PCI-DSS Level 1 la procesarea plăților: ce înseamnă concret pentru pariorul român
Available in United States
PCI-DSS în două propoziții
Acronimul apare des în descrierile operatorilor ONJN – „tranzacții procesate conform standardelor PCI-DSS”, „platforma noastră e PCI-DSS Level 1 compliant”. Pentru utilizatorul mediu, sună profesional dar abstract. Concret, ce e PCI-DSS și de ce contează pentru tine, cel care depune 100 de lei sâmbătă seara?
Răspunsul în două propoziții. PCI-DSS (Payment Card Industry Data Security Standard) e setul de cerințe tehnice pe care orice companie care procesează plăți cu cardul trebuie să le îndeplinească pentru a putea face asta legal. Level 1 e cel mai înalt nivel – aplicabil companiilor care procesează volume mari (peste 6 milioane tranzacții pe an) și implică audit anual independent obligatoriu.
Platforma NETOPIA Payments e certificată PCI-DSS Level 1 – cel mai înalt standard de securitate aplicabil procesării plăților prin carduri. Dacă procesatorul cu volum mai mare din RO trebuie să aibă această certificare, înseamnă că procesatorii care deservesc operatorii ONJN cu volume comparabile sunt în aceeași categorie.
Pentru utilizator, ce înseamnă concret PCI-DSS în experiența ta zilnică? Înseamnă că, atunci când plătești cu cardul la un operator licențiat, datele tale (numărul cardului, CVV-ul, data expirării) sunt protejate prin straturi multiple – criptare în tranzit, izolare la stocare, audit independent. Procesatorul nu poate „vedea” datele tale în plain-text. Operatorul nu le stochează niciodată direct. Compromisul oricăruia dintre lanț nu duce la expunerea datelor tale.
În articolul ăsta parcurg cele cinci dimensiuni pe care PCI-DSS Level 1 le acoperă, de ce certificarea contează la alegerea operatorului, și cum verifici conformitatea în practică.
Level 1 vs alte niveluri PCI-DSS
Standardul PCI-DSS are patru niveluri, definite pe baza volumului de tranzacții procesat de o companie. Cerințele cresc cu nivelul.
Level 4: Sub 20.000 tranzacții e-commerce pe an. Cerințe minime – chestionar de auto-evaluare anual, scan-uri de vulnerabilități trimestriale. Aplicabil: comercianți mici, magazine online cu volum redus.
Level 3: Între 20.000 și 1 milion tranzacții pe an. Chestionar de auto-evaluare, scan vulnerabilități, plus inspecție internă. Aplicabil: comercianți medii, sit-uri cu trafic moderat.
Level 2: Între 1 și 6 milioane tranzacții pe an. Chestionar plus uneori audit extern parțial. Cerințe mai stricte la documentare. Aplicabil: comercianți mari, site-uri cu volum important.
Level 1: Peste 6 milioane tranzacții pe an. Audit independent anual obligatoriu de către un Qualified Security Assessor (QSA) – auditor extern certificat de PCI Council. Plus monitorizare continuă, raportare lunară, scanare vulnerabilități trimestrială. Cea mai exigentă categorie.
Pentru pariuri online, procesatorii care deservesc operatorii ONJN cu trafic semnificativ sunt în Level 1 sau cel puțin Level 2 – datorită volumului. Numărul de tranzacții online cu cardul pentru jocurile de noroc a fost de 84,3 milioane într-un singur an în RO. Volumul ăsta pune procesatorii implicați automat în Level 1.
Diferența practică între Level 1 și Level 2 pentru utilizator e subtilă. Ambele oferă protecție tehnică solidă. Diferența e în rigoarea auditului și în profilul companiei. Procesatorul Level 1 are echipă de securitate dedicată full-time, audit extern anual, raportare la PCI Council. Procesatorul Level 2 are obligații similare la nivel tehnic, dar cu intensitate mai mică a verificării.
Ce protejează concret datele tale de card
Concret, ce face PCI-DSS pentru tine atunci când plătești cu cardul la operator. Standardul cere implementarea a 12 categorii de cerințe tehnice și operaționale.
Categoria 1: Build and maintain a secure network. Procesatorul trebuie să folosească firewall-uri configurate corect, să schimbe parolele default ale tuturor sistemelor, să segmenteze rețeaua. Pentru tine, înseamnă că serverele care procesează tranzacția ta sunt izolate de internet public, accesul la ele e strict controlat.
Categoria 2: Protect cardholder data. Numărul cardului trebuie criptat oricând e transmis prin rețele publice. CVV-ul nu trebuie stocat după autorizarea tranzacției. Pentru tine, înseamnă că dacă cineva interceptează traficul, vede doar text criptat.
Categoria 3: Maintain a vulnerability management program. Software-ul anti-virus și anti-malware trebuie actualizat permanent. Sistemele trebuie patch-uite imediat ce apar vulnerabilități. Pentru tine, înseamnă că nu există server cu sisteme expirate care să fie ușor compromise.
Categoria 4: Implement strong access control measures. Accesul la datele tale e limitat la „need to know” – angajații care nu au nevoie să vadă datele cardului tău nu le pot vedea. Toate accesurile sunt logate. Pentru tine, înseamnă că datele tale nu sunt vizibile pentru oricine la procesator.
Categoria 5: Regularly monitor and test networks. Sistemele sunt monitorizate 24/7 pentru anomalii. Vulnerabilitățile sunt testate prin penetration testing periodic. Pentru tine, înseamnă că dacă cineva încearcă să spargă, e detectat și oprit înainte să facă pagubă.
Categoria 6: Maintain information security policy. Procesatorul trebuie să aibă politici scrise, training pentru angajați, proceduri pentru incidente. Pentru tine, înseamnă că în cazul unei breach, există proceduri clare de notificare și remediere.
Auditul anual și ce înseamnă în practică
Componenta cea mai importantă a PCI-DSS Level 1 – auditul anual independent. Nu e auto-evaluare, nu e raport intern. E inspecție externă realizată de o firmă specializată (Qualified Security Assessor – QSA) certificată de PCI Council.
Cum se desfășoară. Echipa QSA petrece între 2 și 8 săptămâni la procesator, în funcție de mărimea infrastructurii. Verifică tot – configurația rețelei, criptarea în tranzit, criptarea la rest, controlul accesului, log-urile, procedurile de incident, training-ul angajaților, contractele cu furnizorii. Toate cele 12 categorii din standard sunt evaluate.
Rezultatul auditului e un Report on Compliance (ROC) – document detaliat cu sute de pagini care documentează conformitatea pe fiecare cerință individuală. ROC-ul se trimite la PCI Council și la schemele card (Visa, Mastercard, etc.) ca dovadă de conformitate.
Dacă auditul detectează probleme, procesatorul are termen de remediere (de obicei 90-180 de zile) după care urmează re-auditul. Dacă problemele sunt critice și nu se remediază, certificarea PCI-DSS Level 1 se pierde – ceea ce, pentru un procesator, înseamnă pierdere a capacității de a procesa tranzacții cu cardul (schemele card refuză să lucreze cu non-conforme).
Riscurile pentru un procesator non-conform sunt enorme. Pierdere de afaceri instant (toți comercianții migrează la concurenți), amenzi de la schemele card (până la sute de mii de dolari per incident), tribunale civile de la utilizatori afectați. Niciun procesator serios nu se permite să pierdă PCI-DSS.
În 2023, NETOPIA Payments a înregistrat o creștere de 30% a tranzacțiilor procesate față de anul precedent. Volumul ăsta de creștere se obține pe încredere – comercianții și clienții lor știu că datele sunt în mâini sigure. PCI-DSS Level 1 e parte fundamentală a încrederii.
Cum verifici conformitatea reală a unui operator
Pentru utilizator, întrebarea practică: cum știu că operatorul meu lucrează cu procesator PCI-DSS Level 1 conform? Trei căi de verificare, în ordinea de eficiență.
Cale 1: Politica de confidențialitate și securitate a operatorului. La operatorii responsabili, în secțiunea „Politica de confidențialitate”, „Politica de securitate” sau „Despre noi”, apare mențiunea „Utilizăm procesatori certificați PCI-DSS pentru tranzacții cu cardul”. Cu cât informația e mai detaliată (numele procesatorilor, nivelurile de certificare), cu atât e mai credibilă. Operatorii ONJN majori detaliază această componentă.
Cale 2: Verificarea procesatorului direct. Dacă operatorul menționează numele procesatorului (Worldpay, Adyen, Trustly, Nuvei, Paysafe Group), poți verifica certificarea acestuia. Lista oficială a entităților PCI-DSS Level 1 conformă e publicată pe site-ul PCI Council (pcisecuritystandards.org), accesibilă oricui. Procesatorii globali majori sunt toți Level 1.
Cale 3: Indicatori indirecți la depunere. Când plătești cu cardul, semnalele unui procesator conform PCI-DSS sunt:
HTTPS obligatoriu (lacăt verde în browser/aplicație) pe toată pagina de plată. Niciodată HTTP. Dacă vezi conexiune nesecurizată la introducerea cardului, pleacă imediat – operatorul nu e conform.
3D Secure activ. Toate plățile online cu cardul în UE necesită SCA (Strong Customer Authentication). Dacă tranzacția trece fără 3DS, ceva nu e bine.
Datele cardului introduse într-un iframe sau formular dedicat al procesatorului, nu pe pagina operatorului. Procesatorii PCI-DSS folosesc tehnologii precum Hosted Payment Page sau iFrame pentru ca operatorul să nu vadă niciodată numărul real al cardului.
Confirmarea tranzacției include token-uri sau identificatori unici, nu numărul cardului în plain-text. Email-ul de confirmare al unei tranzacții la operator menționează „ultimele 4 cifre” sau alt fragment, niciodată numărul integral.
Pentru contextul mai larg al procesării plăților la operatorii ONJN și al jucătorilor pe această piață, am detaliat în analiza procesatorilor de plăți pentru pariuri în România, unde apare structura completă a lanțului de procesare și de ce PCI-DSS e fundament obligatoriu pentru toți participanții.
PCI-DSS Level 1 e cerut și casei de pariuri sau doar procesatorului?
Cerințe diferite. Procesatorul e obligat să fie PCI-DSS Level 1 (sau echivalent în funcție de volum) – el procesează datele cardului. Operatorul de pariuri, în general, nu e clasificat ca processor – el e merchant. Cerințele PCI-DSS pentru merchant sunt mai relaxate, în funcție de volum și de model (cum primește datele cardului). Operatorii ONJN responsabili folosesc tehnologii care îi clasifică în categorii de risc minim – nu primesc niciodată numărul real al cardului, ci doar token-uri de la procesator. Asta îi reduce expunerea PCI-DSS la cerințe de Level 4 sau echivalent simplificat.
Cum verific dacă un site are conformitate PCI-DSS reală?
Combinație de indicatori. Pe pagina operatorului, caută secțiunea ‘Politica de securitate’ – operatorii responsabili menționează numele procesatorilor folosiți. La depunere efectivă, verifică: HTTPS pe toată pagina (lacăt verde), formularul de card e găzduit de procesator (URL în iframe sau redirect), 3D Secure obligatoriu pentru autorizare. Plus că, indirect, dacă operatorul e licențiat ONJN, ONJN cere implementare PCI-DSS prin reglementare – verificarea ONJN garantează indirect conformitatea. Pentru certitudine maximă pe procesator specific, verifici lista PCI Council oficială pe pcisecuritystandards.org.
Creat de redacția „Netopia Mobilepay Pariuri”.
