Maksete turvalisus ei piirdu ühe logo või tehnilise omadusega. Koos tuleb uurida, milliseid süsteeme kaardiandmed läbivad, kus hoitakse ligipääsuvõtmeid ja kes pääseb tehingukirjetele ligi. See leht kirjeldab turvalisuse hindamise lähenemist ega asenda sertifikaati või auditiaruannet.
Tehke andmevoog nähtavaks
Kaardiandmete kogumise vaade, teenusepakkuja ühendus ja tokeni säilitamise koht tuleb eraldi näidata. Disaini eesmärk on vältida tarbetute isikuandmete liigutamist süsteemide vahel ja logidesse kirjutamist.
- Eristage testi- ja tootmiskeskkonna autentimisandmed.
- Määrake ligipääs vähimate vajalike õiguste põhimõttel.
- Kirjeldage võtmete uuendamise ja ligipääsu tühistamise protsess.
Tokeniseerimine ja PCI DSS-i ulatus
Tokeni kasutamine ei kaota PCI DSS-i kohaldumisala automaatselt. Arhitektuuri, teenusepakkujat ja andmevoogu tuleb hinnata koos vastavate turbetiimidega. Sellel lehel ei avaldata MagicPay nimel kontrollimata väidet PCI DSS Level 1 sertifikaadi kohta.
Intsidentide ja tarnijate hindamine
Kirjalikult tuleb määrata vastutus logide säilitamise, intsidentidest teavitamise, varukoopiate ja taastamise eest. Turbeülevaatuseks tuleb küsida kehtivaid dokumente, nende ulatust ning vastutava asutuse teavet. Tundlikke üksikasju ei tohi avalikele lehtedele lisada.