PCI-DSS

(Payment Card Industry Data Security Standard)
Tutti gli esercenti che accettano transazioni con carta di credito dovrebbero uniformarsi agli standard PCI-DSS.

In particolare gli agenti di viaggio accreditati IATA che per continuare ad emettere biglietteria con carta di credito, hanno l’obbligo di essere conformi allo standard PCI-DSS come previsto dalla Risoluzione 818G.

Per supportare i nostri clienti, abbiamo definito un accordo di partnership con una azienda certificata come Qualified Security Assessor (QSA) dal PCI Security Standards Concil.

Tramite questo accordo siamo in grado di offrire supporto sia per coloro che scelgono la strada dell’autocertificazione che per coloro che vogliano l’ausilio di un QSA.

Per diventare conformi è necessario identificare l’ambito CDE (Card Data Enviroment), come archiviare, elaborare o trasmettere i dati del titolare di carta di credito CHD (Card Holder Data), identificare i flussi di dati delle carte, le aree di stoccaggio, i sistemi IT, fare l’inventario delle risorse IT e dei processi aziendali per l’elaborazione delle carte di pagamento e analizzare le eventuali vulnerabilità a cui sono soggetti i dati.

Cos’è PCI-DSS?
Si tratta di un insieme di norme tecniche e procedure che vanno a comporre un protocollo che ha lo scopo di proteggere i dati relativi alle carte di credito utilizzate per i pagamenti, e ad evitarne il furto e l’utilizzo illecito. Questo protocollo è rivolto a chiunque processi, trasmetta o conservi i dati relativi ai pagamenti con carta di credito. Le norme del PCI-DSS vengono governate dal Payment Card Industry Security Standard Council.

Cosa è necessario fare?
La certificazione può avvenire secondo due modalità:

– Attraverso autocertificazione compilando un SAQ (Self Assessment Questionnaire) e un AOC (Attestation of Compliance)

–  Rivolgendosi ad una azienda QSA (Qualified Security Assessor) che rilascia la certificazione. L’elenco ufficiale dei QSA è reperibile sul sito https://www.pcisecuritystandards.org

E’ assolutamente necessario intraprendere una delle due strade volte alla certificazione.

Per comprendere quale sia il livello dei propri sistemi in tema di PCI-DSS è opportuno rivolgersi ad un fornitore di tecnologia che conosca l’argomento e che sappia cosa verificare e in che maniera farlo. L’attività di certificazione potrebbe essere molto laboriosa ma è assolutamente imprescindibile.