الامتثال لمعيار PCI DSS

PCI DSS هو اختصار لمعيار أمان بيانات صناعة بطاقات الدفع. على عكس GDPR، لا يعتبر PCI DSS قانونًا، بل هو دليل إرشادي تم إنشاؤه وصيانته بواسطة كيان مستقل أنشأته العلامات التجارية الرئيسية لبطاقات الدفع. إذا كنت ترغب في قبول بطاقات الائتمان من علامات تجارية مثل VISA وMasterCard، فمن الضروري الامتثال لمعيار الأمان هذا. يمكن تعريف PCI DSS على أنه مجموعة من أفضل الممارسات أو الإرشادات حول كيفية إدارة بيانات بطاقات الدفع الحساسة التي يعهد بها إليك ضيوفك لمنع خرق البيانات و/أو الاحتيال.

هل يجب أن أكون متوافقًا؟

كلما أبرمت اتفاقية مع مزود خدمة الدفع لتشغيل بطاقات الائتمان في الموقع أو عبر الإنترنت، من الضروري إثبات الامتثال. اعتمادًا على مزود الدفع أو البنك المستحوذ، عليك ملء استبيان ذاتي و/أو إجراء تدقيق في الموقع مع مقيم أمني مؤهل (QSA).

ماذا يمكن أن يحدث إذا لم أكن ممتثلًا لـ PCI DSS؟

إذا تم تسريب بيانات بطاقات الدفع الموكلة إليك أو إساءة استخدامها، فستفرض العلامات التجارية للدفع غرامات على البنك المستحوذ. من المحتمل أن تنتقل هذه الغرامات إليك (التاجر) إذا ثبت أنك غير ممتثل. ستكون الغرامات عادةً بين 5,000 يورو و100,000 يورو عن كل شهر تكون فيه غير ممتثل. في ظروف قصوى، قد تفقد حق قبول بطاقات الدفع من العلامات التجارية الكبرى لبطاقات الدفع. بالإضافة إلى ذلك، قد تواجه صعوبات قانونية وسمعة سيئة. من الأفضل رؤية قواعد PCI DSS كمساعد يساعدك في تأمين عملك.

الامتثال لمعيار PCI مع HyperGuest

HyperGuest هي مزود خدمة لعملائنا وتقوم بمعالجة المدفوعات نيابة عنهم. لذلك من الضروري أن نضمن الامتثال لـ PCI DSS. ننسق عمليات تدقيق سنوية في الموقع لإثبات امتثالنا لـ PCI DSS. يقوم مستشارنا المعتمد QSA Adsigo بفحص التنفيذ التقني لتحديد أي تهديدات محتملة لكيفية كشف بيانات حامل البطاقة الحساسة، كما يتحقق من سياساتنا وإجراءاتنا الأمنية. إذا تم التحقق من الموافقة، نتلقى شهادة امتثال (AOC) يمكن للعملاء الحصول عليها. باستخدام شهادة AOC هذه والإقرار بالمسؤولية من العقد الموقع مع HyperGuest، يمكن لأصحاب الفنادق بسهولة تلبية المتطلب 12.8 من PCI DSS بشأن إدارة مزود الخدمة.

مسؤوليات العميل

يتيح لك HyperGuest إدارة أعمالك بما يتوافق مع PCI DSS، ومع ذلك، لا تزال هناك أشياء يجب تنظيمها. يمكن العثور على التفاصيل الكاملة حول المتطلبات الواجب الوفاء بها على الموقع الرسمي لمجلس معايير أمان PCI.

التجارة الإلكترونية والطلب بالبريد / الطلب الهاتفي (MoTo)

إذا كانت البطاقات مقبولة على موقع الويب الخاص بك، وكذلك عبر القنوات الأخرى عبر الإنترنت مثل booking.com، أو إذا كنت تقبل بطاقات الائتمان للطلبات البريدية والهاتفية، فإن متطلبات PCI ستتعلق بتقييد وصول المستخدمين إلى بيانات حامل البطاقة، وتأمين امتثال مزودي الخدمة لديك، والحفاظ على خطة استجابة للحوادث كحد أقصى. يعتمد هذا أيضًا على البنك أو مزود خدمة الدفع الخاص بك.

حضور البطاقة مع محطات بطاقات حديثة تعتمد على IP

إذا كنت تعالج أيضًا بطاقات الدفع في الموقع باستخدام محطة حديثة تعتمد على IP متصلة بمزود خدمة الدفع عبر الإنترنت، فستكون هناك شروط إضافية. معظم البنوك أو مزودي خدمة الدفع لن يطلبوا منك هذا المستوى العالي إلا إذا كنت تعالج حجمًا كبيرًا من معاملات المحطة. حاليًا، Adyen تفعل ذلك فقط إذا كنت تعالج أكثر من 1 مليون معاملة.

إذا كان الأمر كذلك، فمن الضروري فصل شبكة محطات IP بوضوح عن الشبكات الأخرى في فندقك ووضع قواعد جدار حماية تضمن أن المحطات يمكنها فقط التواصل مع مزود خدمة الدفع من خلال اتصالات مشفرة بشكل آمن. جميع الأنظمة المتصلة بشبكة محطات IP ستنتمي إلى ما يسمى ببيئة بيانات البطاقة (CDE). يجب منح الوصول إلى تلك الأنظمة فقط للأشخاص المصرح لهم، مما يستلزم أيضًا سياسات وجهود توثيق أكثر شدة. بالإضافة إلى ذلك، سيتعين عليك إجراء فحص خارجي للثغرات بشكل ربع سنوي.

هذه ترجمة مقدمة للتيسير فقط. النسخة الإنجليزية هي النسخة الملزمة قانونًا الوحيدة. عرض النسخة الإنجليزية