De 12 PCI DSS compliance eisen uitgelegd

PCI-compliance betekent dat je voldoet aan de Payment Card Industry Data Security Standard (PCI DSS), het beveiligingskader dat bepaalt hoe bedrijven creditcardgegevens verwerken, opslaan en versturen om datalekken en fraude te voorkomen. Datalekken in de e-commerce nemen gestaag toe: driekwart van de bedrijven meldt sinds 2020 een netto stijging van het aantal aanvallen. Volgens IBM's Cost of Data Breach Report 2023 bedroegen de gemiddelde kosten van een datalek in alle sectoren 4,45 miljoen dollar in 2023.

Het beschermen van kaarthoudergegevens is een topprioriteit voor online bedrijven die betalingstransacties verwerken. De eerste stap is voldoen aan de PCI-compliancevereisten, die naleving van strenge beveiligingsnormen waarborgen.

Wat is PCI-compliance?

PCI-compliance betekent dat je voldoet aan de beveiligingsnormen die zijn vastgelegd in de Payment Card Industry Data Security Standard (PCI DSS). Deze normen zorgen ervoor dat bedrijven die creditcardgegevens verwerken, opslaan of versturen de nodige stappen nemen om kaarthoudergegevens te beschermen en datalekken, fraude en ongeautoriseerde toegang te voorkomen. Kaarthoudergegevens verwijzen naar betaalgegevens voor debetkaarten, creditcards en prepaidkaarten, plus alle bijbehorende persoonlijke informatie, zoals namen en adressen.

De specifieke PCI-compliancevereisten hangen af van de omvang van je bedrijf en het aantal creditcardtransacties dat je per jaar verwerkt. De PCI-complianceniveaus bepalen de specifieke vereisten en validatieprocedures. Deze vier niveaus van PCI-compliance zijn opgesteld door de kernleden van de PCI DSS, en andere kaartmerken kunnen variaties op deze categorieën hanteren.

Er zijn vier niveaus:

PCI-complianceniveau 1

Het hoogste complianceniveau, vereist voor bedrijven die meer dan zes miljoen transacties per jaar verwerken en betaaldienstverleners die meer dan 300.000 transacties per jaar verwerken.

PCI-complianceniveau 2

Vereist voor bedrijven die tussen de één en zes miljoen transacties per jaar verwerken en betaaldienstverleners die minder dan 300.000 transacties per jaar verwerken.

PCI-complianceniveau 3

Vereist voor bedrijven die 20.000 tot één miljoen transacties per jaar verwerken.

PCI-complianceniveau 4

Vereist voor bedrijven die tot 20.000 transacties per jaar verwerken.

Hoewel PCI-compliance niet op nationaal niveau wordt afgedwongen, heeft niet-naleving juridische gevolgen. In sommige regio's is PCI-compliance wettelijk verplicht. Creditcardmaatschappijen en tal van banken nemen PCI-compliancevereisten op in hun algemene voorwaarden. Niet-naleving kan leiden tot strenge sancties, boetes en juridische gevolgen.

Wat is PCI DSS?

PCI DSS staat voor Payment Card Industry Data Security Standard. Dit zijn de vereisten waaraan je moet voldoen om PCI-compliant te blijven. PCI DSS is ontwikkeld door de Payment Card Industry Security Standards Council (PCI SSC), die in 2006 als onafhankelijke organisatie werd opgericht door Visa, Mastercard, American Express, Discover en JCB.

De PCI SSC heeft de PCI DSS ontwikkeld om bestaande beveiligingscontroles in de branche te verbeteren en te standaardiseren. Het doel is ervoor te zorgen dat e-commercebedrijven voldoen aan de technische, operationele en beveiligingsvereisten die nodig zijn om kaarthoudergegevens veilig te houden.

E-commerceplatforms zoals Shopify zijn standaard volledig PCI-compliant, waardoor alle bedrijven doorlopend aan de vereisten blijven voldoen. Afzonderlijke modules binnen het platform, zoals Shopify Payments, voldoen eveneens aan alle PCI-compliancevereisten, ongeacht het aantal transacties dat je verwerkt.

12 vereisten van PCI DSS-compliance

1. Installeer en onderhoud een veilig netwerk
2. Pas veilige configuraties toe op alle systeemonderdelen
3. Bescherm opgeslagen accountgegevens
4. Bescherm kaarthoudergegevens tijdens verzending via openbare netwerken
5. Bescherm systemen en netwerken tegen schadelijke software
6. Ontwikkel en onderhoud veilige systemen en software
7. Beperk de toegang tot systeemonderdelen en kaarthoudergegevens op basis van noodzaak
8. Identificeer gebruikers en verifieer hun toegang
9. Beperk de fysieke toegang tot kaarthoudergegevens
10. Monitor en registreer de toegang tot systemen en kaarthoudergegevens
11. Test netwerken en beveiligingssystemen regelmatig
12. Onderhoud en ondersteun informatiebeveiliging met beleid en programma's

PCI DSS-vereisten zijn operationele, technische en procedurele instructies die helpen kaarthoudergegevens te beschermen tegen kwaadwillenden. Hier volgen zes doelstellingen voor PCI DSS-compliance:

1. Installeer en onderhoud een veilig netwerk

Implementeer netwerkbeveiligingsmaatregelen en -tools zoals firewallconfiguraties en antivirussoftware. Valideer en laat alleen vertrouwd verkeer toe tot je kaarthoudergegevensomgeving, en creëer een beveiligde systeemzone voor de opslag van kaartgegevens. Test beveiligingssystemen regelmatig om ervoor te zorgen dat ze compliant blijven.

2. Pas veilige configuraties toe op alle systeemonderdelen

Hackers proberen vaak systemen binnen te dringen door standaardwachtwoordinstellingen te gebruiken om toegang te krijgen tot gevoelige informatie. Zorg ervoor dat systeemwachtwoorden en andere beveiligingsparameters uniek zijn en niet op de standaardwaarde van de leverancier staan.

Zorg ervoor dat je team sterke wachtwoorden gebruikt om toegang te krijgen tot software die klantbetaalgegevens verwerkt. Pas veilige configuraties toe zoals wachtwoordprotocollen, tweefactorauthenticatie (2FA), beperkt delen en toegangsbeperkingen.

3. Bescherm opgeslagen accountgegevens

Zorg ervoor dat kaarthouder- en accountgegevens in een beschermde omgeving worden opgeslagen. Verhoog de gegevensbeveiliging door beleid en processen te implementeren die het risico minimaliseren.

Deze omvatten:

Point-to-point-encryptie (P2PE): P2PE is een veilige methode voor gegevensoverdracht die gevoelige informatie beschermt tijdens het traject van het ene punt naar het andere. Afkappen: Afkappen beschermt kaarthoudergegevens door een deel van de gevoelige informatie te verwijderen of te maskeren, waardoor deze onleesbaar wordt en het risico op ongeautoriseerde toegang of fraude afneemt. Denk aan het opslaan van delen van een wachtwoord of creditcardnummer. Maskeren: Het zodanig wijzigen en opslaan van gevoelige gegevens dat ze onbruikbaar of nauwelijks waardevol zijn voor potentiële hackers. Bijvoorbeeld door slechts een deel van het creditcardnummer van een klant op een bon te vermelden. Hashing: Door gevoelige informatie, zoals creditcardnummers, om te zetten in een alfanumerieke reeks met vaste lengte die niet omkeerbaar is, wordt het voor aanvallers lastig om de oorspronkelijke gegevens te reconstrueren.

4. Bescherm kaarthoudergegevens tijdens verzending via openbare netwerken

Zorg ervoor dat kaarthouder- en accountgegevens worden versleuteld wanneer ze via open, openbare netwerken worden verstuurd.

5. Bescherm systemen en netwerken tegen schadelijke software

Zet processen op voor het identificeren, classificeren, verhelpen en beperken van systeemkwetsbaarheden met een combinatie van personeelstraining, gegevensbeveiligingsprocessen en monitoringtools. Dit houdt in dat je alle systemen beschermt tegen malware en antivirussoftware regelmatig bijwerkt.

6. Ontwikkel en onderhoud veilige systemen en software

Voorkom hacks met behulp van beveiligingspatches van leveranciers, het monitoren van je softwarelevenscyclus (SLC) en het implementeren van veilige codeertechnieken.

Je kunt helpen de gegevensbeveiliging te waarborgen door een gespecialiseerd team op te zetten dat toezicht houdt op de audit van het netwerk en de gegevensbeheerpraktijken van je winkel. Dit team voert regelmatig audits uit om mogelijke kwetsbaarheden op te sporen en beveiligingsverbeteringen door te voeren.

7. Beperk de toegang tot systeemonderdelen en kaarthoudergegevens op basis van noodzaak

Zorg ervoor dat kritieke gegevens alleen toegankelijk zijn voor geautoriseerde systemen en personen die ze echt nodig hebben en gebruiken.

8. Identificeer gebruikers en verifieer hun toegang

Gebruik inlog-ID's om degenen met toegang tot het netwerk te verifiëren. Stel voor elke ID machtigingen in die de toegang beperken, creëer gebruikersrechten en houd bij wie wat doet met opgeslagen kaarthoudergegevens.

Een bedrijf kan bijvoorbeeld alleen een kerngroep medewerkers van het gegevensbeveiligingsteam toegang geven tot onversleutelde creditcardgegevens. Alle andere medewerkers krijgen geen toegang tot persoonlijke informatie of zien alleen afgekapte versies van de gegevens, om te helpen bij klantvragen en orderverwerking.

9. Beperk de fysieke toegang tot kaarthoudergegevens

Gebruik beveiligingssystemen om apparaten met gevoelige gegevens veilig op te bergen en beperk de fysieke toegang tot de ruimtes in de winkel waar deze apparaten worden bewaard. Plaats bewakingscamera's om ruimtes te monitoren die kwetsbaar kunnen zijn voor een fysieke inbraak.

10. Monitor en registreer de toegang tot systemen en kaarthoudergegevens

Houd netwerktoegangspunten, activiteit, tijdstempels en wijzigingslogs bij, registraties van wat er in het systeem wordt gewijzigd of bijgewerkt, om het gebruik van klantgegevens te controleren.

Dit is nuttig bij een datalek. Wanneer zich zo'n lek voordoet, achterhalen netwerkbeveiligingsteams het pad waarlangs de kwaadwillende het systeem is binnengekomen. Geregistreerde toegangspunten, activiteiten, tijdstempels en wijzigingslogs vormen het broodkruimelspoor dat deze teams helpt vaststellen hoe de hacker toegang kreeg tot het systeem en wat hij eenmaal binnen deed.

11. Test netwerken en beveiligingssystemen regelmatig

Voer stresstests uit op je netwerkbeveiliging. Simuleer bijvoorbeeld pieken in het verkeer naar je webshop of boots aanvallen op het netwerk na. Zo kun je zwakke punten, verouderde software of applicaties en andere kwetsbaarheden opsporen.

12. Onderhoud en ondersteun informatiebeveiliging met beleid en programma's

Stel een specifiek informatiebeveiligingsbeleid op voor alle medewerkers waarin het volgende wordt beschreven:

Technologische vereisten voor netwerkbeveiliging, waaronder firewalls, antivirussoftware en wachtwoordbeveiliging Best practices voor netwerkgebruik, gegevensgebruik en gegevensopslag Belangrijke rollen en verantwoordelijkheden binnen de organisatie, waaronder leiders op het gebied van gegevensbeveiliging Vereisten voor alle medewerkers, waaronder richtlijnen voor gegevensclassificatie, het gebruik van sterke wachtwoorden, het volgen van procedures voor gegevensverwerking en het volgen van regelmatige beveiligingstrainingen Processen voor het identificeren en melden van mogelijke kwetsbaarheden in de gegevensbeveiliging, waaronder phishing en onjuiste gegevensoverdrachten.

Dit biedt een basis van technische en operationele vereisten die zijn ontworpen om kaarthoudergegevens te beschermen en wereldwijd consistente gegevensbeveiligingsmaatregelen te waarborgen.

Gevolgen van niet-naleving

PCI-compliance is verplicht voor bedrijven die kaarthoudergegevens verzamelen en verwerken via grote creditcardaanbieders zoals Visa, Mastercard, American Express, Discover en JCB, of die transacties uitvoeren via banken die compliance afdwingen. Elk van hen neemt eigen bepalingen over PCI-compliance op in de serviceovereenkomst, waarin staat wat bedrijven moeten doen om compliant te blijven en wat de gevolgen zijn van niet-naleving.

Als je de PCI-gegevensbeveiligingsnorm niet naleeft terwijl je transacties uitvoert via deze bedrijven, loop je het risico op boetes die worden opgelegd door banken of creditcardmaatschappijen. Deze variëren van honderden euro's per maand voor kleine bedrijven tot honderdduizenden euro's per maand voor grotere ondernemingen.

Boetes als gevolg van PCI-niet-naleving kunnen complex zijn. Bij een datalek in een webshop kan het creditcardmerk de verwerkende bank onderzoeken om het niveau van PCI-compliance voor het betrokken bedrijf te beoordelen. Als er niet-naleving aan de kant van de bank of het bedrijf wordt vastgesteld, kunnen aan de bank boetes worden opgelegd. De bank kan deze boetes doorberekenen aan het in gebreke blijvende bedrijf, dat te maken kan krijgen met hogere transactiekosten of beëindiging van de transactieovereenkomst. Boetes kunnen ook worden opgelegd door de acquiring bank, maar niet rechtstreeks door de kaartmerken.

Geldelijke sancties zijn niet het enige risico van niet-naleving van PCI DSS. Bedrijven die opgeslagen kaarthoudergegevens niet beschermen, stellen zichzelf, en hun klanten, bloot aan mogelijke datalekken en hacks. Een datalek kan verreikende gevolgen hebben, waaronder identiteitsdiefstal, reputatieschade, verlies van klanten en mogelijke rechtszaken, verzekeringsclaims en overheidsboetes.

Volgens IBM's Cost of Data Breach Report 2023 bedroegen de gemiddelde kosten van een datalek in alle sectoren 4,45 miljoen dollar in 2023. Deze kosten omvatten:

• Tijd die wordt besteed aan het identificeren, verhelpen en herstellen van de gevolgen van het datalek
• Financiële verliezen voor het bedrijf door systeemuitval en klantverloop
• Langdurig verlies van reputatie en vertrouwen bij klanten

Hoe word je PCI-compliant

1. Bepaal je PCI-complianceniveau
2. Breng de stroom van kaarthoudergegevens in kaart
3. Vul de zelfbeoordelingsvragenlijst (SAQ) in
4. Vul de nalevingsverklaring (AOC) in
5. Scan het netwerk dat je gebruikt om betalingen te verwerken
6. Dien alle documenten in bij de belangrijkste belanghebbenden
7. Onderga regelmatige beoordelingen en validaties

Je hebt twee opties om PCI-compliant te worden: een e-commerceplatform gebruiken dat de compliance voor je regelt (zoals Shopify), of het proces zelf beheren.

Voor bedrijven die PCI-compliance zelf willen beheren, gelden zeven vereisten:

1. Bepaal je PCI-complianceniveau

Zoek uit hoeveel creditcardtransacties je jaarlijks verwerkt om te bepalen aan welk PCI-complianceniveau je moet voldoen. De compliance van Shopify dekt alle vier PCI-complianceniveaus en geldt voor elke winkel die het platform gebruikt.

2. Breng de stroom van kaarthoudergegevens in kaart

Maak een overzicht van alle applicaties, systemen en mensen die werken met opgeslagen creditcardgegevens, zodat je een compleet beeld krijgt van waar informatie wordt verzameld, hoe deze wordt gebruikt en waar mogelijke kwetsbaarheden liggen.

3. Vul de zelfbeoordelingsvragenlijst (SAQ) in

De zelfbeoordelingsvragenlijst (SAQ) is een zelfbeoordelingsformulier voor de veilige verwerking van betaalkaarten om je PCI-compliance te valideren. De SAQ is vooral bedoeld voor kleinere bedrijven en stelt je in staat om je naleving van de PCI DSS-vereisten voor jouw niveau te verifiëren. Kom je tekort, dan kun je stappen nemen om compliant te worden, zoals investeringen in beveiliging, upgrades of onderhoud.

4. Vul de nalevingsverklaring (AOC) in

De nalevingsverklaring (AOC) is een formulier dat je invult en indient bij de PCI SSC om te verklaren dat je bedrijf voldoet aan de vereisten van jouw niveau. Dit formulier bevestigt en valideert dat je elke compliancestap hebt doorlopen.

5. Scan het netwerk dat je gebruikt om betalingen te verwerken

Een grondige scan van je netwerk is vereist om de beveiliging en compliance te valideren. Dit proces omvat interne netwerkscans (die de gegevensbeveiliging binnen het netwerk controleren) en externe netwerkscans (die het netwerk stresstesten tegen gesimuleerde externe bedreigingen en aanvallen).

Deze scans zijn bedoeld om mogelijke kwetsbaarheden op te sporen en aan te pakken. Sommige complianceniveaus vereisen dat deze scans worden uitgevoerd door een extern bedrijf dat is aangewezen als Approved Scanning Vendor (ASV). Deze kunnen elk kwartaal verplicht zijn en kunnen een paar honderd euro per jaar kosten.

6. Dien alle documenten in bij de belangrijkste belanghebbenden

Naast de PCI SSC moet je mogelijk documenten indienen bij je partnerbanken, creditcardmaatschappijen en elke andere leverancier met contractuele PCI-vereisten. Elke bank en creditcardmaatschappij heeft eigen vereisten op basis van de algemene voorwaarden. Raadpleeg je serviceovereenkomst voor meer informatie over welke informatie vereist is en wanneer.

7. Onderga regelmatige beoordelingen en validaties

PCI-compliance vereist jaarlijkse beoordelingen en validaties, intern of via externe auditors. De specifieke vereisten en wie verantwoordelijk is voor de netwerkaudits hangen af van je PCI-complianceniveau.

Niveau 1-verkopers die meer dan zes miljoen transacties per jaar verwerken, zijn verplicht om jaarlijks een beoordeling ter plaatse te laten uitvoeren door een Qualified Security Assessor. Dit kan tussen de 10.000 en 50.000 dollar per jaar kosten, exclusief de kosten van vereiste beveiligingsupgrades of onderhoud.

Begin met fysiek verkopen met Shopify POS

Shopify POS is de eenvoudigste manier om fysiek te gaan verkopen. Neem je merk mee op pad en accepteer betalingen, beheer voorraad en uitbetalingen en verkoop overal waar je klanten zijn, zoals boerenmarkten, pop-upevenementen en meetups, ambachtsmarkten en alles daartussenin.