استضافة PCI: ماذا يعني ذلك وعندما تحتاجه

إذا كنت تخطط لقبول المدفوعات عبر الإنترنت ، فربما تصادف المصطلح استضافة PCI.قد يبدو الأمر وكأنه شيء يجب أن يكون عليه كل عمل ، ولكن ما إذا كان ذلك ضروريًا يعتمد على كيفية التعامل مع المدفوعات وبيانات حامل البطاقات.

ستشرح هذه المقالة معنى استضافة PCI ، وتساعدك على معرفة ما إذا كان عملك يحتاج إلى متابعة معايير PCI DSS ، وتوضيح متى تكون استضافة PCI في الواقع طريقًا جيدًا للاتخاذ.إذا كنت غير متأكد من مسؤولياتك حول أمان بيانات الدفع ، فإن هذا الدليل سيوضح الأمور أكثر وضوحًا.

ما هو PCI DSS؟

قبل الحديث عن استضافة PCI ، يساعد على الفهم PCI DSS، المعروف أيضا باسم معيار أمن بيانات صناعة بطاقة الدفع.PCI DSS هي مجموعة من إرشادات الأمان التي تهدف إلى حماية معلومات بطاقة الائتمان أينما تم تخزينها أو معالجتها أو إرسالها.تأتي هذه القواعد من ماركات البطاقات الرئيسية مثل Visa و MasterCard و American Express وتتقدم إلى أي شخص يقبل مدفوعات البطاقات.

الهدف من تحديد هذه المعايير هو تقليل فرص انتهاكات البيانات التي يمكن أن تؤدي إلى الاحتيال.الالتزام بهم يعني وضع تدابير أمان مستمرة في مكانها (مثل تشفير بيانات بطاقة) للحفاظ على سلامة المدفوعات.

ما هو استضافة PCI؟

استضافة PCI هي بيئة استضافة الويب التي تم إعدادها لتلبية قواعد الأمان التي تتطلبها PCI DSS.وهذا يشمل أشياء مثل:

• جدران الحماية وعناصر التحكم في الشبكة للحفاظ على بيانات الدفع وآمنة
  
• تشفير البيانات التي تتحرك عبر خوادمك
  
• ضوابط وصول قوية تقيد من يمكنه الاقتراب من المعلومات الحساسة
  
• أنظمة قطع الأشجار التي تتعقب النشاط لاكتشاف أي شيء غير عادي

ببساطة ، يوفر استضافة PCI أساسًا آمنًا ، تم تصميمه لحماية بيانات حامل البطاقة.

ومع ذلك ، فقط استخدام مضيف صديق PCI لا يعني أنك متوافق تلقائيًا.يمنحك مزود الاستضافة أدوات لبيئة آمنة ، لكن عملك لا يزال يحتاج إلى إدارة البرامج والعمليات والسياسات التي تلبي معايير PCI.

ما يغطيه استضافة PCI - وما لا يفعله

يتعامل مزودو استضافة PCI مع العديد من المتطلبات الفنية ، مثل جدران الحماية ، وضوابط الشبكة ، وقيود الوصول.

لكن، هناك مسؤوليات لا تزال بحاجة إلى إدارة نفسك، مشتمل:

• الحفاظ على البرنامج والإضافات الخاصة بك محدثة: يمكن للتطبيقات أو الامتدادات التي عفا عليها الزمن تقديمها أخطار أمنية حتى على خادم آمن.
  
• إدارة وصول المستخدم: تأكد من أن المستخدمين لديهم فقط الأذونات التي يحتاجون إليها وتمكين المصادقة ثنائية العوامل كلما أمكن ذلك.
  
• سجلات المراقبة والنشاط: مراجعة السجلات بانتظام لاكتشاف السلوك غير المعتاد قبل أن تصبح مشكلة.
  
• تقليل التعرض لبيانات البطاقة: جمع فقط ما تحتاجه واستخدم الرمز المميز عندما يكون ذلك ممكنًا لتقليل المخاطر.
  
• إجراء فحوصات الضعف: تعد عمليات المسح العادية ضرورية للعثور على نقاط الضعف وعمومًا مسؤوليتك ، حتى عند استضافتها على الخوادم المتوافقة مع PCI.

كيف تعرف ما إذا كان عملك يحتاج إلى أن يكون متوافقًا مع PCI

لتحديد ما إذا كانت هناك حاجة إلى استضافة PCI ، فإن الخطوة الأولى هي معرفة ما إذا كان عملك يحتاج فعليًا إلى تلبية متطلبات PCI DSS.يبدأ ذلك بفهم شيء يسمى نطاق PCI.

يشير نطاق PCI إلى عملية تقييم أجزاء بيئة عملك التي ستتلامس مع بطاقة ائتمان.

وهذا يشمل:

• الخوادم
  
• التطبيقات
  
• الشبكات
  
• محطات العمل
  
• الموظفين الذين يحصلون على هذه الأنظمة

إذا كان أي جزء من الإعداد يمس بيانات الدفع ، حتى باختصار ، فهو في نطاق PCI ويجب أن يتبع قواعد PCI DSS.

إليك طريقة سريعة للتفكير في الأمر:

• إذا تمر بيانات بطاقة الائتمان عبر الخادم الخاص بك في أي وقت، كما هو الحال أثناء معالجة الدفع ، تكون أنظمتك في نطاقها.
• إذا ، بدلاً من ذلك ، الخاص بك تحدث معالجة الدفع بالكامل خارج بيئتك (على سبيل المثال ، من خلال بوابة دفع تابعة لجهة خارجية) ، ولا ترى خوادمك أبدًا أو تخزين بيانات البطاقة ، فمن المحتمل أن تكون خارج نطاقها.في هذه الحالة ، قد لا تكون استضافة PCI ضرورية.

عندما لا تكون استضافة PCI غير مطلوبة على الأرجح

تبقي العديد من الشركات بيئة الاستضافة الخاصة بها خارج نطاق PCI من خلال الاعتماد على حلول الدفع الخارجية التي تتعامل مع المعلومات الحساسة.تشمل الأمثلة النموذجية:

• صفحات الخروج المستضافة: خدمات مثل الخروج من الشريط أو PayPal أو Square Square Squurice Squurice بشكل آمن على خوادمها الخاصة.موقع الويب الخاص بك يرسل العملاء إلى هناك ، لذلك لا تتعامل خوادمك مع بيانات البطاقة.
  
• نماذج الدفع المدمجة مع الرمز المميز: تقدم معالجات الدفع نماذج مضمنة (مثل عناصر الشريط أو الحقول المستضافة Braintree) ترسل بيانات البطاقة مباشرة من متصفح المستخدم إلى مزود الدفع.يحصل نظامك على رمز فقط ، وهو مرجع لا يمكن استخدامه لسرقة البيانات.
  
• لا يوجد تخزين بيانات بطاقة: إذا لم تقم بتخزين أرقام بطاقات الائتمان الكاملة ولكن تستخدم خدمات الفواتير المميزة أو الخدمات المميزة ، فإن مسؤولية التخزين تقع مع مزود متوافق ، مما يجعل أنظمتك أبسط.

عندما يكون هذا هو كيف يعمل تدفق الدفع الخاص بك ، فإن بيئة الاستضافة الخاصة بك عادة لا تكون في نطاق ، وقد لا تكون هناك حاجة إلى استضافة PCI.

عندما يلزم استضافة PCI

تصبح استضافة PCI ضرورية عندما تتفاعل البنية التحتية الخاصة بك مباشرة مع بيانات حامل البطاقة.فيما يلي علامات على أن استضافة PCI تنطبق عليك:

• تستضيف نماذج الدفع الخاصة بك: إذا أدخل العملاء معلومات بطاقة الائتمان إلى نماذج مستضافة على موقع الويب الخاص بك ، فإن البيانات تمر عبر خوادمك ، وتضعها في نطاقها.
  
• تقوم بتخزين أرقام البطاقات الكاملة: سواء بالنسبة للاشتراكات أو الفواتير المتكررة أو المدفوعات المتكررة ، فإن تخزين بيانات البطاقة الكاملة على خوادمك يعني متطلبات أمان أعلى.
  
• تقوم بتشغيل أنظمة الدفع المخصصة: إذا قمت ببناء حل الخروج الخاص بك أو بوابة أو حل نقاط البيع ، فإن بيئة الاستضافة الخاصة بك جزء من تدفق الدفع ويجب أن تفي بمعايير PCI.
  
• أنت خاضع لمراجعة PCI الرسمية: الشركات التي تعالج كميات كبيرة من المعاملات قد تخضع لعمليات تدقيق تتضمن مراجعة بيئة الاستضافة الخاصة بك.

في هذه الحالات ، اختيار مزود استضافة من المهم معرفة متطلبات PCI وتقديم ميزات جاهزة للامتثال.

متطلبات 12 PCI DSS باختصار

بعد تأكيدك في نطاق PCI ، فإن الخطوة التالية هي فهم ما يتطلبه الامتثال بالفعل.هذا هو المكان الذي تأتي فيه متطلبات 12 PCI DSS. هذه هي المعايير الأساسية التي يحتاج كل عمل في النطاق إلى اتباعها لحماية بيانات حامل البطاقة بشكل صحيح:

1. استخدم جدران الحماية لحماية البيانات - تعمل جدران الحماية كنقاط تفتيش ، وتصفية حركة الشبكة لمنع الوصول غير المصرح به.
   
2. تغيير كلمات المرور والإعدادات الافتراضية - بيانات الاعتماد الافتراضية معروفة على نطاق واسع وضعيفة ، لذلك استخدم كلمات مرور قوية وفريدة من نوعها.
   
3. حماية بيانات البطاقة المخزنة - تشفير والحد من تخزين بيانات حامل البطاقة.كلما قلت الاحتفاظ بها ، كلما أصغر مخاطرك.
   
4. تشفير البيانات في العبور - يستخدم تشفير مثل TLS عندما تتحرك بيانات البطاقة عبر الشبكات العامة أو غير الموثوقة.
   
5. استخدم مكافحة الفيروسات والبرامج المضادة - الحفاظ على هذه الأدوات محدثة للقبض على البرامج الضارة وإيقافها.
   
6. الحفاظ على الأنظمة والتطبيقات آمنة - تصحيح البرامج بانتظام وإصلاح نقاط الضعف بسرعة.
   
7. تقييد الوصول إلى بيانات حامل البطاقة - فقط تتيح الوصول إلى الأشخاص الذين يحتاجون إليها لأداء وظيفتهم.
   
8. تعيين معرفات فريدة للمستخدمين - تسهل تسجيلات تسجيلات الفرد الفردية على تتبع نشاط المستخدم.
   
9. السيطرة على الوصول المادي - الحد من من يمكنه الوصول جسديًا إلى الأجهزة أو المستندات التي تخزن بيانات حامل البطاقة.
   
10. سجل ومراقبة الوصول - الحفاظ على سجلات مفصلة للكشف عن النشاط المشبوه والمساعدة في عمليات التدقيق.
    
11. اختبار أنظمة الأمان بانتظام - تشغيل الفحص الضعف واختبارات الاختراق للعثور على نقاط الضعف وإصلاحها.
    
12. الحفاظ على سياسة أمنية - قم بتوثيق إجراءات الأمان الخاصة بك وتأكد من أن جميع المعنيين يفهمون أدوارهم.

الحفاظ على امتثال PCI بمرور الوقت

تلبية معايير PCI DSS مرة واحدة لا يكفي.الامتثال هو جهد مستمر يتطلب اهتمامًا منتظمًا للحفاظ على بيانات حامل البطاقة مع تطور عملك والتكنولوجيا.

فيما يلي بعض الممارسات الرئيسية لمساعدتك على البقاء متوافقة على المدى الطويل:

1. مراجعة نطاق PCI بانتظام

يمكن أن تتغير بيئتك أثناء إضافة أنظمة أو تكامل أو خدمات جديدة.أعد تقييم أي أجزاء من بيانات بطاقة المعالجة الخاصة بك للتأكد من تغطية جميع المجالات اللازمة.

2. الحفاظ على التحديث البرمجيات والأنظمة

يتم إصدار تصحيحات الأمان والتحديثات لإصلاح نقاط الضعف.اجعل تحديث جزء روتيني من عملياتك-وليس مهمة لمرة واحدة.

3. إجراء مراقبة وتسجيل مستمرة

المراقبة المستمرة تساعد على التقاط النشاط المشبوه في وقت مبكر.تأكد من مراجعة سجلاتك بانتظام وتخزينها بشكل آمن.

4.

قم بتشغيل هذه الاختبارات على الأقل كل ربع سنوي أو بعد التغييرات الرئيسية.يكشفون عن نقاط ضعف قبل أن يجدهم المهاجمون.

5. تدريب فريقك على أفضل الممارسات الأمنية

الموظفون هم خط دفاع رئيسي.يساعدهم التدريب المنتظم على فهم دورهم في حماية بيانات حامل البطاقة والتعرف على التهديدات.

6. قم بتحديث سياسات وإجراءات الأمان الخاصة بك

مع تطور التهديدات وينمو عملك ، حافظ على توثيقك الحالي.هذا يبقي فريقك محاذاة وإعداد لعمليات التدقيق.

7. العمل مع مقيمي الأمن المؤهلين عند الحاجة

إذا كان عملك يخضع لعمليات تدقيق PCI الرسمية ، فيمكن أن تساعدك الشراكة مع QSA على البقاء على المسار الصحيح وجعل العملية أكثر سلاسة.

من خلال التعامل مع امتثال PCI كأولوية مستمرة ، فإنك تقلل من المخاطر والحفاظ على سلامة عملائك.الحفاظ على استباقي اليوم يوفر قضايا مكلفة غدًا.

تغليف

ليس كل عمل يحتاج إلى استضافة PCI.إذا لم تلمس بيانات حامل البطاقة الخوادم الخاصة بك أبدًا لأنك تستخدم عمليات تسجيل الدخول المستضافة أو النماذج المميزة أو القفز ، فمن المحتمل أن تكون بيئة الاستضافة الخاصة بك خارج نطاق PCI.

إذا كانت أنظمتك تتعامل مع تخزين أو معالجة أو نقل بيانات البطاقات ، فإن الاستثمار في استضافة PCI جاهزة هو خطوة ذكية نحو تلبية الامتثال وحماية عملائك.

قبل اتخاذ القرارات المتعلقة بالاستضافة أو الأمان ، مراجعة تدفق الدفع بالكامل بعناية.يمكن أن يوفر لك فهم بيئتك في نطاق PCI الوقت والمال والصداع على الطريق.