Бүгдэд ашигтай аюулгүй байдлын стандартууд.
Виза карт эзэмшигчийн мэдээлэл хадгалдаг, дамжуулдаг, боловсруулдаг байгууллага бүр, санхүүгийн байгууллагууд, КҮБ болон үйлчилгээний байгууллагууд Төлбөрийн Картын Салбарын Мэдээллийн Аюулгүй Байдлын Стандартыг хангах шаардлагатай. Визагийн зүгээс PCI DSS хангасан эсэхийг шалгахдаа тогтмол хугацаанд стандартыг хангасан болохоо нотолдог байх шаардлага тавьдаг.
КҮБ-д тавигдах шаардлагын талаар дэлгэрэнгүй
Үйлчилгээний байгууллагад тавигдах шаардлагын талаар дэлгэрэнгүй
Энэ нь Виза карт эзэмшигчийн мэдээллийг хамгаалах зорилго бүхий хөтөлбөр бөгөөд үүний тулд харилцагчид, КҮБ, үйлчилгээ үзүүлэгч мэдээллийн аюулгүй байдлыг дээд зэргээр сахисан байхыг хангах байдлаар хэрэгжинэ.
Төлбөр, гүйлгээний аюулгүй байдлын стандарт (PCI) Аюулгүй байдлын стандартын зөвлөл нь PCI МАБС болон дагалдах бичиг баримтыг эзэмшиж, шинэчилж, хяналт тавих хэдий ч Виза компани мэдээллийн аюулгүй байдлын шаардлага хангасан эсэхэд болон баталгаажуулалтын санаачлагад хяналт тавина.
Карт гаргагч болон карт хүлээн авагч байгууллагууд нь өөрсдийн үйлчилгээний байгууллагууд болон КҮБ, КҮБ-ын харилцагч үйлчилгээний байгууллагууд PCI DSS-ыг хангаж байгаа эсэхэд хяналт тавих үүрэгтэй.
КҮБ стандарт шаардлага хангасан тухай батламж нь гүйлгээний хэмжээ, гарч болзошгүй эрсдэл, төлбөрийн системд нэвтрэхтэй холбоотой тэргүүлэх асуудалд тооцогдсон.
КҮБ-ын түвшнүүдийн талаар олж мэдэх
Карт гаргагч болон карт хүлээн авагч байгууллагууд нь өөрсдийн 1 болон 2-р түвшний үйлчилгээ үзүүлэгчид PCI DSS шаардлага хангасан тухай гуравдагч талын төлөөлөгчийг бүртгүүлэх үед болон түүнээс хойш 12 сар тутамд нотлох үүрэгтэй.
Карт хүлээн авагч өөрийн КҮБ-уудаас зохих түвшний батламж, тавигдсан шаардлагыг хангасан болохыг нотлох баримт бичгийг гаргуулан авах ёстой. КҮБ банк болон КҮБ нь адилхан нотолгоо шаардаж болзошгүй бусад төрлийн төлбөрийн картынхаа тайлангийн шаардлагыг баталгаажуулах нь зүйтэй.
Визатай шууд холбогдоогүй 1-р түвшний үйлчилгээ үзүүлэгчид ажлын байран дахь төлбөр, гүйлгээний аюулгүй байдлын стандарт (PCI) мэдээллийн аюулгүй байдлын хяналт үнэлгээг гүйцэтгэж, үйлчилгээ үзүүлэгч болон хяналт үнэлгээ хийсэн мэргэжилтний гарын үсэгтэй шаардлага хангасан тухай гэрчилгээг Визад жил бүр хүргүүлэх шаардлагатай. 2-р түвшний үйлчилгээ үзүүлэгч байгууллагууд Өөрт үнэлгээ өгөх асуулга эсвэл хяналт үнэлгээний мэргэжилтний гарын үсэг бүхий шаардлага хангасан тухай гэрчилгээг Визад хүргүүлэх үүрэгтэй. PCI DSS шаардлага хангасан тухай батламж нь тухайн үйлчилгээ үзүүлэгч Виза олон улсын үйлчилгээ үзүүлэгчийн бүртгэлийн жагсаалд орох үндэслэл болно.
Виза үндсэн зарчмууд (VCR) нь үйлчлүүлэгч санхүүгийн байгууллагуудын үйл ажиллагааг зохицуулдаг ба энэ нь картаар үйлчлүүлэгч байгууллагууд, үйлчилгээ үзүүлэгчдэд Виза төлбөрийн системийн оролцогчид болохынх нь хувьд хамаатай.
Карт гаргагч болон карт хүлээн авагч байгууллагууд нь өөрсдийн үйлчилгээний байгууллагууд болон КҮБ, КҮБ-ын ашигладаг үйлчилгээний байгууллагууд PCI МАБС-ыг хангаж байгаа эсэхэд хяналт тавих үүрэгтэй. Картаар үйлчлүүлэгч байгууллагын хувьд та шаардлагыг бүхий л хугацаанд дагаж мөрдөх ёстой. (VCR section ID #0002228 and #0008031).
Картаар үйлчлүүлэгч байгууллага PCI МАБС-ыг дагаж мөрдөөгүй эсвэл аюулгүй байдлын асуудлыг анхаарахгүй бол Виза нь карт хүлээн авагч банк шаардлага хангаагүй эсэх тухай дүгнэлт хийнэ. Карт гаргагч болон карт хүлээн авагч байгууллагууд нь хяналт үнэлгээтэй холбоотой бүх зардлыг гаргах бөгөөд хяналт үнэлгээ хийхийг Визагийн зүгээс шаардсан гэсэн ойлголтыг үйлчилгээний байгууллагууд болон КҮБ-д төрүүлэх ёсгүй. (VCR section ID #0001054)
Карт хүлээн авагч нь Визагийн эрсдлийн төвтэй [email protected] хаягаар холбогдож илүү мэдээлэл авч болно.
Виза бүхий л бүс нутагт ПИН аюулгүй байдлын шаардлагыг хөнгөвчлөн ажиллаж байна.
Төлбөрийн аппликейшн гаргагчид өөрсдийн бүтээгдэхүүнээ PA-DSS-д нийцсэн эсэхийг баталгаажуулахыг Виза уриалдаг. PA-DSS шаардлага хангасан апп нь КҮБ болон төлөөлөгчдөд мэдээлэл алдагдах боломжийг бууруулах, карт эзэмшигчийн мэдээлэл хадгалагдахаас урьдчилан сэргийлэхэд тусалж, ерөнхийдөө PCI МАБС хангагдаж буй байдалд дэмжлэг үзүүлнэ. PA–DSS нь зөвхөн төлбөр тооцоо хийх, гүйлгээний зөвшөөрөл олгох зорилгоор карт эзэмшигчийн мэдээллийг хадгалж, дамжуулж, түүнд боловсруулалт хийж буй гуравдагч этгээдийн төлбөрийн аппликейшн програм хангамжид хамааралтай. Дотоодод хөгжүүлсэн програм хангамж КҮБ эсвэл төлөөлөгчийн PCI DSS хяналт үнэлгээнд хамаарна.
PCI Аюулгүй Байдлын Стандартын Зөвлөлийн талаар илүү мэдэхийг хүсвэл
2008 оны 01-р сарын 1-нд халдлагад өртөх эрсдэл бүхий төлбөрийн апп-ийг Виза төлбөрийн системээс устгах цуврал арга хэмжээг авсан. Эдгээр нь КҮБ болон төлөөлөгчид карт эзэмшигчдийн нууц мэдээлэл (тухайлбал соронзон туузны мэдээлэл, ПИН, CVV2) хадгалж үлддэг болох нь тодорхой болсон төлбөрийн апп-ийг хэрэглэхгүй байх, PA–DSS хангасан төлбөрийн апп хэрэглэж байх шаардлагыг бий болгосон.
Хэдийгээр олон төлбөрийн аппликейшний компаниуд PA–МАБС шаардлагыг хангасан төлбөрийн аппликейшн гаргах болсон ч тэдгээр эрсдлүүд дахин халдаж буй тохиолдолд дорвитой шинэчлэл төлбөрийн програм хангамжид хийгдэхгүй байгаа гэсэн шүүмжлэл байдаг. Түүнчлэн хэрэглэгчийн ажлын байранд төлбөрийн програм хангамж аюулгүй байдлаар хэрэгжихгүй байна гэсэн асуудал ч сөхөгдсөн.
КҮБ болон төлөөлөгчдийн мэдээлэл алдагдсан жишээнээс харахад хэд хэдэн төлбөрийн аппликейшний компаниуд төлбөрийн аппликейшн болон систем суурилуулах мэргэжлийн бус дадалтай, хэрэглэгчдэд дэмжлэг үзүүлэхдээ сул эсвэл дундын хандалт ашигладаг, дутуу дулимаг хэрэгжүүлсэн зайны менежментийн хэрэглэгдэхүүн ашигладаг болох нь тодорхой болсон. Гэмт этгээдүүд эдгээр сул талыг ашиглан карт эзэмшигчийн орчинд нэвтрэх эрсдэл байна.
Визагийн зүгээс төлбөрийн аппликейшний компаниудад програм хангамжийн үйл явцын асуудлаа шийдвэрлэхэд нь туслах цогц шилдэг туршлагуудыг боловсруулан гаргасан. Магадлан шинжлэх үйл ажиллагааныхаа нэг хэсэг болгон карт хүлээн авагч, КҮБ болон тэдгээрийн төлөөлөгчид төлбөрийн аппликейшний компани нь маш боловсронгуй програм хангамжийн үйл явц ашигладаг байхыг шаардах хэрэгтэй.
Визагийн шилдэг 10 төлбөрийн аппликейшний компанийн туршлага
Гүйлгээний зөвшөөрөл олгогдсоны дараа карт эзэмшигчийн нууц мэдээллийг (тухайлбал соронзон туузны мэдээлэл, ПИН, CVV2) хадгалж үлддэг тодорхой хэдэн төлбөрийн аппликейшнүүдийг Виза илрүүлсэн. Карт эзэмшигчийн эдгээр мэдээллийг хадгалж үлдэх нь PCI DSS шаардлагыг болон Визагийн дүрмийг шууд зөрчиж буй хэлбэр юм. Гэмт этгээдүүд ийм эрсдэлтэй төлбөрийн аппликейшн ашигладаг КҮБ болон төлөөлөгчдийг товолж, карт эзэмшигчийн мэдээллийг хулгайлдаг.
Мэдээлэл алдагдахаас сэргийлэх үүднээс Визагийн зүгээс бүхий л оролцогч талуудад тогтмол болон шаардлагатай тохиолдолд эрсдэлтэй төлбөрийн аппликейшний жагсаалтыг хүргүүлнэ. Хэрэв та эрсдэлтэй төлбөрийн аппликейшн олж тогтоовол мөн карт эзэмшигчийн нууц мэдээллийг хадгалж буй төлбөрийн аппликейшний компани, аппликейшний хувилбар зэргийн талаарх тодорхой мэдээллийг мэдэж байгаа бол [email protected] хаягаар Визад мэдэгдээрэй. Програм хангамжийн компанийн зүгээс бүхий мэдээллийг баталгаажуулж, Виза компани мэдээллийн эх сурвалж болон тухайн эх сурвалжийн нэр, хаягийг нууцлах болно.
КҮБ болон төлөөлөгчдөд карт эзэмшигчийн нууц мэдээллийг (тухайлбал соронзон туузны мэдээлэл, ПИН, CVV2) алдахаас сэргийлэхэд болон PCI МАБС шаардлагыг хангахад туслах төлбөрийн аппликейшн хөгжүүлэх зөвлөмжийг програм хангамжийн компаниудад өгөх зорилгоор Виза төлбөрийн аппликейшний шилдэг туршлагыг 2005 онд боловсруулан гаргасан. PCI Аюулгүй байдлын стандартын зөвлөл 2008 онд Визагийн PABP авч хэрэгжүүлэх PA–МАБС стандартыг боловсруулан гаргасан. Визагийн хууль, дүрэм сахих хөтөлбөрийн хувьд PA–МАБС нь одоо Виза төлбөрийн аппликейшний шилдэг туршлагыг бүрэн орлож байна.
