PCI DSS (standard di sicurezza dei dati del settore delle carte di pagamento)

PCI DSS è un insieme di 12 requisiti principali, ciascuno con controlli dettagliati e procedure di verifica, pensato per proteggere i dati degli account di pagamento e promuovere misure di sicurezza coerenti a livello mondiale 1. Lo standard è destinato a tutte le entità che memorizzano, elaborano o trasmettono dati dei titolari di carta o dati sensibili di autenticazione, o che possono incidere sulla sicurezza di tali dati 3. Un'agenzia di viaggi che raccoglie i dati della carta, su carta, per telefono, via e-mail o tramite un modulo web, rientra in questo gruppo. Secondo lo standard, nel momento in cui un'azienda memorizza, elabora o trasmette il numero di conto principale (PAN), esiste un ambiente dei dati del titolare di carta e i requisiti si applicano a tale ambiente 5.

Lo standard non stabilisce da sé se un'agenzia debba convalidare formalmente la conformità. Lo decidono le organizzazioni che gestiscono i programmi di conformità, come i circuiti di pagamento e gli acquirer, quindi l'agenzia deve chiedere al proprio acquirer che cosa si aspetta 3. Esternalizzare i pagamenti non elimina la responsabilità: l'agenzia deve comunque assicurarsi che il terzo protegga i dati e si applicheranno i requisiti relativi alla gestione dei fornitori di servizi 35.

In pratica un'agenzia dovrebbe:

• Limitare al minimo i dati degli account conservati e non conservare mai i dati sensibili di autenticazione, come il codice di verifica della carta, dopo l'autorizzazione, nemmeno se cifrati 6.
• Rendere illeggibile il PAN memorizzato 6.
• Evitare di inviare PAN non protetti tramite e-mail o messaggistica istantanea 8.
• Proteggere o smaltire in modo sicuro i documenti cartacei che contengono dati di carta 5.
• Disporre di un piano di risposta agli incidenti, che si applica a tutte le entità 5.
• Se i dati della carta arrivano attraverso un canale non previsto, includere tale canale nell'ambito di applicazione e metterlo in sicurezza, oppure eliminare i dati in modo sicuro e impedire che il canale venga utilizzato di nuovo 4.

Quando la legge locale è in conflitto con lo standard, prevale la legge 2.