پرسش و پاسخ

به راهنمای انطباق رایانه شخصی استقبال .

بر روی لینک های زیر کلیک کنید برای پیدا کردن پاسخ به سوالات متداول.

س 1: پارسی چیست?

استاندارد امنیت داده های صنعت کارت پرداخت مجموعه ای از استانداردهای امنیتی است که برای اطمینان از این امر طراحی شده است که کلیه شرکت هایی که اطلاعات کارت اعتباری را می پذیرند, پردازش, ذخیره یا انتقال می دهند یک محیط امن را حفظ می کنند.

شورای استانداردهای امنیتی صنعت کارت پرداخت در 7 سپتامبر 2006 برای مدیریت تکامل مداوم استانداردهای امنیتی صنعت کارت پرداخت با تمرکز بر بهبود امنیت حساب پرداخت در طول فرایند تراکنش راه اندازی شد. اینستاگرام مدیریت و مدیریت می شود (www. pcisecuritystandards. org), یک نهاد مستقل است که توسط مارک های اصلی کارت پرداخت ایجاد شد (ویزا, مسترکارت, امریکن اکسپرس, کشف و جی سی بی.). توجه به این نکته مهم است که مارک های پرداخت و خریداران وظیفه اجرای انطباق را بر عهده دارند نه شورای همکاری عمومی. یک کپی از این نسخه در اینجا موجود است.

س2: به چه کسی اعمال می شود?

پاسخ: این اطلاعات برای هر سازمانی صرف نظر از اندازه یا تعداد تراکنش ها اعمال می شود که اطلاعات دارنده کارت را می پذیرد یا ذخیره می کند.

س 3: از کجا می توانم استاندارد امنیت داده ها را پیدا کنم?

الف: اسناد فعلی را می توان در وب سایت شورای استانداردهای امنیتی یافت.

س4: سطح انطباق با رایانه شخصی چیست و چگونه تعیین می شود?

پاسخ: همه بازرگانان بر اساس حجم معاملات ویزا در یک دوره 12 ماهه در یکی از چهار سطح بازرگان قرار می گیرند. حجم معامله بر اساس تعداد کل معاملات ویزا (شامل اعتبار, بدهی و پیش پرداخت) از یک تاجر انجام کسب و کار به عنوان ('دبا'). در مواردی که یک شرکت تجاری بیش از یک دسی بل داشته باشد متقاضیان ویزا باید حجم کل معاملات ذخیره شده یا پردازش شده توسط نهاد شرکتی را برای تعیین سطح اعتبار سنجی در نظر بگیرند. اگر دادهها جمع نشوند به گونهای که نهاد شرکتی دادههای دارنده کارت را به نمایندگی از چندین دی بیاس ذخیره یا پردازش یا انتقال ندهد خریداران همچنان حجم معاملات فردی دی بی ای را برای تعیین سطح اعتبار سنجی در نظر میگیرند.

سطح بازرگانان به عنوان ویزا تعریف شده است:

* هر تاجر است که دچار نقض که منجر به سازش داده های حساب ممکن است به یک سطح اعتبار سنجی بالاتر تشدید.

س 5: یک کسب و کار کوچک تا متوسط (بازرگان سطح 4) چه کاری باید انجام دهد تا بتواند نیازهای شرکت را برطرف کند?

پاسخ: یک تاجر برای رفع نیازهای خود باید مراحل زیر را انجام دهد:

• تعیین کنید که کسب و کار شما از کدام پرسشنامه خودارزیابی برای اعتبارسنجی انطباق استفاده کند. برای کمک به شما در انتخاب نمودار زیر را مشاهده کنید. (برای بزرگنمایی روی نمودار کلیک کنید.)
• پرسشنامه خود ارزیابی را طبق دستورالعمل موجود تکمیل کنید.
• مدارک و شواهد مربوط به اسکن اسیب پذیری در حال گذر را با یک فروشنده اسکن تایید شده اس. توجه داشته باشید اسکن می کند به تمام تجار صدق نمی کند. برای خدمات دهی به سق ب-ایپ و سق ب-سق ج و سق د-مرچنت و سق د-الزامی است.
• تکمیل گواهی مربوطه از انطباق در تمامیت خود را (واقع در ابزار سقع).
• ثبت کردن سق, شواهدی از یک اسکن عبور (در صورت وجود), و گواهی انطباق, همراه با هر گونه اسناد و مدارک درخواست دیگر, به خریدار خود را.

س6: گرفتن کارت های اعتباری از طریق تلفن چگونه با رایانه شخصی کار می کند?

پاسخ: پست زیر, " چگونه گرفتن کارت های اعتباری از طریق تلفن کار با رایانه شخصی?"مسوولیتهای مربوط به انطباق رایانه شخصی خود را هنگام گرفتن اطلاعات کارت اعتباری از طریق تلفن (مثلا در یک مرکز تماس) توضیح می دهد. توجه داشته باشید که در حالی که این پست در منتشر شد 2014, این است که هنوز هم مربوط به نسخه فعلی از دی اس اس .

س 7: اگر فقط کارت های اعتباری را از طریق تلفن قبول کنم هنوز هم برای من صدق می کند?

پاسخ: بله. همه کسب و کار است که ذخیره, پردازش و یا انتقال داده دارنده کارت پرداخت باید سازگار با کامپیوتر باشد.

س8: سازمان هایی که از پردازنده های شخص ثالث استفاده می کنند باید سازگار باشند?

پاسخ: بله. صرفا استفاده از یک شرکت شخص ثالث یک شرکت را از انطباق سی.اس. اس. اس مستثنی نمی کند. این ممکن است در معرض خطر خود را کاهش دهد و در نتیجه تلاش برای اعتبار انطباق را کاهش دهد. اما این بدان معنا نیست که شما می توانید پی اچ پی را نادیده بگیرید.

س 9: کسب و کار من چندین مکان دارد, هر مکان مورد نیاز برای اعتبارسنجی انطباق رایانه شخصی است?

پاسخ: اگر مکان های کسب و کار شما تحت همان شناسه مالیاتی پردازش می شوند, سپس به طور معمول شما فقط باید یک بار در سال برای همه مکان ها اعتبار سنجی کنید. و در صورت وجود اسکن شبکه عبوری سه ماهه توسط یک فروشنده اسکن تایید شده برای هر مکان ارسال کنید.

س 10: ما فقط تجارت الکترونیکی انجام می دهیم. که سق باید استفاده کنیم?

پاسخ: بستگی به نحوه تنظیم سبد خرید شما دارد. مشاهده پارسی سق 3.1: گزینه های تجارت الکترونیک توضیح داده شده.

س11: شرکت من داده های کارت اعتباری را ذخیره نمی کند بنابراین انطباق رایانه شخصی در مورد ما صدق نمی کند, درست?

پاسخ: اگر کارت های اعتباری یا نقدی را به عنوان نوعی پرداخت بپذیرید, انطباق رایانه شخصی برای شما اعمال می شود. ذخیره سازی داده های کارت خطرناک است, بنابراین اگر شما داده های کارت ذخیره نمی, سپس تبدیل شدن به امن و سازگار ممکن است راحت تر.

س12: تراکنش های کارت نقدی در محدوده برای پارسیان هستند?

الف: کارت های پیش پرداخت شامل هرگونه کارت اعتباری و پیش پرداخت با مارک یکی از پنج کارت انجمن/لوگوی برند شرکت کننده در انجمن – امریکن اکسپرس می باشند.

س 13: اگر گواهی اس اس ال داشته باشم سازگار هستم?

پاسخ: نه. گواهی اس اس ال یک وب سرور از حملات مخرب و یا رسوخ امن نیست. گواهینامه های اس اس ال با اطمینان بالا ردیف اول امنیت و اطمینان مشتری مانند موارد زیر را فراهم می کنند اما مراحل دیگری نیز برای دستیابی به انطباق با مشتری وجود دارد. سوال را ببینید "چه کسب و کار کوچک به متوسط (سطح 4 تاجر) باید انجام دهید به منظور ارضای الزامات حزب کمونیست چین?”

• ارتباط امن بین مرورگر مشتری و وب سرور
• اعتبار سنجی که اپراتورهای وب سایت یک سازمان قانونی و قانونی پاسخگو هستند

س 14: شرکت من می خواهد داده های کارت اعتباری را ذخیره کند. چه روش می توانید استفاده کنید?

پاسخ: اکثر بازرگانانی که نیاز به ذخیره اطلاعات کارت اعتباری دارند این کار را برای صورتحساب های مکرر انجام می دهند. بهترین راه برای ذخیره اطلاعات کارت اعتباری برای صدور صورت حساب در محدوده زمانی معین است با استفاده از یک طاق کارت اعتباری شخص ثالث و رمزگذاری کننده. با استفاده از یک طاق, اطلاعات کارت از اختیار شما حذف شده است و شما داده می شود به یک "نشانه" است که می تواند به منظور صدور صورت حساب در محدوده زمانی معین استفاده می شود. با استفاده از یک شخص ثالث, شما خطر ذخیره سازی داده های کارت به کسی که متخصص در انجام این کار و تمام کنترل های امنیتی در محل برای حفظ اطلاعات کارت امن حرکت می کند.

اگر شما نیاز به ذخیره اطلاعات کارت خود نوار خود را برای خود ارزیابی بسیار بالا است و شما ممکن است نیاز به یک تضمین کیفیت (واجد شرایط امنیت ارزیاب) بیا در محل و انجام ممیزی به اطمینان حاصل شود که شما باید تمام کنترل در محل لازم برای دیدار با مشخصات.

س 15: مجازات های عدم رعایت چیست?

پاسخ: مارک های پرداخت ممکن است بنا به صلاحدید خود یک بانک خریدار را 5000 تا 100000 دلار در ماه برای نقض انطباق رایانه شخصی جریمه کنند. بانک ها به احتمال زیاد این جریمه را پشت سر می گذارند تا اینکه در نهایت به بازرگان برخورد کند. علاوه بر این, بانک نیز به احتمال زیاد یا خاتمه رابطه خود را و یا افزایش هزینه های معامله. مجازات ها به صراحت مورد بحث قرار نمی گیرند و به طور گسترده تبلیغ نمی شوند اما می توانند برای یک تجارت کوچک فاجعه بار باشند. مهم است که قرارداد حساب تجاری خود را بشناسید که باید قرار گرفتن در معرض شما را مشخص کند.

اطلاعات بیشتر در مورد مجازات برای عدم رعایت در پست وبلاگ ما, "چگونه می توانید تلاش انطباق رایانه شخصی خود را در نهایت صرفه جویی در پول کسب و کار شما?”

س16: چه تعریف شده است به عنوان 'داده دارنده کارت'?

الف: شورای استانداردهای امنیت اطلاعات دارنده کارت را به عنوان شماره حساب اصلی کامل (پان) یا پان کامل همراه با هر یک از عناصر زیر تعریف می کند:

• نام دارنده کارت
• تاریخ انقضا
• کد سرویس

اطلاعات احراز هویت حساس, که همچنین باید محافظت شود, شامل داده های نوار مغناطیسی کامل, غار2, سی وی سی2, رزووا2, انجین, پین, بلوک پین و بیشتر.

س 17: تعریف 'تاجر' چیست?

یک تاجر به عنوان هر نهادی تعریف می شود که کارت های پرداخت را با لوگوی هر یک از پنج عضو شرکت پی سی اس سی (امریکن اکسپرس, کشف, جی سی بی, مسترکارت یا ویزا) به عنوان پرداخت برای کالاها و/یا خدمات می پذیرد. توجه داشته باشید که یک تاجر که کارت های پرداخت را به عنوان پرداخت برای کالاها و/یا خدمات می پذیرد نیز می تواند یک سرویس دهنده باشد اگر خدمات فروخته شده منجر به ذخیره سازی, پردازش, یا انتقال داده های دارنده کارت به نمایندگی از سایر بازرگانان یا سرویس دهندگان شود. به عنوان مثال ای سی پی یک تاجر است که کارت های پرداخت را برای صورتحساب ماهانه می پذیرد اما اگر میزبان بازرگانان به عنوان مشتری باشد نیز یک سرویس دهنده است. منبع: پی سی اس اس سی

س18: چه چیزی به منزله یک سرویس دهنده?

یک سرویس دهنده را اینگونه تعریف می کند: "نهاد تجاری که مارک پرداختی نیست و مستقیما در پردازش, ذخیره سازی, یا انتقال داده های دارنده کارت دخیل است. این همچنین شامل شرکت هایی است که خدماتی را کنترل می کنند که می توانند امنیت داده های دارنده کارت را تحت تاثیر قرار دهند."(منبع: www. pcisecuritystandards. org)

نقش" تاجر به عنوان یک سرویس دهنده" بیشتر توسط تاجر مشخص می شود به عنوان "تاجر که کارت های پرداخت را به عنوان پرداخت برای کالاها و/یا خدمات می پذیرد if اگر خدمات فروخته شده منجر به ذخیره سازی, پردازش, یا انتقال داده های دارنده کارت به نمایندگی از سایر بازرگانان یا سرویس دهندگان شود."درباره چگونگی دستیابی به انطباق به عنوان یک سرویس دهنده بیشتر بدانید. به پست وبلاگ ما مراجعه کنید: "انطباق پی سی و سرویس دهنده.”

س19: چه چیزی یک برنامه پرداخت را تشکیل می دهد?

پاسخ: چه چیزی یک برنامه پرداخت را تشکیل می دهد زیرا مربوط به انطباق با رایانه شخصی است? اصطلاح برنامه پرداخت در پارسیان معنای بسیار گسترده ای دارد. نرم افزار پرداخت هر چیزی که فروشگاه پردازش یا انتقال اطلاعات کارت الکترونیکی است. این به این معنی است که هر چیزی از یک نقطه از سیستم فروش (به عنوان مثال, پایانه تایید کش رفتن, پایانه سلام, و غیره.) در یک رستوران به یک وب سایت تجارت الکترونیک سبد خرید (به عنوان مثال, کریود, تجارت, و غیره) همه به عنوان برنامه های پرداخت طبقه بندی می شوند. بنابراین هر نرم افزاری که برای لمس داده های کارت اعتباری طراحی شده باشد یک برنامه پرداخت محسوب می شود.

س20: دروازه پرداخت چیست?

پاسخ: دروازه های پرداخت یک تاجر را به بانک یا پردازنده متصل می کند که به عنوان اتصال جلویی به مارک های کارت عمل می کند. دروازه نامیده می شوند زیرا ورودی های زیادی را از انواع برنامه های مختلف می گیرند و ورودی ها را به بانک یا پردازنده مناسب هدایت می کنند. دروازه برقراری ارتباط با بانک یا پردازنده با استفاده از اتصالات شماره گیری, اتصالات مبتنی بر وب و یا خطوط اجاره خصوصی برگزار.

س21: دی اس اس چیست?

الف: به استاندارد امنیت داده های برنامه پرداخت اطلاق می شود که توسط شورای استانداردهای امنیتی برای رسیدگی به موضوع مهم امنیت برنامه پرداخت حفظ می شود. این الزامات برای اطمینان از این است که فروشندگان محصولاتی را فراهم می کنند که از تلاش های بازرگانان برای حفظ انطباق داده های حساس کارت پشتیبانی می کنند و ذخیره سازی داده های حساس کارت را از بین می برند.

این برنامه به منظور اعتبارسنجی انطباق برنامههای پرداخت در برابر دی. اس. اس مدیریت میشود و لیستی از برنامههای معتبر ب.دی. اس را منتشر و نگهداری میکند. مشاهده استانداردهای امنیتی برای اطلاعات بیشتر. همچنین پست وبلاگ ما در این تفاوت مهم بین PCI DSS و PA-DSS در اینجا.

س22: می توان شماره کارت اعتباری کامل را روی نسخه رسید مصرف کننده چاپ کرد?

"ماسک پان زمانی که نمایش داده می شود (شش و چهار رقم اول حداکثر تعداد ارقام نمایش داده می شود)."در حالی که این الزام چاپ شماره کامل کارت یا تاریخ انقضای رسیدها را ممنوع نمیکند (یا کپی تاجر یا کپی مصرفکننده) لطفا توجه داشته باشید که قوانین دیگری که میتوانند روی رسیدها چاپ شوند را نادیده نمیگیرد (مانند قانون معاملات اعتباری منصفانه و دقیق ایالات متحده (واقعیت) یا سایر قوانین قابل اجرا).

توجه: این الزام جایگزین الزامات سختگیرانه تری برای نمایش داده های دارنده کارت نمی شود-به عنوان مثال الزامات برند قانونی یا کارت پرداخت برای رسیدهای نقطه فروش. هر گونه رسید کاغذ ذخیره شده توسط بازرگانان باید به اطلاعات شخصی پایبند, به خصوص مورد نیاز 9 در مورد امنیت فیزیکی". منبع: پی سی اس اس سی

پرسش 23: من نیاز به اسکن اسیب پذیری به اعتبار انطباق?

پاسخ: اگر شما برای برخی از پرسشنامه های خودارزیابی واجد شرایط هستید یا مجوز ارسال اطلاعات دارنده کارت را به صورت الکترونیکی ذخیره می کنید, سپس یک اسکن سه ماهه توسط یک فروشنده اسکن تایید شده برای حفظ انطباق لازم است. اگر شما برای هر یک از سقفهای زیر تحت نسخه واجد شرایط 3.شما نیاز به یک اسکن اسوی اسوی عبور:

• ساق ایپ
• سق ب-ایپ
• سی
• سق دی-مرچنت
• سق دی-سرویس دهنده

س24: اسکن اسیب پذیری چیست?

پاسخ: اسکن اسکن شامل یک ابزار خودکار است که سیستم های بازرگان یا سرویس دهنده را از نظر نقاط ضعف بررسی می کند. این ابزار یک اسکن غیر تهاجمی را برای بررسی از راه دور شبکه ها و برنامه های کاربردی وب بر اساس پروتکل اینترنت خارجی انجام می دهد. اسکن شناسایی نقاط ضعف در سیستم عامل, خدمات و دستگاه های است که می تواند توسط هکرها مورد استفاده قرار گیرد به هدف قرار دادن شبکه خصوصی شرکت. همانطور که توسط فروشندگان اسکن تایید شده مانند کنترل اسکن, اسکن نیازی به تاجر یا سرویس دهنده برای نصب هیچ نرم افزاری بر روی سیستم خود ندارد, و هیچ حمله انکار سرویس انجام نخواهد شد. اطلاعات بیشتر در مورد اسکن اسکن در اینجا.

س25: هر چند وقت یکبار باید اسکن اسکن کنم?

پاسخ: هر 90 روز/یک بار در هر سه ماهه, کسانی که متناسب با معیارهای فوق مورد نیاز برای ارسال یک اسکن عبور. بازرگانان و خدمات دهندگان باید مستندات انطباق (گزارش های اسکن موفق) را با توجه به جدول زمانی تعیین شده توسط خریدار خود ارسال کنند. اسکن باید توسط یک فروشنده اسکن تایید شده مانند کنترل اسکن انجام شود.

س26: اگر تجارت من از همکاری امتناع ورزد چه می شود?

ج: این قانون به خودی خود یک قانون نیست. استاندارد توسط مارک های عمده کارت ویزا ایجاد شد, مسترکارت, کشف, امکس و جی سی بی. به صلاحدید خریداران / ارایه دهندگان خدمات ممکن است تاجرانی که از این قانون پیروی نمی کنند مشمول جریمه شوند, هزینه های تعویض کارت, ممیزی های پزشکی قانونی پرهزینه, خسارت برند, و غیره., باید یک رویداد نقض رخ می دهد.

شما با کمی تلاش و هزینه برای رعایت این عواقب بسیار ناخوشایند و پرهزینه به کاهش خطر خود کمک می کنید. بیاموزید که چگونه کنترلها به ساده سازی اطلاعات شخصی کمک می کنند.

پرسش 27: اگر من در حال اجرا یک کسب و کار از خانه من, من یک هدف جدی برای هکرها?

پاسخ: بله. کاربران خانگی مسلما بیشتر در معرض خطر هستند زیرا معمولا به خوبی محافظت نمی شوند. اتخاذ یک مسیر حداقل مقاومت' مدل, مزاحمان اغلب صفر در کاربران خانگی-اغلب بهره برداری خود را همیشه در اتصالات باند پهن و معمولی استفاده از برنامه های خانگی مانند چت, بازی های اینترنتی و ص2پ برنامه های کاربردی به اشتراک گذاری فایل. سرویس اسکن کنترل اسکن به کاربران خانگی و مدیران شبکه اجازه می دهد تا هرگونه ضعف امنیتی را در رایانه های رومیزی یا لپ تاپ خود شناسایی و برطرف کنند.

س28: اگر به خطر بیفتم چه باید بکنم?

پاسخ: در حالی که بسیاری از نقض داده های کارت پرداخت به راحتی قابل پیشگیری هستند, می توانند و هنوز هم برای مشاغل در هر اندازه اتفاق می افتند.

اگر کسب و کار کوچک یا متوسط شما کشف کرده است که نقض شده است, بسیاری از منابع خوب برای کمک به شما در مراحل بعدی وجود دارد. ما موارد زیر را توصیه می کنیم:

س29: ایالت ها قوانینی دارند که نیاز به اعلان های نقض داده به طرفین مبتلا دارند?

پاسخ: کاملا. کالیفرنیا کاتالیزور برای گزارش نقض داده ها به احزاب تحت تاثیر قرار است. این ایالت قانون اطلاع رسانی نقض خود را در سال 2003 اجرا کرد و اکنون تقریبا هر ایالت قانونی مشابه دارد.

جولای 12, 2017, NCSL. org گزارش ها: چهل و هشت ایالت, ناحیه کلمبیا, گوام, پورتوریکو و جزایر ویرجین تصویب کرده اند قانون نیاز به خصوصی, نهادهای دولتی یا تحصیلی به اطلاع افراد از نقض امنیت اطلاعات مربوط به اطلاعات شناسایی شخصی.

راهنمای انطباق توسط کارشناسان در وایکینگ کلاود طراحی شده است. یاد بگیرید چگونه ما می توانیم به شما کمک کند .