ينطبق معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS) على كل مؤسسة تخزن بيانات حاملي البطاقات أو تعالجها أو تنقلها. صدر الإصدار 4.0 في مارس 2022، وأُوقف العمل بالإصدار 3.2.1 في نهاية مارس 2024، وأصبحت المتطلبات التي كانت «مؤجلة» في الإصدار 4.0 إلزامية في 31 مارس 2025. ثم صدرت مراجعة طفيفة هي 4.0.1 في يونيو 2024.
ابدأ بتقليص نطاقك
أرخص ضابط في PCI هو الضابط الذي لا تحتاجه. فإذا لم تلمس بيانات البطاقات خوادمك أبدًا، لأنك تستخدم صفحة دفع يستضيفها مزود الدفع أو تقنية الترميز (Tokenisation)، تسقط أغلب المتطلبات. قبل أي شيء، ارسم بدقة مسار بيانات البطاقات، وانظر كم منه يمكنك إزالته.
ما يجب أن توفره طبقة الاستضافة
حين تمر بيانات البطاقات عبر أنظمتك، تحتاج الخوادم والشبكة المحيطة بها إلى:
- تقسيم الشبكة، لفصل بيئة بيانات حاملي البطاقات عن كل ما عداها.
- جدران نارية بقواعد موثقة تُراجع دوريًا.
- تشفير قوي للبيانات أثناء النقل وأثناء التخزين.
- تحديث أنظمة التشغيل والبرمجيات في الوقت المناسب.
- التحقق متعدد العوامل لكل وصول إلى بيئة بيانات البطاقات، وهو متطلب وسّعه الإصدار 4.0.
- تسجيل مركزي للأحداث، مع مراجعة السجلات والاحتفاظ بها.
- فحوص دورية للثغرات واختبارات اختراق.
أبرز تغييرات الإصدار 4.0
- تحليل مخاطر موجّه يتيح للمؤسسات تبرير عدد مرات تنفيذ بعض الضوابط.
- متطلبات أقوى لكلمات المرور والتحقق متعدد العوامل.
- حماية صفحات الدفع من التلاعب بالسكربتات داخل المتصفح.
- نهج مخصص يسمح بضوابط بديلة تحقق الهدف المعلن للمتطلب.
المسؤولية المشتركة
حين تستضيف لدى مزود، تتوزع المسؤولية. فالمزود يغطي عادة الأمن المادي وأجزاء من البنية التحتية، وتبقى أنت مسؤولًا عن تطبيقاتك وإعداداتك ومستخدميك. اطلب من مزودك أن يحدد كتابةً المتطلبات التي يغطيها بالضبط.
كيف تساعدك IDX
يمكن تجهيز الخوادم المخصصة وسيرفرات مصر من IDX بحيث تبقى أحمال الدفع منفصلة، مع شبكات خاصة وجدران نارية وتسجيل للأحداث مُعدّ لبيئتك. وتوفر خدمات NOC وSOC لدينا المراقبة والاستجابة للحوادث، ويستطيع فريقنا مساعدتك في توثيق الضوابط التي تقع علينا وتلك التي تقع عليك.
مقالات IDX للبنية التحتية الرقمية
الرجوع للمدوّنة →