| Info |
|---|
PCI DSS stands for (Payment Card Industry Data Security Standard and contains a set of rules for secure processing credit card transactions. In principle, all those involved in a credit card payment (e.g. merchants and PSPs) are subject to these rules as soon as they process, transfer or save credit card data. |
PCI DSS stands for Payment Card Industry Data Security Standard and contains a set of rules for secure processing credit card transactions. In principle, all those involved in a credit card payment (e.g. merchants and PSPs) are subject to these rules as soon as they process, transfer or save credit card data.
There are 12 basic requirements defined by PCI DSS Standard:
) is een set van veiligheidsregels voor het veilig verwerken van kaartbetalingen. Alle partijen die betrokken zijn bij kaartbetalingen (bv. handelaars, PSP’s) moeten aan deze regels voldoen zodra ze kaartgegevens verwerken, doorsturen of opslaan. |
De 12 basisvereisten van PCI DSS
| Nr. | Vereiste | Doel |
|---|---|---|
| 1 | Installeer en onderhoud een firewall-configuratie om kaarthoudersgegevens te beschermen. | Beveilig de kaartgegevens tegen ongeoorloofde toegang. |
| 2 | Gebruik geen standaardwachtwoorden of beveiligingsinstellingen van leveranciers. | Voorkom kwetsbaarheden door zwakke standaardinstellingen. |
| 3 | Bescherm opgeslagen kaarthoudersgegevens. | Versleutel of maskeer gevoelige gegevens (bv. PAN, CVV). |
| 4 | Versleutel transmissie van kaarthoudersgegevens over openbare netwerken (bv. internet). | Voorkom onderschepping van gegevens tijdens verzending (bv. via TLS 1.2+). |
| 5 | Gebruik en update regelmatig antivirussoftware. | Bescherm tegen malware en kwaadaardige aanvallen. |
| 6 | Ontwikkel en onderhoud veilige systemen en applicaties. | Patch kwetsbaarheden (bv. via regelmatige updates). |
| 7 | Beperk toegang tot kaarthoudersgegevens tot "need-to-know"-basis. | Minimaliseer risico’s door strenge toegangcontroles. |
| 8 | Ken een unieke ID toe aan elke persoon met computertoegang. | Zorg voor traceerbaarheid van acties (bv. via tweefactorauthenticatie). |
| 9 | Beperk fysieke toegang tot kaarthoudersgegevens. | Beveilig datacenters, servers en werkstations. |
| 10 | Monitor en log alle toegang tot netwerkbronnen en kaarthoudersgegevens. | Detecteer en onderzoek verdachte activiteiten. |
| 11 | Test regelmatig beveiligingssystemen en -processen. | Identificeer kwetsbaarheden via penetratietests en scans. |
| 12 | Onderhoud een beleid voor informatiebeveiliging voor medewerkers en aannemers. | Zorg voor bewustzijn en naleving binnen de organisatie. |
📖 Volledige PCI DSS-regels: 🔗 PCI Security Standards Council
PCI DSS-certificering: Hoe wordt naleving gecontroleerd?
Naleving wordt jaarlijks gecontroleerd via:
Zelfbeoordelingsvragenlijsten (SAQ – Self-Assessment Questionnaire)
- Afhankelijk van hoe u kaartgegevens verwerkt, vult u een specifieke SAQ in:
- SAQ A (minimaal risico, bv. bij gebruik van een gehoste betaalpagina).
- SAQ A-EP (e-commerce met gedeelde hosting).
- SAQ D (meest uitgebreid, voor handelaars die kaartgegevens opslaan of verwerken).
- Voorbeeld: Als u de gehoste betaalpagina of het formulier voor kaartbetalingen van Axepta BNP Paribas gebruikt, volstaat vaak SAQ A.
- Afhankelijk van hoe u kaartgegevens verwerkt, vult u een specifieke SAQ in:
Persoonlijke PCI DSS-audit
- Voor grote organisaties of complexe omgevingen kan een onafhankelijke audit vereist zijn.
| Info |
|---|
Het platform van Axepta BNP Paribas wordt jaarlijks geaudit en gecertificeerd volgens PCI DSS Level 1 – het meest strikte niveau binnen de PCI DSS-normen. |
| Info | ||
|---|---|---|
| ||
|
- Install and maintain a firewall configuration to protect cardholder data
- Do not use vendor-supplied defaults for system passwords and other security parameters
- Protect stored cardholder data
- Encrypt transmission of cardholder data across open, public networks
- Use and regularly update anti-virus software or programs
- Develop and maintain secure systems and applications
- Restrict access to cardholder data by business need-to-know
- Assign a unique ID to each person with computer access
- Restrict physical access to cardholder data
- Track and monitor all access to network resources and cardholder data
- Regularly test security systems and processes
- Maintain a policy that addresses information security for employees and contractors
The complete PCI DSS ruleset is pubslihed here: https://www.pcisecuritystandards.org/document_library
The compliance with these rules is checked as part of a PCI DSS certification.
Evidence is provided
- either by means of questionnaires which you must fill out. These questionnaires are referred to as SAQ (self-assessment questionnaire).
- The questionnaires are divided into different classes depending on how you process credit card data (SAQ A, SAQ A-EP, ... up to SAQ D).
- Instead of the questionnaire, a personal PCI DSS audit may also be required
| Info |
|---|
The technical platform of BNP Paribas is annually audited and certified according to PCI DSS Level 1 - the most strict PCI DSS level. |
However, BNP and Axepta Platform are annually audited and certified according to PCI DSS Level 1 - the most strict PCI DSS level.
| Info | ||
|---|---|---|
| ||
|