PCI DSS (Payment Card Industry Data Security Standard) is een set van veiligheidsregels voor het veilig verwerken van creditcardtransacties. Alle partijen die betrokken zijn bij kaartbetalingen (bv. handelaars, PSP’s) moeten aan deze regels voldoen zodra ze kaartgegevens verwerken, doorsturen of opslaan. |
PCI DSS stands for Payment Card Industry Data Security Standard and contains a set of rules for secure processing credit card transactions. In principle, all those involved in a credit card payment (e.g. merchants and PSPs) are subject to these rules as soon as they process, transfer or save credit card data.
De 12 basisvereisten van PCI DSS
| Nr. | Vereiste | Doel |
|---|---|---|
| 1 | Installeer en onderhoud een firewall-configuratie om kaarthoudersgegevens te beschermen. | Beveilig netwerktoegang tegen ongeoorloofde toegang. |
| 2 | Gebruik geen standaardwachtwoorden of beveiligingsinstellingen van leveranciers. | Voorkom kwetsbaarheden door zwakke standaardinstellingen. |
| 3 | Bescherm opgeslagen kaarthoudersgegevens. | Versleutel of masker gevoelige gegevens (bv. PAN, CVV). |
| 4 | Versleutel transmissie van kaarthoudersgegevens over openbare netwerken (bv. internet). | Voorkom onderschepping van gegevens tijdens verzending (bv. via TLS 1.2+). |
| 5 | Gebruik en update regelmatig antivirussoftware. | Bescherm tegen malware en kwaadaardige aanvallen. |
| 6 | Ontwikkel en onderhoud veilige systemen en applicaties. | Patch kwetsbaarheden (bv. via regelmatige updates). |
| 7 | Beperk toegang tot kaarthoudersgegevens tot "need-to-know"-basis. | Minimaliseer risico’s door strenge toegangcontroles. |
| 8 | Ken een unieke ID toe aan elke persoon met computertoegang. | Zorg voor traceerbaarheid van acties (bv. via tweefactorauthenticatie). |
| 9 | Beperk fysieke toegang tot kaarthoudersgegevens. | Beveilig datacenters, servers en werkstations. |
| 10 | Monitor en log alle toegang tot netwerkbronnen en kaarthoudersgegevens. | Detecteer en onderzoek verdachte activiteiten. |
| 11 | Test regelmatig beveiligingssystemen en -processen. | Identificeer kwetsbaarheden via penetratietests en scans. |
| 12 | Onderhoud een beleid voor informatiebeveiliging voor medewerkers en aannemers. | Zorg voor bewustzijn en naleving binnen de organisatie. |
📖 Volledige PCI DSS-regels: 🔗 PCI Security Standards Council
PCI DSS-certificering: Hoe wordt naleving gecontroleerd?
Naleving wordt jaarlijks gecontroleerd via:
Zelfbeoordelingsvragenlijsten (SAQ – Self-Assessment Questionnaire)
- Afhankelijk van hoe u kaartgegevens verwerkt, vult u een specifieke SAQ in:
- SAQ A (minimaal risico, bv. bij gebruik van een gehoste betaalpagina).
- SAQ A-EP (e-commerce met gedeelde hosting).
- ...
- SAQ D (meest uitgebreid, voor handelaars die kaartgegevens opslaan of verwerken).
- Voorbeeld: Als u de Hosted Payment Page of Credit Card Form van Axepta gebruikt, volstaat vaak SAQ A.
- Afhankelijk van hoe u kaartgegevens verwerkt, vult u een specifieke SAQ in:
Persoonlijke PCI DSS-audit
- Voor grote organisaties of complexe omgevingen kan een onafhankelijke audit vereist zijn.
Het technisch platform van BNP Paribas en Axepta wordt **jaarlijks geaudit en gecertificeerd volgens PCI DSS Level 1 – het strikte niveau binnen de PCI DSS-normen. |
|
Axepta verlicht uw compliance-verplichtingen door het direct verwerken van creditcardgegevens over te nemen, mits u gebruikmaakt van: