Il Payment Card Industry Data Security Standard (PCI DSS) è uno standard di sicurezza delle informazioni sviluppato e mantenuto dal Payment Card Industry Security Standards Council (PCI SSC), che stabilisce requisiti tecnici e operativi per la protezione dei dati relativi alle carte di pagamento.
Il PCI DSS si applica alle entità che memorizzano, elaborano o trasmettono dati dei titolari di carta (cardholder data, CHD). I dati dei titolari di carta (CHD) comprendono il PAN; se il PAN è memorizzato insieme al nome del titolare, alla data di scadenza o al codice di servizio, anche questi elementi fanno parte dei dati dei titolari di carta. I dati sensibili di autenticazione (sensitive authentication data, SAD) comprendono invece informazioni utilizzate per autenticare il titolare o autorizzare una transazione, tra cui i dati completi della traccia magnetica o equivalenti sul chip, i codici di verifica della carta e i PIN/PIN block.
Il PCI SSC definisce e mantiene lo standard, mentre i singoli circuiti di pagamento e gli acquirer gestiscono i rispettivi programmi di conformità e stabiliscono gli eventuali obblighi di convalida e rendicontazione.
Storia Prima del lancio del PCI DSS, la sicurezza dei dati delle carte di pagamento era gestita dai principali circuiti di pagamento, ognuno con il proprio programma:
Visa (CISP, Cardholder Information Security Program) Mastercard (SDP, Site Data Protection) American Express (DSOP, Data Security Operating Policy) JCB (DSP, Data Security Program) Lo scopo era simile: creare un livello di protezione aggiuntivo per gli emittenti di carte, garantendo che i commercianti rispettassero minimi requisiti di sicurezza nel trattamento dei dati delle carte. Con l’aumento delle frodi negli anni ’90 e 2000 , i circuiti principali hanno avvertito la necessità di uniformare gli standard di sicurezza.
Per risolvere i problemi di interoperabilità tra gli standard esistenti, gli sforzi congiunti delle principali organizzazioni hanno portato, nel dicembre 2004, al rilascio della versione 1.0 del PCI DSS. Da allora, il PCI DSS è stato adottato a livello globale.
Successivamente, nel settembre 2006, MasterCard, American Express, Visa, JCB International e Discover Financial Services hanno costituito il PCI SSC come entità amministrativa e di governo, responsabile dell’evoluzione e dello sviluppo del PCI DSS. Organizzazioni private indipendenti possono partecipare allo sviluppo dello standard registrandosi come PCI SSC Participating Organization (PO) e contribuendo ai lavori dei vari Special Interest Group (SIG).
Sono state rese disponibili le seguenti versioni di PCI DSS: Versione Data Appunti 1.0 15 dicembre 2004 1.1 Settembre 2006 Chiarimenti e revisioni minori 1.2 Ottobre 2008 Maggiore chiarezza, flessibilità e gestione dei rischi in evoluzione 1.2.1 Luglio 2009 Correzioni minori per maggiore chiarezza e coerenza 2.0 Ottobre 2010 3.0 Novembre 2013 Attivo dal 1º gennaio 2014 al 30 giugno 2015 3.1 Aprile 2015 Ritirata dal 31 ottobre 2016 3.2 Aprile 2016 Ritirata dal 31 dicembre 2018 3.2.1 Maggio 2018Ritirata dal 31 marzo 2024 4.0 Marzo 2022 Revisione sostanziale dello standard: aggiornamento della terminologia relativa ai firewall in network security controls, estensione dell'autenticazione a più fattori (MFA), introduzione di maggiore flessibilità nell'implementazione dei controlli tramite il customized approach e delle analisi mirate del rischio. Ritirata il 31 dicembre 2024. 4.0.1 Giugno 2024 Revisione limitata della versione 4.0, contenente correzioni, chiarimenti e aggiornamenti delle linee guida, senza l'introduzione o la rimozione di requisiti. Dal 1º gennaio 2025 è l'unica versione attiva del PCI DSS supportata dal PCI SSC.
I 51 nuovi requisiti della versione 4.x inizialmente indicati come future-dated sono diventati effettivi il 31 marzo 2025.
Il PCI DSS organizza i dodici requisiti principali in sei obiettivi:
Costruire e mantenere reti e sistemi sicuri. Proteggere i dati degli account. Mantenere un programma di gestione delle vulnerabilità. Implementare solide misure di controllo degli accessi. Monitorare e verificare regolarmente reti e sistemi. Mantenere una politica di sicurezza delle informazioni.
La struttura generale dello standard è rimasta organizzata in dodici requisiti, mentre la loro formulazione, i sottorequisiti e i controlli previsti sono stati modificati e ampliati nelle successive versioni del PCI DSS. Ciascun requisito e sotto-requisito è suddiviso in tre sezioni principali:
Requisito PCI DSS: definisce il requisito stesso; l’adesione allo standard PCI DSS viene riconosciuta al momento della sua implementazione. Test: i processi e le metodologie utilizzati dal valutatore per confermare la corretta implementazione del requisito. Linee guida: spiegano lo scopo del requisito e i contenuti correlati, per agevolarne la corretta applicazione.
Nella versione 4.0.1 del PCI DSS, i dodici requisiti sono:
Installare e mantenere controlli di sicurezza della rete. Applicare configurazioni sicure a tutti i componenti del sistema. Proteggere i dati degli account memorizzati. Proteggere i dati dei titolari di carta mediante crittografia robusta durante la trasmissione su reti pubbliche aperte. Proteggere tutti i sistemi e le reti dal software malevolo. Sviluppare e mantenere sistemi e software sicuri. Limitare l'accesso ai componenti del sistema e ai dati dei titolari di carta in base alle necessità aziendali. Identificare gli utenti e autenticare l'accesso ai componenti del sistema. Limitare l'accesso fisico ai dati dei titolari di carta. Registrare e monitorare tutti gli accessi ai componenti del sistema e ai dati dei titolari di carta. Verificare regolarmente la sicurezza di sistemi e reti. Supportare la sicurezza delle informazioni mediante politiche e programmi organizzativi.
Livelli di convalida Le entità soggette agli standard PCI DSS devono essere conformi allo standard; il modo in cui dimostrano e riportano la conformità dipende dal Merchant Level. Esistono quattro livelli, che determinano il tipo di reportistica richiesta a ciascuna azienda. Il livello di un merchant è determinato dal volume annuale delle transazioni.
Un’acquiring bank Ossia l'intermediario tra un commerciante e un cliente durante la transazione digitale. o un circuito di pagamento può, a sua discrezione, assegnare manualmente un’organizzazione a un determinato Merchant Level. I livelli sono:
Il PCI DSS non definisce un sistema universale di livelli di convalida applicabile indistintamente a tutti i commercianti e fornitori di servizi. I programmi di conformità sono gestiti dai singoli circuiti di pagamento e dagli acquirer, che possono stabilire criteri differenti per la classificazione delle entità, le modalità di convalida, la documentazione da presentare e le relative scadenze.
I circuiti di pagamento possono quindi prevedere propri livelli per commercianti e fornitori di servizi, generalmente anche in funzione del volume e della tipologia delle transazioni. Tali livelli riguardano soprattutto il modo in cui la conformità deve essere convalidata e comunicata e non determinano, di per sé, se il PCI DSS sia applicabile a un'entità.
Convalida della conformità La convalida della conformità consiste nella valutazione e conferma che i controlli e le procedure di sicurezza siano stati implementati secondo il PCI DSS. La convalida avviene tramite una valutazione annuale, condotta da un ente esterno oppure mediante autovalutazione.
Rapporto sulla conformità (ROC) Il Report on Compliance (ROC) viene redatto da un Qualified Security Assessor (QSA) certificato dal PCI SSC e ha lo scopo di fornire una convalida indipendente della conformità di un’entità al PCI DSS. Un ROC completo genera due documenti:
ROC Reporting Template, contenente una spiegazione dettagliata dei test eseguiti. Attestation of Compliance (AOC), che documenta la conclusione del ROC e conferma la conformità complessiva.
Questionario di autovalutazione (SAQ)
Il Self-Assessment Questionnaire (SAQ) è uno strumento di convalida sviluppato dal PCI SSC per consentire alle entità che soddisfano i relativi criteri di ammissibilità di effettuare e documentare un'autovalutazione della conformità al PCI DSS.
Esistono diversi tipi di SAQ, destinati a differenti ambienti e modalità di accettazione dei pagamenti. Per poter utilizzare uno specifico questionario, l'entità deve soddisfare tutti i criteri di ammissibilità previsti per quel SAQ.
I SAQ diversi dal SAQ D sono destinati ai commercianti che operano in specifici ambienti di pagamento. Per i fornitori di servizi, l'unico questionario di autovalutazione previsto è il SAQ D for Service Providers.
Al termine dell'autovalutazione viene normalmente compilata anche unAttestation of Compliance'' (AOC), che documenta l'esito della valutazione secondo il modello applicabile.
Valutatori della sicurezza Il PCI Security Standards Council gestisce un programma per certificare aziende e individui in grado di condurre valutazioni della sicurezza.
Qualified Security Assessor (QSA)
Un Qualified Security Assessor (QSA) è un professionista che opera per una società qualificata dal PCI Security Standards Council per svolgere valutazioni di conformità al PCI DSS. La qualifica riguarda sia la società sia i singoli dipendenti incaricati delle valutazioni, che devono soddisfare specifici requisiti di formazione, esperienza e mantenimento della qualifica.
Le QSA Company sono organizzazioni indipendenti autorizzate dal PCI SSC a effettuare valutazioni PCI DSS; i singoli QSA svolgono tali attività nell'ambito della società per la quale risultano qualificati.
Internal Security Assessor (ISA)
Un Internal Security Assessor (ISA''') è un professionista interno a un'organizzazione partecipante al programma ISA del PCI SSC, formato e qualificato per supportare le valutazioni interne della conformità al PCI DSS e le attività di remediation. L'ISA può inoltre fungere da collegamento tra la propria organizzazione e i valutatori esterni, inclusi i QSA.
La qualifica ISA è legata all'organizzazione sponsor e non equivale a quella di un QSA indipendente: il suo scopo principale è rafforzare le capacità interne dell'organizzazione nella gestione e nella valutazione della conformità PCI DSS.
Conformità vs. convalida della conformità Tutte le entità che elaborano, archiviano o trasmettono dati dei titolari di carta e/o dati sensibili di autenticazione devono implementare il PCI DSS. Tuttavia, la convalida formale della conformità non è obbligatoria per tutti.
Visa e Mastercard richiedono la convalida per commercianti e fornitori di servizi; Visa offre inoltre il Technology Innovation Program (TIP), un programma alternativo che permette ai commercianti qualificati di sospendere la valutazione annuale se adottano precauzioni alternative contro le frodi, come EMV o crittografia point-to-point. Banche emittenti: non devono sottoporsi alla convalida, ma devono proteggere i dati sensibili in conformità al PCI DSS. Acquiring bank: devono rispettare lo standard e far convalidare la propria conformità tramite audit.
In caso di violazione dei dati, le entità non conformi al momento della violazione possono essere soggette a sanzioni aggiuntive da parte dei circuiti di pagamento o delle acquiring bank.
Note
Voci correlate Penetration test WLAN Carta di credito
Collegamenti esterni
Categoria:Diritto informatico Categoria:Carte di credito Categoria:Standard Categoria:Sicurezza di rete