PCI DSS (Payment Card Industry Data Security Standard) is een set van veiligheidsregels voor het veilig verwerken van creditcardtransacties. Alle partijen die betrokken zijn bij kaartbetalingen (bv. handelaars, PSP’s) moeten aan deze regels voldoen zodra ze kaartgegevens verwerken, doorsturen of opslaan.
De 12 basisvereisten van PCI DSS
| Nr. | Vereiste | Doel |
|---|---|---|
| 1 | Installeer en onderhoud een firewall-configuratie om kaarthoudersgegevens te beschermen. | Beveilig netwerktoegang tegen ongeoorloofde toegang. |
| 2 | Gebruik geen standaardwachtwoorden of beveiligingsinstellingen van leveranciers. | Voorkom kwetsbaarheden door zwakke standaardinstellingen. |
| 3 | Bescherm opgeslagen kaarthoudersgegevens. | Versleutel of masker gevoelige gegevens (bv. PAN, CVV). |
| 4 | Versleutel transmissie van kaarthoudersgegevens over openbare netwerken (bv. internet). | Voorkom onderschepping van gegevens tijdens verzending (bv. via TLS 1.2+). |
| 5 | Gebruik en update regelmatig antivirussoftware. | Bescherm tegen malware en kwaadaardige aanvallen. |
| 6 | Ontwikkel en onderhoud veilige systemen en applicaties. | Patch kwetsbaarheden (bv. via regelmatige updates). |
| 7 | Beperk toegang tot kaarthoudersgegevens tot "need-to-know"-basis. | Minimaliseer risico’s door strenge toegangcontroles. |
| 8 | Ken een unieke ID toe aan elke persoon met computertoegang. | Zorg voor traceerbaarheid van acties (bv. via tweefactorauthenticatie). |
| 9 | Beperk fysieke toegang tot kaarthoudersgegevens. | Beveilig datacenters, servers en werkstations. |
| 10 | Monitor en log alle toegang tot netwerkbronnen en kaarthoudersgegevens. | Detecteer en onderzoek verdachte activiteiten. |
| 11 | Test regelmatig beveiligingssystemen en -processen. | Identificeer kwetsbaarheden via penetratietests en scans. |
| 12 | Onderhoud een beleid voor informatiebeveiliging voor medewerkers en aannemers. | Zorg voor bewustzijn en naleving binnen de organisatie. |
📖 Volledige PCI DSS-regels: 🔗 PCI Security Standards Council
PCI DSS-certificering: Hoe wordt naleving gecontroleerd?
Naleving wordt jaarlijks gecontroleerd via:
Zelfbeoordelingsvragenlijsten (SAQ – Self-Assessment Questionnaire)
- Afhankelijk van hoe u kaartgegevens verwerkt, vult u een specifieke SAQ in:
- SAQ A (minimaal risico, bv. bij gebruik van een gehoste betaalpagina).
- SAQ A-EP (e-commerce met gedeelde hosting).
- SAQ D (meest uitgebreid, voor handelaars die kaartgegevens opslaan of verwerken).
- Voorbeeld: Als u de Hosted Payment Page of Credit Card Form van Axepta gebruikt, volstaat vaak SAQ A.
- Afhankelijk van hoe u kaartgegevens verwerkt, vult u een specifieke SAQ in:
Persoonlijke PCI DSS-audit
- Voor grote organisaties of complexe omgevingen kan een onafhankelijke audit vereist zijn.
Het technisch platform van BNP Paribas en Axepta wordt **jaarlijks geaudit en gecertificeerd volgens PCI DSS Level 1 – het strikte niveau binnen de PCI DSS-normen.
Vereenvoudigde PCI DSS-compliance voor handelaars
Axepta verlicht uw compliance-verplichtingen door het direct verwerken van creditcardgegevens over te nemen, mits u gebruikmaakt van:
- "Hosted Payment Page" (gehoste betaalpagina)
- "Credit Card Form" (ingebed kaartbetaalformulier)