Совет по стандартам безопасности индустрии платёжных карт

Совет по стандартам безопасности индустрии платёжных карт (англ. Payment Card Industry Security Standards Council, PCI SSC) — глобальная отраслевая организация, основанная в 2006 году ведущими платёжными системами. Основной целью Совета является разработка, управление и продвижение единых стандартов безопасности для защиты данных держателей платёжных карт при их обработке, хранении и передаче. Совет не является государственным регулирующим органом, а представляет собой консорциум, созданный для унификации требований к информационной безопасности участников платёжной индустрии.

История

Предпосылкой к созданию PCI SSC стала разрозненность требований безопасности, которые предъявляли отдельные платёжные системы (Visa, Mastercard, American Express, Discover Financial Services, JCB International) к своим участникам — банкам, процессинговым центрам, торгово-сервисным предприятиям (ТСП). До 2004 года каждая система разрабатывала собственные программы защиты данных (например, Visa Cardholder Information Security Program, Mastercard Site Data Protection). Это создавало путаницу и дополнительные издержки для компаний, работающих одновременно с несколькими платёжными системами.

В 2004–2005 годах пять крупнейших платёжных брендов (Visa Inc., Mastercard Worldwide, American Express, Discover Financial Services, JCB Co., Ltd.) согласовали единую спецификацию — Standard of Payment Card Industry Data Security Standard (PCI DSS), а в 2006 году официально учредили Payment Card Industry Security Standards Council (PCI SSC) для управления этим стандартом. Штаб-квартира Совета расположена в Уэйкфилде, штат Массачусетс, США.

Первая версия PCI DSS была опубликована в декабре 2004 года. С тех пор стандарт неоднократно обновлялся: версия 2.0 вышла в 2010 году, 3.0 — в 2013-м, 3.2 — в 2016-м, 3.2.1 — в 2018-м, 4.0 — в 2022 году (с переходным периодом до марта 2024 года, когда версия 3.2.1 была выведена из эксплуатации).

Состав и управление

Совет по стандартам безопасности индустрии платёжных карт не является членской организацией с открытым доступом. Его высший орган — Управляющий совет (Executive Committee), в состав которого входят представители пяти компаний-основателей (по одному от каждой). Они принимают стратегические решения и утверждают изменения в стандартах.

Оперативное управление осуществляет штат сотрудников PCI SSC (около 80 человек) и несколько рабочих групп, в которые входят эксперты от банков, процессинговых компаний, вендоров решений безопасности, аудиторских фирм. Любая заинтересованная организация может стать «Участником программы» (Participating Organization), что даёт право голоса в процессе обсуждения изменений стандартов, доступа к закрытым документам и участия в ежегодных конференциях.

Основные стандарты

Совет разрабатывает и поддерживает несколько семейств стандартов, наиболее известным из которых является PCI DSS.

PCI DSS (Payment Card Industry Data Security Standard)

Основной стандарт, обязательный для всех организаций, которые хранят, обрабатывают или передают данные держателей карт. Состоит из 12 общих требований, сгруппированных в шесть целей:

1. Построение и поддержание безопасной сети (установка межсетевых экранов, запрет поставщиками паролей по умолчанию).
2. Защита данных держателей карт (шифрование при хранении и передаче).
3. Поддержка программы управления уязвимостями (защита от вредоносного ПО, регулярное обновление ПО).
4. Внедрение строгих мер контроля доступа (ограничение доступа к данным по принципу необходимости, уникальные идентификаторы, физическая безопасность).
5. Регулярный мониторинг и тестирование сетей (журналирование, сканирование уязвимостей, тесты на проникновение).
6. Поддержка политики информационной безопасности (документирование процедур, обучение персонала).

Каждое требование детализировано суб-требованиями (в версии 4.0 их около 400). Для небольших организаций предусмотрена упрощённая анкета самооценки (Self-Assessment Questionnaire, SAQ), для крупных — обязательный аудит с привлечением сертифицированного аудитора (Qualified Security Assessor, QSA) или внутреннего аудитора (Internal Security Assessor, ISA).

PA-DSS (Payment Application Data Security Standard)

Стандарт для разработчиков платёжных приложений (кассовых программ, платёжных терминалов, программ лояльности, которые хранят или обрабатывают данные карт). Заменён на PCI Secure Software Standard в 2022 году.

PTS (PIN Transaction Security)

Стандарт для физических устройств (пин-пады, POS-терминалы, банкоматы), обеспечивающий защиту ввода PIN-кода и безопасную загрузку ключей шифрования.

TSP (Token Service Provider)

Стандарт для провайдеров, предоставляющих услуги токенизации — замены PAN (Primary Account Number, номера карты) на уникальный токен, который невозможно использовать для проведения платежа за пределами конкретного сервиса.

PCI 3DS (3-D Secure)

Стандарт для провайдеров услуг 3-D Secure (протокол аутентификации держателя карты при онлайн-платежах).

Процесс сертификации и аудит

Соответствие стандартам PCI SSC подтверждается одним из трёх способов:

1. Отчёт о соответствии (Report on Compliance, ROC) — для крупных эмитентов, эквайеров, процессинговых центров, международных ТСП (обрабатывающих более 1 млн операций год). Выполняется QSA.
2. Анкета самооценки (SAQ) — для небольших и средних ТСП. Заполняется самой организацией, может быть проверена в рамках отдельного сканирования сети (Approved Scanning Vendor, ASV).
3. Заявление о соответствии (Attestation of Compliance, AoC) — итоговый документ, подписываемый либо внешним аудитором (ROC), либо руководством организации (SAQ).

Все документы передаются эквайеру (банку-партнёру), который оценивает уровень риска. При несоответствии или нарушениях (особенно при инцидентах утечки данных) на организацию и банк могут быть наложены штрафы со стороны платёжных систем, а также, в худшем случае, запрет на обработку карточных данных.

Участие в деятельности

Любая организация, заинтересованная в сфере платёжных технологий, может стать «Участником программы» (Participating Organization). Статусы:

• Участник (Participant) — платный доступ (около 7500 долларов США в год), участник может голосовать по вопросам изменения стандартов, участвовать в рабочих группах.
• Мерчант-участник (Merchant Participant) — сниженная стоимость для ТСП.
• Партнёр-участник (Solution Provider Participant) — для поставщиков решений безопасности.

Решения в рабочих группах принимаются консенсусом или большинством, однако окончательное утверждение стандартов остаётся за пятью компаниями-основателями.

Применение и обязательность

Стандарты PCI SSC де-факто являются обязательными для всех участников платёжного рынка, так как платёжные системы (Visa, Mastercard, Мир и другие) включают требование соответствия PCI DSS в свои правила. Отсутствие сертификата соответствия может привести к:

• увеличению комиссий за риск,
• штрафам (от 5000 до 500 000 долларов США за инцидент),
• временному или постоянному ограничению приёма карт.

В Российской Федерации правила платёжной системы «Мир» (оператор — Национальная система платёжных карт, НСПК) также содержат требования соответствия PCI DSS для участников расчётов. НСПК является членом PCI SSC с 2016 года и участвует в разработке стандартов.

Критика и ограничения

Основные претензии к стандартам PCI SSC связаны с:

• Сложностью и дороговизной — полный аудит PCI DSS для крупной организации может стоить десятки тысяч долларов, а процесс внедрения мер безопасности — миллионы, что непропорционально затратно для небольших ТСП.
• Формальным подходом — критики отмечают, что компании часто проходят сертификацию «для галочки», заполняя анкеты формально, без реального внедрения мер защиты, что не предотвращает утечки (например, утечка Target в 2013 году произошла у сертифицированной организации).
• Отсутствием санкций за утечки — PCI SSC не наказывает напрямую, штрафы налагают платёжные системы, а не сам Совет.
• Запаздыванием стандартов — версия 4.0 вышла лишь в 2022 году, хотя технологии (облачные вычисления, бесконтактные платежи, токенизация) широко применялись задолго до её публикации.

Интересные факты

• Ежегодные конференции PCI SSC Community Meetings проводятся в Северной Америке, Европе и Азии, собирая до 1500 участников.
• В 2014 году PCI SSC запустил программу Qualified Integrator and Reseller (QIR) — сертификацию для IT-интеграторов, устанавливающих платёжные решения.
• Самый большой зафиксированный штраф за несоответствие PCI DSS составил около 1,1 миллиарда долларов США (для компании Heartland Payment Systems после утечки 2008 года).

Источники

• Официальный сайт PCI Security Standards Council (www.pcisecuritystandards.org)
• PCI DSS v4.0 — Документация стандарта
• Национальная система платёжных карт «Мир» (НСПК) — Правила платёжной системы
• Федеральный закон «О национальной платёжной системе» № 161-ФЗ (РФ)
• Отчёты о нарушении безопасности данных за 2013–2023 годы (Verizon Data Breach Investigations Report)