PCI DSS Danışmanlığı
Lostar PCI DSS danışmanlığı ile kart sahibi verisi ortamınızı belirleyin, PCI DSS v4.0.1 gereksinimlerine göre mevcut durumunuzu değerlendirin ve SAQ, ROC, AOC süreçlerine hazırlıklı girin.
PCI DSS Danışmanlığı Talep EdinPCI DSS v4.0.1 Uyum Süreci Nasıl Yönetilir?
PCI DSS danışmanlığı, kart sahibi verisini depolayan, işleyen veya ileten kurumların ödeme güvenliği gereksinimlerini doğru kapsam, doğru kontrol yapısı ve sürdürülebilir kanıt yönetimiyle karşılamasına yardımcı olan danışmanlık hizmetidir.
Lostar danışmanlık kapsamında kart sahibi verisi ortamı, ödeme akışları, kapsam içi sistemler, üçüncü taraf bağımlılıkları, teknik kontroller, politika ve prosedürler, kanıt yapısı ve doğrulama süreci birlikte değerlendirilir.
Amaç yalnızca denetim öncesi hazırlık yapmak değil; PCI DSS v4.0.1 gereksinimlerinin yıl boyunca işletilebildiği, sorumlulukların net olduğu ve kontrollerin düzenli kanıtlarla desteklendiği sürdürülebilir bir uyum modeli oluşturmaktır.
Güncel PCI DSS gereksinimleri ve resmi dokümanlar için PCI Security Standards Council Document Library temel referans kaynaktır.
PCI DSS Uyum Programının Temel Başlıkları
PCI DSS Nedir ve Kimler İçin Geçerlidir?
PCI DSS (Payment Card Industry Data Security Standard), ödeme hesabı verilerinin korunması için oluşturulmuş teknik ve operasyonel güvenlik standardıdır. Kart sahibi verisini depolayan, işleyen veya ileten kurumların yanı sıra bu ortamların güvenliğini etkileyebilen hizmet sağlayıcılar da kapsam dahilinde değerlendirilebilir.
E-Ticaret ve Perakende Şirketleri
Web sitesi, mobil uygulama, mağaza, çağrı merkezi veya sanal POS üzerinden kartlı ödeme kabul eden işletmeler.
Finans ve Ödeme Kuruluşları
Bankalar, ödeme hizmeti sağlayıcıları, elektronik para kuruluşları, ödeme geçitleri ve kart işlemlerine aracılık eden platformlar.
Hizmet Sağlayıcılar
Kart sahibi verisi ortamına erişen, bu ortamı barındıran veya güvenliğini etkileyen bulut, yazılım, operasyon ve altyapı sağlayıcıları.
Kart Verisine Temas Eden Operasyonlar
Tekrarlayan ödeme, rezervasyon, çağrı merkezi, abonelik ve benzeri süreçlerde kart verisiyle doğrudan veya dolaylı temas eden kurumlar.
PCI DSS v4.0.1 ile Değişen Uyum Beklentileri
PCI DSS danışmanlığı kapsamında v4.0.1 gereksinimleri yalnızca yıllık denetim hazırlığı olarak değil; risk temelli, ölçülebilir ve yıl boyunca işletilen bir ödeme güvenliği programı olarak ele alınmalıdır.
Güncel PCI DSS gereksinimleri, doğrulama şablonları ve resmi destek dokümanları için PCI Security Standards Council Document Library temel referans kaynaktır.
PCI DSS v4.0.1 yeni veya silinen gereksinimlerden çok açıklama ve netleştirme odaklı sınırlı bir revizyondur. Ancak v4.0 ile gelen ileri tarihli gereksinimler artık değerlendirme kapsamına dahil edilmeli; sorumluluklar, kontroller ve kanıt üretim süreçleri güncel yapıya göre yönetilmelidir.
Hedefli Risk Analizleri
Belirli kontrollerin hangi sıklıkta ve hangi yöntemle uygulanacağı belgelenmiş risk analizleriyle desteklenir. Bu yaklaşım, kurumun risk profiline göre daha gerçekçi ve sürdürülebilir bir PCI DSS uyum modeli oluşturmasına yardımcı olur.
Güçlendirilmiş Kimlik Doğrulama
Kart sahibi verisi ortamına erişimlerde çok faktörlü kimlik doğrulama, hesap güvenliği, ayrıcalıklı erişim ve erişim yaşam döngüsü daha geniş kapsamda ele alınır.
Ödeme Sayfası Güvenliği
Ödeme sayfalarında çalışan betiklerin envanteri, yetkilendirilmesi, bütünlük kontrolü ve yetkisiz değişikliklerin tespiti daha kritik hale gelir. Bu alan özellikle e-ticaret ve çevrim içi ödeme akışları için önem taşır.
Sürekli Kontrol Kanıtı
Kontrollerin yalnızca denetim öncesinde hazırlanması yeterli değildir. PCI DSS v4.0.1 uyum sürecinde kontrollerin yıl boyunca düzenli işletildiğini gösteren kayıt, rapor ve kanıt yapısının oluşturulması gerekir.
Üçüncü Taraf Sorumlulukları
Hizmet sağlayıcılar, ödeme altyapısı sağlayıcıları ve dış kaynak kullanılan sistemlerle paylaşılan PCI DSS sorumlulukları açık biçimde tanımlanmalı, izlenmeli ve düzenli olarak gözden geçirilmelidir.
PCI DSS’in 12 Temel Gereksinimi
PCI DSS uyumluluk süreci; teknoloji, insan ve süreç katmanlarını birlikte ele alan 12 temel gereksinim üzerine kuruludur.
Gereksinim 1–2
- Ağ güvenliği kontrollerinin kurulması ve sürdürülmesi
- Tüm sistem bileşenlerine güvenli yapılandırmalar uygulanması
Gereksinim 3–4
- Saklanan hesap verisinin korunması
- Açık ve genel ağlarda iletilen kart sahibi verisinin güçlü kriptografiyle korunması
Gereksinim 5–6
- Sistemlerin ve ağların kötü amaçlı yazılımlara karşı korunması
- Güvenli sistem ve yazılımların geliştirilmesi ve sürdürülmesi
Gereksinim 7–8
- Erişimin iş ihtiyacına göre sınırlandırılması
- Kullanıcıların tanımlanması ve sistem erişimlerinin güvenli biçimde doğrulanması
Gereksinim 9–10
- Kart sahibi verisine fiziksel erişimin sınırlandırılması
- Sistem ve kart verisi erişimlerinin kayıt altına alınması ve izlenmesi
Gereksinim 11–12
- Güvenlik sistemleri ve süreçlerinin düzenli olarak test edilmesi
- Bilgi güvenliğinin politika ve programlarla desteklenmesi
PCI DSS Uyum Süreci Nasıl İlerler?
Her kurumun ödeme mimarisi, işlem hacmi, üçüncü taraf ilişkileri ve mevcut güvenlik olgunluğu farklıdır. Bu nedenle çalışma, hazır doküman paketleri yerine kurumun gerçek ortamına göre yapılandırılır.
PCI DSS Kapsamını Doğru Belirleyin ve Gereksiz Yükü Azaltın
PCI DSS projelerinde maliyet, süre ve operasyonel yükün önemli bölümü kapsamın nasıl tanımlandığına bağlıdır. Kart verisi akışının ve sistem bağlantılarının doğru anlaşılması, kontrol alanının yönetilebilir hale gelmesini sağlar.
Bu nedenle kapsam kararı yalnızca sistem listesine değil; veri akışlarına, ağ bağlantılarına, kullanıcı erişimlerine ve hizmet sağlayıcı ilişkilerine dayanmalıdır.
Kart Verisi Akış Haritası
Kart verisinin giriş, işleme, aktarım, kayıt ve imha noktaları uçtan uca belgelenir.
CDE Varlık Envanteri
Kart sahibi verisi ortamındaki sistemler, uygulamalar, ağ bileşenleri, kullanıcılar ve süreçler belirlenir.
Ağ Segmentasyonu
Kapsam içi ve kapsam dışı ortamların ayrıştırılması değerlendirilir; segmentasyon kontrollerinin etkinliği doğrulanır.
Veri Saklamayı Azaltma
Gereksiz kart verisi saklama noktaları kaldırılır; maskeleme, tokenizasyon ve güvenli dış kaynak modelleri değerlendirilir.
Üçüncü Taraf Bağımlılıkları
Ödeme sağlayıcıları, bulut hizmetleri ve diğer hizmet sağlayıcılarla paylaşılan sorumluluklar görünür hale getirilir.
Doğru SAQ Seçimi
Ödeme mimarisi ve uygunluk kriterleri incelenerek kullanılabilecek öz değerlendirme formu için hazırlık yapılır.
Danışmanlık Kapsamında Neler Sunuyoruz?
Lostar, PCI DSS uyum programının yönetişim, süreç, dokümantasyon ve teknik güvenlik bileşenlerini aynı çalışma modeli içinde ele alır.
PCI DSS Boşluk Analizi
Mevcut kontroller, süreçler ve kanıtlar PCI DSS v4.0.1 gereksinimlerine göre değerlendirilerek eksikler ve öncelikler belirlenir.
Politika ve Prosedür Geliştirme
Bilgi güvenliği, erişim, değişiklik, olay, yedekleme, risk, tedarikçi ve diğer gerekli süreçler için kuruma özel dokümantasyon hazırlanır.
Teknik Kontrol Danışmanlığı
Ağ güvenliği, güvenli yapılandırma, şifreleme, kimlik doğrulama, loglama, zafiyet yönetimi ve uygulama güvenliği kontrolleri için yol haritası oluşturulur.
SAQ, ROC ve AOC Hazırlığı
Kurumun doğrulama yöntemine göre gerekli formların, kanıtların ve değerlendirme girdilerinin hazırlanması desteklenir.
ASV Tarama Süreci Desteği
İnternete açık kapsam içi sistemler için ASV tarama gereksinimleri, bulguların giderilmesi ve yeniden tarama döngüsü koordine edilir.
Sızma ve Segmentasyon Testleri
Gerekli durumlarda ağ ve uygulama sızma testleri ile segmentasyon kontrollerinin etkinliği teknik olarak değerlendirilir.
Farkındalık ve Rol Bazlı Eğitim
PCI DSS sorumluluğu bulunan ekiplerin görevleri, kanıt üretim beklentileri ve güvenli çalışma yöntemleri konusunda farkındalığı artırılır.
Sürekli Uyum Programı
Kontrol sahipleri, periyodik faaliyetler, kanıt takvimi ve yönetim raporlaması tanımlanarak uyumun yıl boyunca sürdürülmesi desteklenir.
PCI DSS Projesi Sonunda Hangi Çıktılar Sunulur?
Çalışmanın sonunda yalnızca eksiklerin listesi değil; sorumluları, öncelikleri ve kanıt beklentileri belirlenmiş uygulanabilir bir uyum sistemi oluşturulur.
Kapsam ve Veri Akış Dokümanı
Kart verisinin yaşam döngüsü, kapsam içi sistemler, bağlantılar ve üçüncü taraf bağımlılıkları belgelenir.
Boşluk Analizi Raporu
Her gereksinim için mevcut durum, eksiklik, risk, önerilen aksiyon ve öncelik seviyesi sunulur.
Uyum Yol Haritası
Teknik ve idari iyileştirmeler sorumlular, hedef tarihler ve bağımlılıklarla birlikte planlanır.
Politika ve Prosedür Seti
Kurumun yapısına uygun, uygulanabilir ve kanıt üretimini destekleyen politika ve prosedürler hazırlanır.
Kontrol ve Kanıt Matrisi
Her PCI DSS kontrolü için kontrol sahibi, çalışma sıklığı, kanıt türü ve saklama noktası tanımlanır.
Değerlendirme Hazırlık Paketi
SAQ, ROC veya diğer doğrulama süreçlerinde kullanılacak kanıtlar ve açıklamalar düzenli bir yapı içinde hazırlanır.
PCI DSS Uyumluluğu Hakkında Merak Edilenler
PCI DSS yalnızca bankalar için mi geçerlidir?
Hayır. Kart sahibi verisini depolayan, işleyen veya ileten üye iş yerleri ve hizmet sağlayıcılar da ödeme mimarileri ve sorumlulukları doğrultusunda PCI DSS kapsamına girebilir.
SSL sertifikası PCI DSS uyumluluğu için yeterli midir?
Hayır. Şifreli iletişim önemli bir kontroldür ancak PCI DSS; ağ güvenliği, erişim kontrolü, loglama, güvenli geliştirme, zafiyet yönetimi, fiziksel güvenlik ve yönetişim dahil çok daha geniş bir kontrol yapısı içerir.
PCI DSS uyumluluğu bir defa tamamlanınca yeterli olur mu?
Hayır. Birçok kontrol günlük, üç aylık, altı aylık veya yıllık faaliyetler gerektirir. Uyumun sürdürülebilmesi için kontrollerin düzenli işletilmesi ve kanıtlarının saklanması gerekir.
Hangi SAQ formunun kullanılması gerekir?
Uygun SAQ; ödeme kanalına, kart verisinin kurumdaki akışına, dış kaynak kullanımına ve ilgili formun uygunluk kriterlerine göre değişir. Nihai seçim ilgili acquirer veya ödeme markası beklentileriyle doğrulanmalıdır.
ASV taraması ne sıklıkla yapılır?
Kapsam içindeki internete açık sistemler için dış zafiyet taramalarının en az üç ayda bir gerçekleştirilmesi, bulguların giderilmesi ve gerekli yeniden taramaların tamamlanması beklenir.
Danışmanlık hizmeti PCI DSS belgesi anlamına gelir mi?
Hayır. Danışmanlık, kurumun gerekli kontrolleri kurmasına ve doğrulama sürecine hazırlanmasına yardımcı olur. Resmî doğrulama yöntemi; kurumun seviyesine, ödeme markası ve acquirer beklentilerine göre SAQ veya bağımsız değerlendirme süreçleri üzerinden belirlenir.
Kart Verisi Güvenliğinizi Güçlendirin, Denetim Sürecine Hazırlıklı Girin
PCI DSS kapsamınızı doğru belirlemek, mevcut güvenlik ve uyum eksiklerinizi görmek ve PCI DSS v4.0.1 gereksinimlerine uygun sürdürülebilir bir çalışma planı oluşturmak için Lostar uzmanlarıyla iletişime geçin.
© 2025 Lostar