धोखाधड़ी के रूप में पहचाना जाता है (उदाहरण के लिए, जारीकर्ता बैंक भुगतान या भुगतानकर्ता के निवास से मेल नहीं खाता)।

एंटी-फ्रॉड सिस्टम के निर्माण और डिबगिंग के चरण में, बैंक कार्ड लेनदेन पर डेटा के संग्रह और विश्लेषण को "एकत्र" करने में लंबा समय लगेगा। डेटा संग्रह का उद्देश्य धोखाधड़ी लेनदेन की पहचान करना है। आंकड़ों को एकत्र करने की प्रक्रिया में, कंपनी को "चार्ज-बैक" संचालन की एक बड़ी राशि का सामना करना पड़ेगा।

अपने स्वयं के एंटी-फ्रॉड सिस्टम का निर्माण करना बैंक कार्ड भुगतान के बड़े टर्नओवर वाली कंपनियों के लिए तर्कसंगत और वित्तीय रूप से उचित है। ऐसी कंपनियों के लिए, भुगतान फ़िल्टरिंग प्रणाली पर लचीलापन और पूर्ण नियंत्रण महत्वपूर्ण है। इसके अलावा, ऐसी कंपनी के पास अपने स्वयं के "मिनी प्रोसेसिंग सेंटर" की प्रौद्योगिकियों और उपकरणों के विकास और निरंतर विकास के लिए संसाधन आवंटित करने का अवसर है।

यह ध्यान देने योग्य है कि जोखिमों की निगरानी में प्रसंस्करण केंद्र की तुलना में बेहतर सेवा प्रदाता ढूंढना मुश्किल है। ग्राहकों की विविधता और महत्वपूर्ण संख्या के कारण, पीसी के पास निगरानी और छानने का एक व्यापक इतिहास है। यहां तक ​​कि अगर कोई कंपनी अपने स्वयं के विरोधी धोखाधड़ी प्रणाली के निर्माण में लगी हुई है, तो यह प्रसंस्करण केंद्र को प्रसंस्करण के लिए लेनदेन भेज सकती है जो आंतरिक जोखिम विशेषज्ञों के बीच संदेह बढ़ाती है।

बैंक कार्ड डेटा को संसाधित करने की एक विधि चुनने के बारे में एक सूचित निर्णय लेने के लिए, प्रक्रिया के सभी घटकों का मूल्यांकन करने से लेकर समर्थन करने वाले कार्डधारियों को प्रस्तुत करना आवश्यक है। निर्णय को आसान बनाने के लिए, हमने बैंक कार्ड डेटा प्राप्त करने और संसाधित करने के लिए दो मुख्य दृष्टिकोणों की तुलना की: यदि डेटा किसी तृतीय-पक्ष साइट (उदाहरण के लिए, एक प्रसंस्करण केंद्र) पर दर्ज किया जाता है - और यदि डेटा बैंक में भुगतान के बाद के प्राधिकरण के साथ किसी कंपनी की वेबसाइट पर दर्ज किया जाता है।

	भुगतान के बाद के प्राधिकरण (उदाहरण के लिए, बैंक में) के साथ बैंक कार्ड डेटा उद्यम की वेबसाइट पर दर्ज किया जाता है।	बैंक कार्ड डेटा तीसरे पक्ष की साइट पर दर्ज किया गया है (उदाहरण के लिए, प्रसंस्करण केंद्र के सुरक्षित भुगतान पृष्ठ पर)
PCI DSS	PCI DSS प्रमाणन की आवश्यकता है।	प्रमाणन की आवश्यकता नहीं है।
संबंध	सीधे भुगतान स्वीकार करने के लिए, आपको स्वतंत्र रूप से बैंक से जुड़ना होगा। कंपनी के टर्नओवर पर बैंक का निर्णय निर्भर करता है।	कनेक्ट करने के लिए, आपको दस्तावेजों के पैकेज को एक व्यक्तिगत प्रबंधक को स्थानांतरित करना होगा जो बैंक के साथ बातचीत करेगा और अनुबंध तैयार करेगा।
आयोग	भुगतान के प्रसंस्करण के लिए बैंक द्वारा लिया गया कमीशन लेनदेन राशि का 2% है और टर्नओवर की मात्रा और कंपनी के दायरे पर निर्भर करता है। बैंक से ग्राहक द्वारा सीधे प्राप्त कमीशन का प्रतिशत अक्सर HRC द्वारा प्रदान किए गए प्रतिशत के बराबर होता है। यह एचआरसी के लिए "थोक" कामकाजी परिस्थितियों और लेन-देन की निगरानी के उच्च स्तर की वजह से है जिसमें बैंक रुचि रखते हैं।	भुगतान भुगतान के लिए HRC द्वारा लिया गया शुल्क और अतिरिक्त सेवाओं की एक सीमा लेनदेन राशि का 2.5% है और टर्नओवर की मात्रा और कंपनी के दायरे पर निर्भर करता है।
लेखांकन	कंपनी लेखांकन रिपोर्टिंग और स्वतंत्र रूप से भुगतान करने के मामलों पर बैंक के साथ बातचीत करने में संलग्न है। रिपोर्ट तैयार करने के लिए, बैंक के साथ सक्रिय कार्य और अपने स्वयं के बिलिंग सिस्टम के निर्माण की आवश्यकता होती है।	पीसी बिलिंग प्रणाली ग्राहकों को लेनदेन का ऑनलाइन लेखा करने का अवसर प्रदान करती है। आपके व्यक्तिगत खाते के इंटरफ़ेस में लेखांकन दस्तावेजों (अधिनियम, पेऑनलाइन सिस्टम, खाते का विस्तृत विवरण) को स्वतंत्र रूप से अपलोड करने की क्षमता।
भुगतानकर्ता समर्थन	भुगतानकर्ताओं को योग्य सहायता प्रदान करने के लिए, आपको अपने स्वयं के कॉल-सेंटर को व्यवस्थित करने या किसी विशेषज्ञ के काम के लिए 25,000 रूबल / महीने से खरीदने की आवश्यकता है। यदि आपके पास पहले से कॉल सेंटर है, तो आपको कार्ड धारकों के साथ काम करने के लिए विशेषज्ञों के लिए अतिरिक्त प्रशिक्षण आयोजित करने की आवश्यकता है। इसके लिए कॉल-सेंटर इन्फ्रास्ट्रक्चर के निर्माण की भी आवश्यकता है: सॉफ्टवेयर, टेलीफोनी।	कार्डधारकों को आपके ऑनलाइन स्टोर में भुगतान करने के लिए समर्थन एचआरसी के कॉल सेंटर के विशेषज्ञों द्वारा किया जाता है।
लेन-देन की निगरानी	बैंक कार्ड डेटा को संसाधित करने वाली ई-कॉमर्स कंपनी के योग्य कर्मचारियों द्वारा लेनदेन की निगरानी की जानी चाहिए। जोखिम विशेषज्ञ का वेतन 35,000 रूबल से है। / माह	सॉफ्टवेयर सहित लेन-देन की निगरानी एचआरसी के जोखिम विभाग के विशेषज्ञों द्वारा की जाती है।
लोहा	सर्वर भाग में निवेश की आवश्यकता होती है, प्रमाणन के लिए आवश्यक है और सुरक्षा का पर्याप्त स्तर सुनिश्चित करता है। राशि स्तर-एक प्रमाण पत्र और प्रस्तावित बुनियादी ढांचे पर निर्भर करती है।	सर्वर पार्ट के विकास के लिए आपको अतिरिक्त खर्च की आवश्यकता नहीं है, क्योंकि सुरक्षित पीसी सर्वर पर लेनदेन प्रसंस्करण होता है।
डिज़ाइन	भुगतानों की स्व-स्वीकृति को व्यवस्थित करने के लिए, बिलिंग सिस्टम को विकसित करना या खरीदना आवश्यक है, जिसमें बैंक को सुरक्षित डेटा स्थानांतरण सेवाएं, भुगतान स्वीकार करने के लिए सुरक्षित फ़ॉर्म और अतिरिक्त इंटरफेस शामिल हैं। कम से कम 65,000 रूबल की लागत पर एक उच्च योग्य विशेषज्ञ के स्थायी काम की आवश्यकता होती है। / माह	प्रसंस्करण केंद्र से जुड़ने के लिए, कंपनी की वेबसाइट पर भुगतान फ़ॉर्म को लागू करने के लिए डेवलपर की एक-बार भागीदारी आवश्यक है। यदि आवश्यक हो, तो एचआर विशेषज्ञों द्वारा एक ब्रांडेड भुगतान फॉर्म विकसित किया जाता है।
साइट पर भुगतान स्वीकार करना (तृतीय-पक्ष संसाधन पर स्विच किए बिना)	आप तृतीय-पक्ष संसाधन पर स्विच किए बिना साइट पर बैंक कार्ड डेटा संसाधित करते हैं।	IFrame तकनीक का उपयोग करके सीधे पीसी वेबसाइट पर जाए बिना भुगतानों की स्वीकृति को लागू करना संभव है।

इस प्रकार, यदि कोई कंपनी पीसीआई डीएसएस प्रमाणन से गुजरने वाली है और साइट पर स्वतंत्र रूप से बैंक कार्ड डेटा की प्रक्रिया करती है, तो पीसीआई डीएसएस मानक की सभी आवश्यकताएं उस पर लागू होती हैं। वे नेटवर्क, उपकरण, एप्लिकेशन, डेटाबेस, भौतिक भंडारण, प्रलेखन और प्रक्रिया नियंत्रण के स्तर पर सुरक्षा को कवर करते हैं। और, जैसा कि ऊपर उल्लेख किया गया है, एक धोखाधड़ी-रोधी प्रणाली का निर्माण और एक बिलिंग प्रणाली, जिसे लागू करने के लिए एक कठिन और लंबा कार्य है, कंपनी द्वारा भी अपने दम पर प्रदर्शन किया जाता है।

कंपनियां जो केवल भुगतान गेटवे के साथ काम करती हैं और अपने डेटा पर ग्राहकों के बैंक कार्ड स्वीकार नहीं करती हैं, केवल भुगतान गेटवे (पीसी) के जोखिम गेटवे की आवश्यकताएं शामिल हैं। वे ई-कॉमर्स उद्यम की साइट, सामग्री और मूल्य की पेशकश की शुद्धता, कंपनी के संगठनात्मक रूप से संबंधित हैं।

यदि इस पोस्ट को पढ़ने के बाद आपके पास सवाल हैं - टिप्पणियों में लिखें। डेवेरी, सीआईएसए, पीसीआई क्यूएसए के कार्यकारी निदेशक एवगेनी बेजगोडोव उर्फ ​​बेजगोडोव आपको पीसीएस डीएसएस आवश्यकताओं में लेखा परीक्षक और विशेषज्ञ की सलाह देंगे। भुगतान गेटवे की ओर से, हमेशा की तरह, पेऑनलाइन प्रोसेसिंग सेंटर के विशेषज्ञ संपर्क में हैं।