Вопросы и ответы

Трудно в современном мире представить себе компанию без сайта.Web-технологии приобрели огромную популярность. Большинство сайтов представляют собой набор приложений и сервисов, обладающих механизмами взаимодействия с клиентами, средствами интеграции с внутренними приложениями компании. Сайт стал незаменимым инструментом и витриной товаров и услуг компании. Но как только сайт становится доступным в интернете, он превращается в мишень для атак. Наиболее простым способом атак на сайт сегодня является использование уязвимостей его компонентов. Основная проблема заключается в том, что уязвимости стали вполне обычным явлением для сайтов, приложений, сервисов и серверов.

Примечание. Если Ваша организация имеет не только интернет-магазин, но и обычные розничные точки продажи, принимающие к оплате платежные карты, то в этом случае для определения подходящего варианта SAQ, необходимо сделать следующее:

Необходимо проанализировать используемую технологию переадресации вводимых клиентом данных сервис-провайдеру.

Платежные приложения, разработанные для смартфонов общего назначения для собственного использования (для использования клиентами компании), в настоящее время не могут быть валидированы в соответствии с требованиями стандарта PA-DSS

Требования к регулярности выполнения сканирований уязвимостей: внешнего ASV-сканирования  и внутреннего сканирования, не изменились, сканирования уязвимостей должны выполняться ежеквартально

Критерии МПС по делению мерчантов на 4 уровня в зависимости от количества транзакций по картам в год с переходом на 3.0 не изменились. Также не изменился и порядок отчетности мерчантов в зависимости от уровня:

Содержание опросников самооценки было приведено в соответствие с новыми требованиями стандарта. По-прежнему, наименее объемным остается SAQ-A, который содержит всего 14 вопросов из двух разделов стандарта.

Изменения, затрагивающие предприятия электронной коммерции, сведены в таблицу:

Заполнение опросника самооценки (SAQ) остается для мерчанта одним из возможных, и наиболее простым  способом подтверждения  соответствия требованиям стандарта.

Собственно стандарт – его основной документ Requirements and Security Assessment Procedures  - существенной модернизации не претерпел, изменения носят, в основном, косметический, уточняющий характер. Основные нововведения  следующие:

Версия 3.0 стандарта информационной безопасности индустрии платежных карт PCI DSS действует с 1 января 2014 г. Параллельно продолжает действовать предыдущая версия стандарта PCI DSS 2.0.