Jeho rozsah může zahrnovat pokladny, čtečky karet, mobilní terminály, software POS, prodejní sítě, back-office systémy, nástroje vzdálené správy, platební zpracovatele, poskytovatele podpory a fyzické prostředí kolem každého zařízení.
Kontroly by měly chránit data platebních účtů a další maloobchodní informace při zachování dostupnosti transakcí. Požadavky závisí na platebních metodách, tocích dat, modelech softwaru a terminálů, vztazích s acquiring bankami, třetích stranách a hodnoceném prostředí držitelů karet.
Klíčové body
Transakční cestaIdentifikujte, kde platební a zákaznická data vstupují, tečou, jsou uložena či mohou být ovlivněna, včetně manažerských systémů, integrací, přístupu podpory, bezdrátových linek a připojených systémů.
Ochrana zařízení a datPoužívejte podporované terminály a software, kontrolujte manipulaci či substituci, vyhýbejte se zbytečnému ukládání, chraňte klíče a dodržujte instrukce jakéhokoli uvedeného řešení point-to-point šifrování.
Provozní kontrolyZměňte nebezpečná výchozí nastavení, silně autentizujte vzdálený přístup, oddělujte povinnosti, segmentujte tam, kde je to efektivní, aplikujte otestované aktualizace, monitorujte aktivitu, školte personál a koordinujte incidentní procedury s platebními partnery.
Důležité omezeníSchválený terminál, šifrovaná transakce či validace PCI DSS nedokazuje, že celé prostředí POS je bezpečné. PCI uvedené řešení point-to-point šifrování (P2PE) může snížit platné požadavky PCI DSS při implementaci podle validace, ale neodstraňuje povinnosti obchodníka ani neřeší malware, odcizené přihlašovací údaje, nebezpečné integrace, substituci zařízení a pozdější změny.