Näin PCI vaikuttaa sinuun

PCI-standardissa vaaditaan erilaisia toimia sen mukaan, montako korttimaksua yritykselläsi on vuodessa ja missä ympäristössä maksut suoritetaan. PCI-vaatimukset ovat samat kaikille yrityksille, ero on vain siinä, miten osoitetaan, että toimitaan standardin mukaisesti.

Isot yritykset 

Jos sinulla on myymälä, jossa tehdään vähintään miljoona korttiostoa vuodessa, tai verkkokauppa, jossa tehdään 20 000 – 1 000 000 korttiostoa vuodessa, yritystäsi koskevat erityisvaatimukset PCI-standardin osalta. Otamme tarvittaessa sinuun yhteyttä ja varmistamme yhdessä, että noudatat PCI-vaatimuksia.

Taulukosta näet, kuinka usein erityyppisiä tarkastuksia on tehtävä riippuen tapahtumamääristä.

Taso Perusteet Tarkastus paikan päällä (On-site Audit) Itsearviointi (Self Assessment) Ulkopuolinen verkon skannaus
 1 Yritys, jolla on vuodessa yli 6 miljoonaa korttiostoa Visalta tai Mastercardilta Vuosittain Ei vaatimusta Neljänneksittäin
 2 Yritys, jolla on vuodessa 1–6 miljoonaa korttiostoa Visalta tai Mastercardilta Vuosittain1 Ei vaatimusta Neljänneksittäin
 3 Verkkokaupan alalla toimiva yritys, jolla on vuodessa 20 000 – 1 000 000 korttiostoa Visalta tai Mastercardilta Ei vaatimusta Vuosittain Neljänneksittäin
 4 Muut yritykset Ei vaatimusta Suositellaan vuosittain Suositellaan vuosittain

1Yritykset jotka kuuluvat tasoon 2 ja jotka ottavat vastaan tapahtumia verkossa (kriteerit löytyvät lomakkeesta SAQ A /SAQ A-EP) tai maksupäätteen kautta joka täsmää kriteereihin SAQ D, tekevät vuosittaisen tarkastuksen paikan päällä hyväksytyn auditoijan (QSA/ISA) kanssa. Yrityksillä jotka kuuluvat tasoon 2, joiden ympäristö täsmää kriteereihin B-IP, C-VT, C tai P2PE voi olla mahdollisuus tämän sijaan tehdä vuosittainen itsearviointi.

Tasolla 4 tietyillä aloilla toimivien yritysten on suoritettava sertifiointi, ja otamme tällöin yritykseen yhteyttä.

Millaisia tarkastusmenetelmiä on käytössä?

  • Tarkastus paikan päällä – yritys käyttää auditoijaa, jonka Mastercard ja Visa ovat hyväksyneet*. Auditoija tarkastaa paikan päällä turvallisuuskäytännöt sekä tapahtumatietojen käsittelyn ja säilytyksen.
  • Itsearviointi – yritys täyttää lomakkeen.
  • Ulkoinen verkon skannaus – hyväksytyn toimittajan (Approved Scanning Vendor) työkalu skannaa ulkoiset IP-osoitteet havaitakseen mahdolliset turvallisuuspuutteet verkossa.

*Luettelo Visan ja Mastercardin hyväksymistä auditoijista sekä maista, joissa he toimivat: www.pcisecuritystandards.org.

Vaatimukset kiristyivät vuonna 2024

PCI DSS v4.0 julkaistiin maaliskuussa 2022, ja se on ollut pakollinen vuodesta 2024 eteenpäin. Päivitetty standardi sisältää useita kiristyksiä ja selvennyksiä. Näistä tärkeimpiä on vaatimus, että kaikkien verkkokauppaa harjoittavien asiakkaiden on suoritettava ulkoinen skannaus osoittaakseen vaatimusten noudattamisen. ASV:n (Approved Scanning Vendor) on suoritettava skannaus.