Puzzak's

Puzzak's pinned «До речі я зараз працюю у платіжному провайдері - так от, ці всі запитання коректно називаються "дозбируванням даних", і вони потрібні для коректної роботи антифрод системи. Якісь low-risc платежі (поповнення телефону в терміналі на 300 грн) не потребують…»

23:24

Puzzak's

Так, мабуть багато хто це все знає, навіть термінологію, але от для мене це було внову і тепер я б хотів поділитись) Загалом, що робить моно - це замінює дозбирування даних своїми даними. Для антифроду так само потрібні всі ті самі дані, але тепер не клієнт…

Бтв, якщо ви бачите надпис PCI DSS (Payment Card Industry Data Security Standard) і вам не впадлу перевірити чи справді є сертифікат відповідності цьому стандарту у банка чи PSP (payment solution provider) - можете бути дуже спокійними за свої карткові дані.

Для мене раніше ці букви були просто "ще одним бознапрошо стандартом", але тепер коли я працюю ПІД цим стандартом - повірте коли я кажу що це дуже строга штука.
Ви можете отримати доступ до повної документації на офіційному сайті комісії (але треба заповнювати форму) або на оцьому рандомному сайті де доволі чітко все розписано.

Одним з важливих моментів це те що ваші особисті дані не відомі провайдеру. От прям зовсім. Провайдер може бачити маску картки (перші 4/6 цифр, 4 останні), але ніколи не повний PAN (Primary account number) картки. Він просто не зберігається в системі не в зашифрованому виді, це одна з вимог стандарту.

Сертифікація проходить як на апаратному, так і на програмному рівні, і співробітники також мають проходити аккредитацію. Агентів які можуть сертифікувати PSP можна перелічити на пальцях і це дуже серйозний крок, проходження ассесменту та підтримання відповідності стандарту.

#psplongread

www.itgovernance.co.uk

PCI DSS | What It Is and How to Comply | IT Governance UK

As a PCI QSA company, IT Governance has everything you need for your PCI DSS compliance journey, including help with scoping, RoCs, SAQs and ASV scans.

102 viewsPuzzak, edited 23:35

Puzzak's