PCI DSS: gözegçilik we sertifikatlaşdyrmak
1) PCI DSS näme we näme üçin iGaming üçin möhümdir?
PCI DSS - töleg kartlary pudagynyň howpsuzlyk standarty (Visa/Mastercard/Amex/Discover/JCB). iGaming operatory üçin PAN we duýgur tassyklaýyş maglumatlary (SAD) goşmak bilen kart eýeleriniň (CHD) maglumatlaryny goramagyň tehniki we guramaçylyk çärelerini kesgitleýär. Gabat gelmezlik jerimeler, bankara nyrhlaryň ýokarlanmagy, söwda hasabynyň yzyna alynmagy we abraý zyýany bilen howp salýar.
2) Sertifikatlaşdyrmagyň rollary, derejeleri we görnüşi
Rollar
Merchant: Oýunçylardan kartoçkalary kabul edýär.
Hyzmat Üpjün ediji: söwda üçin CHD-leri gaýtadan işleýär/hostit/saklaýar (hosting, töleg platformasy, tokenizasiýa ýaly).
Derejeler (high level)
Söwdanyň derejesi 1-4: ýyllyk amallar boýunça; Level 1, adatça, QSA-dan ROC (Hasabat on Compliance) talap edýär.
Hyzmatlary üpjün edijiniň derejeleri 1-2: Level 1 - hökmany ROC.
Baha bermegiň formatlary
ROC + AOC: Doly hukukly auditor hasabaty (QSA/ISA).
SAQ: görnüşleriň biri boýunça öz-özüňe hormat goýmak (aşakda serediň), üstesine-de daşarky ASV skaneri.
3) Sebit (Skope) we CDE: nädip daraltmaly we dolandyrmaly
CDE (Cardholder Data Environment) - CHD/SAD saklaýan, gaýtadan işleýän ýa-da geçirýän ulgamlar/torlar/prosesler.
Iň pes strategiýalar
1. Redirekt/Hosted Payment Page (HPP): PSP → SAQ A tarapynda görnüş (iň az girdeji).
2. Göni Post/JS + siziň sahypaňyz (A-EP): sahypaňyz ýygnamagyň howpsuzlygyna täsir edýär → SAQ A-EP (has giň).
3. Tokenizasiýa: PSP tokenine PAN çalyşmak/seniň token walt; PAN saklanmaýar.
4. Tor segmentasiýasy: CDE-ni (VLAN/firewall/ACL) izolýasiýa ediň, traffigi iň az derejede azaldyň.
5. "No storage" syýasaty: PAN/SAD saklamaň; kadadan çykmalar berk esaslanýar.
4) SAQ görnüşleri
5) PCI DSS v4. 0: esasy mowzuklar
Customized Approach: subut edilen ekwiwalentlik ýagdaýynda alternatiw gözegçiliklere ýol berýär (meýilnama, TRA, synag esaslary).
Targeted Risk Analysis (TRA): "çeýe" talaplar (prosesleriň ýygylygy, gözegçilikler) üçin nokat töwekgelçilik-seljermesi.
Tassyklamak: Administratiw we uzakdan girmek üçin MFA; güýçli parollar/pasfrazlar; blokirlemek/wagt geçirmek.
Gowşaklyk we gowşaklyk: yzygiderli skanerler (içerki/daşarky), çärýekleýin ASV, pentestler her ýyl we möhüm üýtgeşmelerden soň.
Şifrlemek: tranzitde (TLS 1. 2+) и at rest; açarlary dolandyrmak (KMS/HSM), rotasiýa, rollary bölmek.
Giriş we gözegçilik: merkezleşdirilen giriş, üýtgeşmelerden goramak (WORM/gol), howpsuzlyk wakalaryna gündelik syn.
Segmentasiýa/fairwollar/WAF: resmi düzgünler, syn, dokumentleşdirilen topologiýalar.
SDLC/üýtgeşmeler: dev/test/prod bölünen, SAST/DAST/dependensy-skanlar, syrlary dolandyrmak.
Wakalar: resmi IRP, maşklar, rollar we aragatnaşyk sanawy, PSP/satyn alyjy bank bilen özara gatnaşygy.
6) Kart maglumatlary: näme mümkin/mümkin däl
CHD: PAN (+ ýaz. ady, möhleti, hyzmat kody).
SAD (ygtyýarnamadan soň saklamak gadagan): CVV/CVC, doly magnit ýollary, PIN bloklary.
Gizlemek: PAN maskasy bilen görkezmek (adatça ilkinji 6 we soňky 4).
Tokenizasiýa/saklamak: PAN saklansa → şifrlemek, Need-to-Know arkaly elýeterlilik, açarlar aýratyn, gaty magazinesurnallar.
7) Gözegçilik domenleri (amaly çek-sanawy)
1. CDE segmentasiýasy - aýry-aýry kiçi ulgamlar, deny-by-default, egress-gözegçilik.
2. Aktiwleriň inwentary - CDE-daky we baglanyşykly ähli ulgamlar.
3. Hardning - howpsuz gapma-garşylyklar, adaty öçürmek, esasy standartlar.
4. Gowşaklyk/ýamalar - prosesler, SLA, ýerleşdirilmegini tassyklamak.
5. Journalurnalizasiýa - wagt sinhronizasiýasy, merkezleşdirilen ýazgylar, WORM/gollar.
6. Giriş - RBAC/ABAC, MFA, SoD, JIT/PAM, offboarding ≤ 15 minut.
7. Kriptografiýa - TLS, KMS/HSM, aýlanyş, kripto-müşderileriň aýratyn rollary.
8. Ösüş - SAST/DAST/DS/IaC, gizlin skanlar, pipeline-gollar.
9. ASV skaneri - çärýekde we üýtgeşmelerden soň, "Pass" statuslaryny saklamak.
10. Pentestalar - daşarky/içki. iň bolmanda her ýyl.
11. IR-meýilnama - maşklar, PSP/ekwaýer bilen war-room, wagtlaýynlar.
12. Okuw - rollar üçin fişing, secure coding, PCI-awareness.
13. Resminamalar/amallar - PAN saklamak/aýyrmak syýasaty, eksport žurnaly.
8) PSP/wendorlar bilen özara gatnaşyk
Şertnamalar: Elýeterlilik/howpsuzlyk boýunça SLA, DPIA/TPRM, audit hukugy, waka-habarnamalar ≤ 72 sagat.
Tehnintegrasiýa: NRP/TLS redirekt, gol çekilen webhuklar, mTLS/KMS-de açarlar, rotasiýa.
Çärýekleýin gözegçilik: PSP (attestasiýa, şahadatnamalar), ASV/pentest-ekstraktlar, SDK üýtgeşmeleri.
9) Laýyklyk resminamalary
ROC (Hasabat on Compliance): QSA-nyň doly hasabaty.
AOC (Compliance Attestation): Laýyklygy tassyklamak (ROC/SAQ goşundysy).
SAQ: Öz-özüňe baha bermegiň saýlanan görnüşi (A, A-EP, D we ş.m.).
ASV-hasabatlary: kepillendirilen üpjün ediji tarapyndan daşarky skaner.
Syýasatlar/amallar: wersiýalar, eýeler, üýtgeşmeleriň žurnallary.
Subutnamalar: toruň shemalary, WORM ýazgylary, synaglaryň netijeleri, biletler.
10) Rollar we RACI
11) Metrikler (KPI/KRI)
ASV Pass Rate: Çärýek hasabatlarynyň 100% - "pass".
Patch SLA High/Critical: ≥ 95%.
Pentest Findings Closure: ≥ 95% Ýokary 30 gün ≤ ýapyk.
Dolandyryjylaryň MFA örtügi: 100%.
Log Integrity: WORM/gollar bilen kritiki ulgamlaryň 100% -i.
Skope Reduction: redirekt/tokenizasiýa arkaly tölegleriň paýy ≥ 99%.
Incidents: PCI hadysalary wagtynda habar bermek bilen - 100%.
12) Ýol kartasy (SAQ/ROC çenli 8-12 hepde)
Hepdeler 1-2: tölegleri kabul etmegiň (NRP/tokenizasiýa) modelini saýlamak, CDE kartlamak, toruň shemasy, segmentasiýa meýilnamasy, SAQ/ROC saýlamak.
3-4 hepdeler: hardning, MFA, WORM logleri, SDLC-skanlar, açarlar/KMS, PAN saklamak syýasaty (adaty ýagdaýda saklamaň).
Hepdeler 5-6: ASV-skan # 1, düzedişler; pentest (web/tor/webhuklar), PSP bilen IR-maşk, resminamalaryň tamamlanmagy.
Hepdeler 7-8: SAQ doldurmak ýa-da audit QSA (Stage-söhbetdeşlik, nusgalar), tapyndylaryň ýapylmagy, AOC/ROC taýýarlamak.
Hepdeler 9-12 (soň) : "Customized Approach" we TRA, segmentasiýany optimizirlemek, KPI/KRI dashbordlaryny birleşdirmek.
13) Çek-listler
Kartlary kabul etmezden öň
- PAN/SAD saklanmazdan ýol saýlandy
- Redirect/iframe PSP ýa-da tokenizasiýa sazlandy
- CDE segmentasiýasy, deny-by-default, WAF
- Administratorlar üçin MFA/IGA/JIT/PAM
- Girişler (WORM, gollar, NTP) we dashbordlar
- ASV skaneri geçdi, pentest ýapyldy
- IR-meýilnama we PSP/bank aragatnaşyklary
Her ýyl attestasiýa üçin
- CDE-de täzelenen shemalar we ulgamlaryň sanawy
- 4 çärýeklik ASV geçdi, "pass" saklandy
- Pentest ≤ 12 aý we üýtgeşmelerden soň
- Syýasatlar/amallar aktual, wersiýalar/eýeler
- SAQ doldy/ROC aldy, AOC tarapyndan berildi
14) Ýygy-ýygydan ýalňyşlyklar we olardan nädip gaça durmaly
Öz sahypasynda PAN ýygnamak → SAQ A-EP/D. PSP-den HPP/iframe ulanyň.
Üýtgeşmelerden goragsyz girelgeler. WORM/gollary we gündelik syny goşuň.
"Tutuş ulgam CDE-de". Töleg konturyny berk izolýasiýa ediň.
CVV/SAD saklamak. Ygtyýarnamadan soň gadagan edildi.
Doly däl ASV/pentestalar. Üýtgeşmelerden soň ýerine ýetiriň we hasabatlary/remediasiýalary saklaň.
15) Wiki-niň galan bölümleri bilen integrasiýa
Baglanan sahypalar: Parol syýasaty we MFA, RBAC/Least Privilege, Bloglar syýasaty, Hadysalar we syzmalar, TPRM we SLA, ISO 27001/27701, SOC 2 - gözegçilikleriň we evidence ýeke-täk toplumy üçin.
TL; DR
PCI DSS v4. 0 = iň az satyn almak (HPP/tokenizasiýa) + gaty segmentasiýa CDE + MFA/logi WORM/şifrlemek/KMS + ASV çärýekde, her ýyl pentest we üýtgeşmelerden soň + taýýar resminamalar SAQ/ROC/AOC. Bu bolsa audit çykdajylaryny azaldýar, PSP bilen integrasiýany çaltlaşdyrýar we töleg konturyny subut edilip bilinjek derejede howpsuz edýär.