PCIDSS

Оформление соответствия требованиям PCIDSS (Payment Card Industry Data Security Standard) — обязательная процедура для всех, кто так или иначе имеет дело с обработкой данных платёжных карт. В большинстве случаев отсутствие сертификации не просто создаёт риски, а делает приём онлайн-платежей фактически невозможным.

Кто обязан проходить PCIDSS при приёме онлайн-платежей

PCIDSS обязателен для всех организаций, которые:

• принимают онлайн-платежи с карт Mastercard, Visa, American Express и других систем,
• обрабатывают, передают или хранят данные платёжных карт (PAN, CVV, срок действия и т.п.),
• предоставляют платёжную инфраструктуру (эквайринг, агрегаторы, SaaS-сервисы),
• интегрированы с процессингом как напрямую, так и через API.

Формально, любая компания, задействованная в процессах оплаты картами, подпадает под действие industry data security standard. Наличие или отсутствие собственного процессинга роли не играет: важен сам факт обращения к данным платежных карт.

Существует четыре уровня мерчантов по стандарту PCIDSS в зависимости от годового объема транзакций:

• Уровень 1: более 6 млн операций в год — требуется полный аудит PCI QSA,
• Уровень 2: от 1 до 6 млн операций — может потребоваться аудит или SAQ D,
• Уровень 3: 20 тыс. – 1 млн операций — почти всегда SAQ,
• Уровень 4: менее 20 тыс. онлайн-операций — требования устанавливает банк-эквайер.

Отсутствие сертификации PCIDSS — это:

• штрафы от платёжных систем — до $100 тыс. за инцидент,
• угроза приостановки обслуживания со стороны банка-эквайера,
• потеря права работать с картами вовсе,
• ответственность за компрометацию данных по liability shift (вся ответственность ложится на компанию).

Именно поэтому оформление PCIDSS становится не желанием «для галочки», а необходимостью — особенно в конкурентных сферах, где отказ от банковского эквайринга означает прямые потери.

Почему с оформлением PCIDSS лучше не затягивать

Решение «заняться сертификацией потом» часто заканчивается тем, что приходится срочно дорабатывать инфраструктуру, теряя время и деньги. Банки всё чаще требуют подтверждение соответствия требованиям PCI DSS уже на этапе открытия счёта или подключения эквайринга. Без этого нельзя получить merchant ID или начать принимать платежи через системы Visa, Mastercard, American Express.

Распространённая ошибка начинающих eCommerce и финтех-сервисов — недооценка роли Payment Card Industry Data Security Standard: «у нас пока только первая версия проекта, рано думать о документации и аудитах». Однако позже, при попытке масштабироваться, выясняется, что система не соответствует базовым техническим требованиям защиты данных. Это приводит к срочным переработкам и удвоенным затратам.

Если данные клиентов уже обрабатываются — формально вы несёте ответственность за их защиту. Избежать этого нельзя, даже при малом объёме операций.

Что входит в процесс оформления PCIDSS

Оформление PCIDSS — это не просто «подписать акт». Это целый цикл работ, включающий техническую, регуляторную и организационную адаптацию компании под требования payment card industry data security standard. Вот как это выглядит поэтапно:

Аудит инфраструктуры

Первый шаг — определение границ системы, в которой циркулируют или потенциально могут циркулировать данные платёжных карт. Это включает:

• сервера (виртуальные и физические),
• API-интеграции с банками, платёжными шлюзами, сторонними сервисами,
• логирование событий и безопасность сетевого периметра,
• принципы хранения и шифрования чувствительных данных.

Аудит проводят либо внутренние специалисты, обученные по PCI DSS standard, либо внешние консультанты. По итогу формируется карта данных — она определяет объём контроля и зону ответственности.

Gap-анализ

На основе стандартов PCIDSS проводится сопоставление существующего состояния инфраструктуры с требованиями стандарта, выявление пробелов (gap) и ранжирование уязвимостей по критичности.

Корректирующие меры и внедрение

После анализа разрабатывается и реализуется маршрутный план поправок:

• рефакторинг кода для устранения хранения CVV,
• внедрение журналирования доступа,
• ограничение прав администрирования,
• шифрование журналов и баз данных,
• создание ролевой модели доступа,
• миграция на безопасные хостинги или виртуальные среды с изоляцией,
• интеграция с SIEM-системами, если требуется аудит уровня 1–2.

Каждое изменение фиксируется в конфигурации и описывается в будущей отчётности аудитора.

Тестирование

Включает обязательные процедуры:

• пентесты (penetration testing),
• внутренние и внешние сканирования на уязвимости,
• лог-файлы и события по SIEM,
• проверка работы firewall и IDS/IPS-систем.

Без тестирования нельзя доказать контроль технических мер. Сканирование должно проходить по сетям, взаимодействующим с карточными данными.

Отчётность и оформление документации

На финальном этапе формируется полный пакет:

• SAQ (Self-Assessment Questionnaire) или ROC (Report on Compliance) — в зависимости от уровня,
• AoC — Attestation of Compliance для банка или международной платёжной системы,
• сопутствующие политики и регламенты (DLP, парольная политика, порядок реагирования на инциденты и т.п.).

Получение аттестации

После финальной проверки и утверждения документации сертификация считается завершённой. В зависимости от торгового уровня, её подтверждают аудиторы QSA (Qualified Security Assessor) или заполняется SAQ-анкетирование при наличии всех подтверждающих документов. Банки и системы (Visa, Mastercard, American Express) принимают аттестацию как основание для допуска системы в оборот карточных операций.

Как мы ускоряем и упрощаем оформление PCIDSS

Основная сложность в получении соответствия PCIDSS — не сама проверка, а подготовка к ней. Большинство компаний сталкиваются с тем, что требования security standards противоречат текущей архитектуре, бизнес-логике или процессам. Здесь даже незначительная ошибка стоит потери сроков или отказа в одобрении аудитором.

Мы выстроили процесс так, чтобы максимально быстро и безболезненно провести компанию через сертификацию. Как?

Аудит до старта проекта

Мы ещё до подписания договора проводим технический скрининг инфраструктуры:

• выявляем все узкие места,
• определяем, потребуется ли рефакторинг, миграции, изменение кодовой базы,
• обрисовываем весь путь — без сюрпризов по ходу.

Это даёт клиенту реальное понимание, что предстоит, и позволяет заранее рассчитать бюджет. Если инфраструктура уже соответствует требованиям PCI DSS payment card industry — мы сразу переходим к SAQ/ROC и экономим время.

Индивидуальные маршрутные карты под каждую платформу

Наши эксперты разработали маршрутные карты под десятки популярных архитектур:

• Bitrix, WooCommerce, Shopify, самописные CMS,
• интеграции с LiqPay, Яндекс.Касса, Stripe и аналогичными,
• облачные развёртывания (AWS, Yandex.Cloud, Google Cloud),
• микросервисные архитектуры с докеризацией,
• фреймворки: Django, Laravel, Express.js, Spring.

Благодаря этому мы не «гадаем», как структурировать входящий и исходящий трафик — мы точно знаем, как работает ваша система и что требуется для её соответствия dss payment card industry.

Поддержка взаимодействия с банком

Оказываем полное сопровождение клиенту:

• отвечаем на требования банка по аттестации,
• помогаем корректно представить безопасность процессов,
• разграничиваем зоны ответственности — наша или вашей команды,
• помогаем верифицировать PCI DSS compliance на сайте или платформе.

Это критично при открытии мерчант-аккаунтов или выходе на новые рынки.

Минимизация времени за счёт чёткой структуры

Быстрота прохождения зависит от того, насколько системно выстроена работа. У нас это отлажено:

• Стартуем в течение 1 рабочего дня после согласования первичных параметров,
• Все этапы заранее описаны — вы знаете, что будет завтра, через три дня, на следующем этапе,
• Используем PaaS-доступы к инструментам тестирования — не нужно ставить что-то на сервер вручную,
• В логике работ заложена возможность итераций без блокировок (можно дорабатывать инфраструктуру параллельно с оформлением части документации).

Понятный результат и без рисков

Мы не обещаем абстрактное “соответствие стандарту безопасности payment card industry”. Мы даём клиенту:

• аттестацию AoC и SAQ — официальные подтверждения соответствия,
• дорожную карту, что нужно обновить через год (т.к. это ежегодное обязательство),
• методичку по инцидентам и журналированию на основе фактической инфраструктуры,
• поддержку в случае внешней проверки банком или партнёром,
• прозрачный трекинг хода проекта в любой момент.