POS ve online ödeme alıyoruz — PCI DSS 4.0 bizden ne istiyor?

Online tarafta ödeme alırken müşteri kart numarasını doğrudan sizin sitenizdeki bi forma mı giriyor yoksa bankanın 3D Secure ortak ödeme sayfasına mı yönleniyor? Bu ayrım dolduracağınız belgenin türünü baştan sona değiştirir.

PCI DSS 4.0 içindeki 6.4.3 ve 11.6.1 gereksinimleri doğrudan e-ticaret sitelerindeki script güvenliğini hedefliyor. Ödeme sayfasına sızdırılan zararlı kodlar kart verilerini arka planda kopyalayabiliyor. Ödeme ekranında çalışan her harici scriptin gerekçesini belgelemeniz şart.

Aynı e-postayı iki ay önce bize de yolladılar. Yıllık 40.000 işlemimiz var. Danışmanlık firması 35.000 TL istedi. Oturup bankayla görüştük, yönlendirmeli ödeme yaptığımız için SAQ-A formu doldurmamızın yettiğini belirttiler. Kendi içimizde 3 günde formu hazırlayıp gönderdik, kabul edildi.

kart bilglerini vertiabaninda tutmuyorsaniz panik yapacak bi duum yok bir de bankalar regulasyon geregi bu mailleri herkese otomatik yolluyor formu eksiksiz doldurup gonderince konu kapaniyor

düzeltme: rakamı yanlış hatırlamışım, biraz daha düşüktü.

Bankaların bilgi güvenliği birimleri maalesef her işletmeyi devasa bi e-ticaret devi sanıp şablon metinler fırlatıyor. Hemen binlerce liralık denetim satın almaya kalkmayın; önce bankadaki temsilcinize SAQ-A'nın yeterli olup olmadığını yazılı teyit ettirin.

Formu doldururken özellikle şu 3 başlıkta takılabilirsiniz: 1) Sunucu ve panel parolalarının karmaşıklığı ve düzenli değişimi, 2) Yönetim paneline girişte iki adımlı doğrulamanın açık olması, 3) Fiziksel POS cihazlarının seri numarası takip listesi.

Hemen yarın fiziksel şubelerinizdeki POS cihazlarının altındaki seri numaralarını bi tabloya yazın. Haftalık olarak kontrol edip 'fiziksel müdahale yok' diye imza atacağınız basit bi kontrol listesi oluşturun; denetim sorusunu doğrudan karşılarsınız.

Gözünüz korkmasın, PCI DSS 4.0 başta çok karmaşık görünse de küçük işletmeler için hazırlanan öz değerlendirme kılavuzları oldukça açıktır. Resmi siteden SAQ-A dokümanını indirip Türkçeye çevirerek adım adım giderseniz yarım günde tamamlarsınız.

tersini savunacağım kızmayın sonra yani unutulmuş test ortamları, calnı sistemden daha sık kapı oluyor

soruuz olursa yazin elimden geldiince cevaplarim

Genel olarak doğru ama bir yeri eksik kalmış. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.

Ölçmeden karar verince hep aynı yere geliyoruz. Not olarak bırakayım, lazım olur.

Tersini savunacağım, kızmayın. Asıl mesele rakam deil o rakamın neye göre çıktığı.

Benim görüşüm bu kesin doğru diye yazmıyorum.

PCI DSS 4.0 gereksinimleri konusunda en çok atlanan nokta şu: Bunun cevabı sektöre göre çok değişiyor, genel geçer bir kural yok.

Yanlışım varsa düzeltin.

bizde de aynı.

Konuyu toparlayayım, çünkü birkaç farklı cevap verildi. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

Başka türlü yapan varsa onu da merak ederim.

Küçük bir işletmeyim, benim tarafımdan anlatayım. işte yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde.

Yanlışım varsa düzeltin.

Kendi tecrübemi yazayım. Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor.

Tecrübeyle sabit.

Aynı şeyi ben de düşünüyordum. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Bunu yazdığınız için teşekkürler, doğrusu bu. Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir. Kendi durumunuz farklıysa tabii değişir.