Jos lomakkeesi kerää maksutietoja, sinuun sovelletaan tiukkoja tietoturvasääntöjä, tiedostit sen tai et. Payment Card Industry Data Security Standard (PCI DSS) asettaa vaatimukset kaikille, jotka vastaanottavat, tallentavat tai käsittelevät maksukorttidataa. PCI DSS:n rikkomisesta seuraa tuhansien dollarien sakot päivässä sekä vastuu, jos korttidata varastetaan.
PCI DSS:n perussääntö on yksinkertainen. Älä koskaan tallenna raakaa maksukorttidataa itse. Arkaluonteisen datan välttäminen lomakkeissa ja asianmukaisten maksupalvelujen käyttö suojaa brändiäsi ja asiakkaitasi ja pitää sinut vaatimustenmukaisena.
Tästä oppaasta opit: mikä PCI DSS on ja milloin se koskee sinua, mitä maksudataa et saa koskaan kerätä, miten rakennat maksulomakkeet turvallisesti, miten käytät maksupalveluja oikein ja mitä teet, jos olet jo kerännyt arkaluonteista dataa.
Mikä PCI DSS on?
PCI DSS (Payment Card Industry Data Security Standard) on joukko tietoturvastandardeja, jotka suurimmat luottokorttiyhtiöt ovat luoneet. Se koskee jokaista yritystä, joka vastaanottaa, tallentaa, välittää tai käsittelee luottokorttitietoja.
PCI DSS koskee sinua, jos:
- Ylläpidät verkkokauppaa, joka hyväksyy luottokortteja
- Sinulla on lomake, joka kerää maksutietoja
- Käytät sähköpostilaskuja, joissa on maksuohjeet
- Tallennat asiakkaiden maksutietoja toistuvaa laskutusta varten
- Jollakin työntekijällä on pääsy maksukorttidataan
Voit luulla, ettei PCI DSS koske sinua, jos käytät maksupalvelua, mutta olet vastuussa siitä, miten keräät datan ennen kuin se saavuttaa maksupalvelun.
PCI DSS -tasot ja ketkä ovat velvollisia noudattamaan
PCI DSS -vaatimustenmukaisuuden vaatimukset vaihtelevat käsittelemäsi tapahtumamäärän mukaan:
Taso 1: Yritykset, jotka käsittelevät yli 6 miljoonaa tapahtumaa vuodessa. Ulkopuolisen arvioijan täytyy auditoida vuosittain. Tiukimmat vaatimukset.
Taso 2: Yritykset, jotka käsittelevät 1-6 miljoonaa tapahtumaa vuodessa. Täytyy täyttää yksityiskohtainen itsearviointi.
Taso 3: Yritykset, jotka käsittelevät 20 000-1 miljoonaa tapahtumaa vuodessa. Täytyy täyttää itsearviointi.
Taso 4: Yritykset, jotka käsittelevät alle 20 000 tapahtumaa vuodessa. Yksinkertaisimmat vaatimukset. Useimmat pienyritykset kuuluvat tähän.
Jopa tasolla 4 (pienyritys) on tiukat vaatimukset. Et voi ottaa maksukorttidataa vastaan miten tahansa.
Tärkein sääntö: älä koskaan tallenna raakaa korttidataa
Tärkein PCI DSS -sääntö: älä kerää tai tallenna täydellisiä luottokorttinumeroita, voimassaolopäiviä tai turvakoodeja (CVV) omaan tietokantaasi tai palvelimillesi.
ÄLÄ KOSKAAN kerää:
- Täydellisiä luottokorttinumeroita (PAN: Primary Account Number)
- Voimassaolopäiviä
- Turvakoodeja (CVV/CVC)
ÄLÄ KOSKAAN tallenna näitä, vaikka salaisit ne.
Jos lomakkeesi kerää tätä dataa ja tallennat sen itse, rikot PCI DSS:ää. Seuraamukset ovat ankarat:
- Sakot 5 000-100 000 dollaria kuukaudessa vaatimustenvastaisuuden ajalta
- Vastuu, jos korttidata varastetaan ja sitä käytetään petokseen
- Vastuu petoshäviöistä ja asiakasilmoitusten kustannuksista
- Korttimaksujen käsittelijät voivat peruuttaa oikeutesi vastaanottaa maksuja
Mitä VOIT kerätä ja tallentaa
Osa maksuun liittyvästä datasta on turvallista kerätä:
- Laskutusnimi ja -osoite: Varmennusta ja toimitusta varten
- Sähköpostiosoite: Kuittia ja viestintää varten
- Kortin numeron 4 viimeistä numeroa: Viitteeksi (esim. "maksutapa, joka päättyy numeroon 4242") - mutta vain jos et kerää koko numeroa
- Maksun summa ja päivämäärä: Kirjanpitoa varten
- Maksupalvelun tapahtumatunnus: Täsmäytystä varten
Pääasia: voit tallentaa asiakastietoja, tilaustietoja ja viitenumeroita. Et voi tallentaa varsinaista maksukorttidataa.
Miten käsittelet maksudataa turvallisesti
Älä koskaan tee omaa maksulomaketta
Älä rakenna lomaketta, joka kerää luottokorttitietoja suoraan. Heti kun maksulomake lähettää korttidataa palvelimellesi, olet vastuussa PCI DSS -vaatimustenmukaisuudesta.
Käytä maksupalvelua, jolla on isännöidyt maksusivut
Maksupalvelut tarjoavat isännöityjä maksusivuja. Ne ovat lomakkeita, jotka sijaitsevat maksupalvelun suojatuilla palvelimilla, eivät sinun palvelimillasi. Kun asiakas täyttää maksulomakkeen, korttidata menee suoraan maksupalvelulle. Palvelimesi ei koskaan näe koko korttinumeroa.
Esimerkkikulku:
- Asiakas täyttää tilauslomakkeesi (nimi, sähköpostiosoite, toimitusosoite)
- Asiakas napsauttaa "Maksa"
- Selain ohjautuu maksupalvelun suojattuun lomakkeeseen
- Asiakas syöttää korttitiedot maksupalvelun lomakkeeseen
- Maksupalvelu käsittelee maksun ja lähettää sinulle ilmoituksen
- Lomakkeesi saa vain tapahtumatunnuksen, ei korttidataa
Et koskaan käsittele korttidataa, joten PCI DSS -vaatimustenmukaisuus on maksupalvelun vastuulla.
Käytä iframea maksuun
Jotkin maksupalvelut tarjoavat iframen, jonka voit upottaa lomakkeeseesi. Iframe on oikeasti maksupalvelun suojatuilla palvelimilla, mutta se näkyy osana sivuasi. Asiakas näkee yhden yhtenäisen lomakkeen, mutta maksuosio on oikeasti maksupalvelun palvelimilla.
Käytä maksurajapintaa ja tokenisointia
Kehittyneet maksupalvelut antavat kerätä maksutiedot lomakkeellasi käyttämällä niiden JavaScript-kirjastoa. Kirjasto salaa datan asiakkaan selaimessa ennen kuin se saavuttaa palvelimesi. Se lähettää sinulle tokenin (turvallisen viitteen) varsinaisen korttidatan sijaan. Tallennat tokenin, et korttia.
Tämä vaatii huolellista toteutusta, jotta vältät salaamattoman korttidatan käsittelyn. Käytä vain, jos ymmärrät prosessin täysin.
Mitä EI pidä tehdä
Älä lähetä maksutietoja sähköpostilla. Älä pyydä asiakkaita lähettämään luottokorttinumeroita sähköpostilla. Sähköposti ei ole salattu eikä turvallinen.
Älä pyydä CVV:tä, jos tallennat kortin. Jos tallennat kortin toistuvia maksuja varten, et saa pyytää tai tallentaa CVV:tä. CVV tarvitaan vain maksuhetkellä.
Älä kerää korttidataa tavallisella lomakkeella ja lähetä sitä itsellesi sähköpostilla. Tämä lähettää maksutiedot salaamattomalla sähköpostilla, mikä rikkoo PCI DSS:ää.
Älä tallenna korttidataa taulukkoon, tekstitiedostoon tai tietokantaan ilman salausta. Jos olet jo kerännyt korttidataa (mitä et olisi saanut tehdä), sinun täytyy salata se tai poistaa se heti.
Jos olet jo kerännyt arkaluonteista maksudataa
Jos sinulla on lomake, joka on kerännyt täydellisiä luottokorttinumeroita tai CVV-koodeja, lopeta heti:
- Lopeta datan kerääminen. Poista korttikentät lomakkeesta heti.
- Suojaa se, mitä sinulla on. Jos olet tallentanut korttidataa, salaa se tai poista se.
- Vaihda maksupalveluun. Ota käyttöön vaatimustenmukainen maksutapa kolmannen osapuolen maksupalvelulla.
- Ilmoita asiasta kärsineille asiakkaille. Jos on tapahtunut tietomurto tai asiakkaiden korttidata on yhä tallennettuna, ilmoita heille.
- Kysy neuvoa lakimieheltä. Jos olet kerännyt korttidataa turvattomasti, voit olla säädösvastuussa. Hanki oikeudellista neuvontaa.
Tokenisointi: turvallinen tapa tallentaa maksutapoja
Tokenisointi on prosessi, jossa arkaluonteiset maksutiedot korvataan ei-arkaluonteisella viitenumerolla.
Ilman tokenisointia: Tallennat "4532-1234-5678-9010" tietokantaasi.
Tokenisoinnilla: Maksupalvelu tallentaa "4532-1234-5678-9010" ja antaa sinulle tokenin, kuten "tok_abc123def456". Tallennat tokenin.
Kun sinun täytyy veloittaa korttia uudelleen (toistuvaa laskutusta varten), lähetät tokenin maksupalvelulle. Maksupalvelu käyttää tokenia alkuperäisen korttidatan hakemiseen ja veloituksen käsittelyyn. Et koskaan käsittele itse korttia.
Tokenit ovat turvallisia tallentaa. Niitä ei voi käyttää maksujen käsittelyyn maksupalvelun tietämättä, eivätkä ne paljasta korttinumeroa.
PCI DSS -vaatimukset maksulomakkeiden ulkopuolella
Vaikka käyttäisit maksupalvelua oikein, PCI DSS:llä on muitakin vaatimuksia:
- Suojaa palvelimesi. Päivitä ohjelmistot, käytä palomuureja, rajoita käyttöoikeuksia.
- Käytä vahvoja salasanoja. Maksupalvelutilillesi ja kaikille hallintatileille.
- Salaa data siirron aikana ja tallennettuna. Käytä HTTPS:ää, salaa tietokannat.
- Seuraa ja auditoi. Kirjaa maksuihin liittyvien järjestelmien käyttö ja tarkista lokit säännöllisesti.
- Kouluta työntekijät. Jokainen, jolla on pääsy maksudataan, tarvitsee tietoturvakoulutuksen.
- Noudata verkon tietoturvastandardeja. PCI DSS sisältää 12 pääasiallista vaatimusta, jotka kattavat pääsynhallinnan, seurannan ja häiriötilanteisiin reagoinnin.
Jos käsittelet maksuja, tutustu kaikkiin 12 PCI DSS -vaatimukseen. Monet niistä ulottuvat lomakkeen tietoturvaa laajemmalle.
Mitä WEMASY tekee maksujen turvallisuuden eteen
WEMASYn verkkokauppalomakkeet eivät kerää tai tallenna raakaa maksudataa. Kun määrität maksulomakkeen WEMASYssä, se integroituu PCI-vaatimukset täyttäviin maksupalveluihin. Maksulomake ohjaa maksupalvelun suojattuun järjestelmään tai upottaa maksupalvelun tarjoaman suojatun iframen. Et koskaan käsittele korttidataa, eikä WEMASY koskaan tallenna sitä. Yrityksesi pysyy PCI DSS -vaatimusten mukaisena automaattisesti.
Lue lisää siitä, miten WEMASY käsittelee maksuja turvallisesti, tilisi asetuksista tai hinnastosivulta.