Conservare i dati delle carte di credito dei clienti è un requisito necessario per quasi tutte le attività, ma trovare il modo migliore per farlo non è sempre semplice. Esistono requisiti e normative specifici per la conservazione dei dati delle carte, a cui le attività devono mantenersi conformi senza sacrificare l'esperienza del cliente o la propria efficienza operativa. Le frodi con le carte di credito sono un problema serio e diffuso: negli Stati Uniti, ad esempio, il 65% dei titolari di carte di credito è stato vittima di frodi. Per le attività, la conservazione sicura dei dati delle carte di credito dei clienti è un'importante salvaguardia contro le frodi.

In questo articolo illustreremo il Payment Card Industry Data Security Standard (PCI DSS), il principale standard di sicurezza che regola la conservazione dei dati delle carte di credito dei clienti, e delineeremo le best practice che le attività possono adottare per conservare i dati delle carte in modo sicuro ed efficiente.

Contenuto dell'articolo

• Come funziona la conservazione dei dati delle carte?
  
• Che cos'è il PCI DSS?
  
• Requisiti PCI per la conservazione dei dati delle carte
  
• Best practice per la conservazione dei dati delle carte
  
• Sfide e soluzioni per la conservazione dei dati delle carte
  
• I vantaggi di Stripe
  

Come funziona la conservazione dei dati delle carte?

Per conservazione dei dati delle carte si intende la conservazione da parte delle attività delle informazioni relative alle carte di pagamento dei clienti, compresi i numeri delle carte di credito e di debito e i relativi dettagli identificativi. Le quattro categorie di dati generalmente conservati dalle attività sono il nome del titolare della carta, il numero di conto principale (PAN), la data di scadenza e il codice di servizio.

Generalmente, i vari sistemi di conservazione dei dati delle carte disponibili per le attività utilizzano componenti quali sistemi dedicati di archiviazione dati, tecniche di crittografia e tokenizzazione e strumenti di prevenzione della perdita di dati (DLP).

Che cos'è il PCI DSS?

Il PCI DSS è un insieme di standard di sicurezza che regolano le modalità di accettazione, elaborazione, archiviazione e trasmissione dei dati delle carte di credito da parte delle attività. Questo standard protegge i dati dei titolari di carta di credito da frodi e furti e deve essere rispettato da tutte le organizzazioni che gestiscono transazioni con carta di credito. Il PCI DSS è gestito dal Payment Card Industry Security Standards Council, fondato dalle principali società di carte di credito come Visa, Mastercard, American Express, Discover e JCB. La conformità al PCI DSS aiuta le attività a ridurre il rischio di violazione dei dati e a garantire la sicurezza delle transazioni con carta di credito.

Requisiti PCI per la conservazione dei dati delle carte

Il PCI DSS descrive in dettaglio i requisiti per le attività in materia di conservazione dei dati delle carte, come ad esempio:

• Limitare l'archiviazione dei dati: conserva solo i dati dei titolari di carta necessari per le esigenze della tua attività. Non archiviare i dati di autenticazione sensibili dopo l'autorizzazione, anche se criptati. Sono dati sensibili la banda magnetica completa, il codice di convalida della carta o il numero di identificazione personale (PIN)/blocco PIN.

• Proteggere i dati archiviati: cripta tutti i dati dei titolari di carta archiviati, compreso il PAN, che deve essere reso illeggibile ovunque sia salvato utilizzando metodi come la crittografia.

• Limitare l'accesso ai dati: l'accesso ai dati dei titolari di carta di credito deve essere limitato alle persone le cui mansioni lo richiedono. Implementa una politica di limitazione dell'accesso alle informazioni in base alla necessità.

• Creare ID univoci: assegna un ID univoco a ogni persona che ha accesso ai dati dei titolari di carta tramite computer. In caso di violazione, questo passaggio aiuta a tracciare le persone che hanno avuto accesso ai dati.

• Proteggere i luoghi fisici: proteggi i luoghi fisici in cui sono conservati i dati dei titolari di carta con misure quali sorveglianza, accesso limitato alle aree di archiviazione dei dati e sistemi di archiviazione sicuri.

• Definire politiche di conservazione ed eliminazione: sviluppa una politica di conservazione dei dati che elimini i dati dei titolari di carta nel momento in cui non sono più necessari. Elimina questo tipo di dati e assicurati che siano irrecuperabili.

• Utilizzare chiavi di crittografia: gestisci e implementa l'uso di una crittografia avanzata e di protocolli di sicurezza come Secure Sockets Layer (SSL)/Transport Layer Security (TLS) o Internet Protocol Security (IPSEC) per salvaguardare i dati sensibili dei titolari di carta durante la trasmissione su reti aperte e pubbliche.

Best practice per la conservazione dei dati delle carte

Le attività possono seguire diverse strade per aderire ai requisiti di conformità alle norme PCI. Potranno usare queste best practice per proteggere i dati delle carte di credito dei clienti e mantenere la conformità alle norme PCI in modo da tutelare l'esperienza degli utenti:

• Ridurre al minimo l'archiviazione dei dati dei titolari di carta: conserva solo le informazioni necessarie sui titolari di carta ed evita di conservare i dati sensibili a meno che non sia assolutamente necessario. Ridurre la quantità di dati archiviati può minimizzare il rischio e semplificare le procedure di conformità.

• Adottare lo standard di crittografia avanzato (AES): utilizza AES con una chiave a 256 bit per crittografare i dati dei titolari di carta archiviati. Questa metodologia è in linea con le attuali best practice e supera i requisiti minimi di conformità.

• Implementare la crittografia end-to-end (E2EE): oltre alle procedure di crittografia di base, implementa E2EE per proteggere i dati dei titolari di carta dal punto di acquisizione fino a quando non raggiungono l'ambiente di elaborazione sicuro.

• Migliorare i meccanismi di controllo degli accessi: usa l'autenticazione a più fattori e controlli di accesso granulari basati sui ruoli per garantire che solo il personale autorizzato possa accedere ai dati sensibili dei titolari di carta, con un chiaro audit trail di tutti gli accessi e delle azioni intraprese.

• Integrare strumenti di prevenzione della perdita di dati (DLP): implementa strategie DLP per monitorare e controllare il trasferimento dei dati, impedendo l'esfiltrazione non autorizzata dei dati e garantendo che i dati dei titolari di carta non vengano conservati o distribuiti in modo improprio.

• Eseguire regolarmente test di sicurezza: per identificare e correggere in modo proattivo i potenziali punti deboli della sicurezza, conduci avanzati test di penetrazione e valutazioni delle vulnerabilità, oltre ai requisiti degli standard PCI DSS.

• Considerare tecniche avanzate di tokenizzazione: valuta la possibilità di utilizzare la tokenizzazione dinamica, in cui i token variano a ogni transazione, per fornire un livello di sicurezza aggiuntivo e ridurre ulteriormente l'utilità dei dati intercettati.

• Usare strumenti di monitoraggio automatico della conformità: usa strumenti automatizzati per monitorare costantemente la conformità agli standard PCI DSS e rilevare e risolvere tempestivamente eventuali deviazioni.

• Utilizzare un'architettura Zero Trust: adotta un framework di sicurezza Zero Trust che presuppone che tutti gli utenti, anche quelli interni all'organizzazione, possano potenzialmente compromettere i dati dei titolari di carta, applicando rigorosi principi di verifica e accesso minimo.

• Esplorare strumenti di crittografia resistenti ai quanti: per proteggere la tua attività dalle minacce emergenti poste dall'informatica quantistica, valuta l'integrazione di algoritmi di crittografia resistenti ai quanti.

• Sviluppare un piano di risposta: definisci un piano di risposta agli incidenti di sicurezza. In caso di violazione dei dati, devi essere in grado di identificare rapidamente il problema, contenere la violazione e ridurre i danni potenziali.

Sfide e soluzioni per la conservazione dei dati delle carte

La conservazione dei dati delle carte è strettamente legata a molti aspetti dell'esperienza del cliente, al modo in cui si accede ai prodotti e ai servizi e al modo in cui il team interno gestisce l'interazione con i dati dei clienti. Anche i sistemi di conservazione dei dati delle carte meglio progettati possono comportare una notevole complessità. Ecco alcune sfide comuni e le relative soluzioni:

Possibilità di crescita

• Sfida: con l'aumento del volume delle transazioni, può essere difficile mantenere alte le prestazioni e la conformità alle norme PCI. I problemi di scalabilità possono influire sull'esperienza del cliente e sull'efficienza operativa.
  
• Soluzione: implementa architetture di database distribuite in grado di gestire elevate velocità di lettura/scrittura, mantenendo la coerenza dei dati e la conformità. Utilizza soluzioni elastiche basate sul cloud in grado di scalare dinamicamente in risposta alle fluttuazioni della domanda, mantenendo le prestazioni senza compromettere la sicurezza.
  

Integrazione di sistemi preesistenti

• Sfida: molte organizzazioni utilizzano sistemi preesistenti che non sono stati progettati per soddisfare gli standard PCI DSS. Questo può creare lacune nella conformità e nella sicurezza.
  
• Soluzione: utilizza livelli di astrazione dei dati o architetture orientate ai servizi per incapsulare i sistemi preesistenti, riducendo al minimo l'accesso diretto ai dati dei titolari di carta. Considera la possibilità di sostituire o modernizzare gradualmente i sistemi preesistenti, ricorrendo a microservizi o alla containerizzazione per migliorare l'agilità e la conformità.
  

Privacy dei dati oltre confine

• Sfida: le normative sulla protezione dei dati variano in base all'area geografica e i requisiti di conformità aumentano per le attività che archiviano i dati dei titolari di carta di credito oltre i confini nazionali.
  
• Soluzione: implementa soluzioni di residenza dei dati che elaborano e archiviano i dati in conformità con le normative locali. Usa un sistema di archiviazione ed elaborazione dei dati basato sulla geolocalizzazione per instradare e archiviare automaticamente i dati in base all'ubicazione del titolare della carta e in conformità con i requisiti di conformità locali.
  

Minacce avanzate alla sicurezza

• Sfida: i malintenzionati evolvono continuamente le loro tattiche, costringendo le organizzazioni a contrastare attacchi informatici sempre più sofisticati e minacce persistenti avanzate (APT) in grado di aggirare le misure di sicurezza convenzionali.
  
• Soluzione: adotta un approccio di sicurezza a più livelli che includa meccanismi avanzati di rilevamento e risposta alle minacce, come l'analisi comportamentale basata sull'intelligenza artificiale, per identificare e mitigare le minacce in tempo reale. Aggiorna regolarmente i piani di risposta agli incidenti e di ripristino di emergenza per affrontare i nuovi tipi di minacce informatiche.
  

Standard di conformità in continua evoluzione

• Sfida: gli standard PCI DSS e i relativi requisiti normativi sono in costante evoluzione, di conseguenza mantenere la conformità può essere una sfida continua.
  
• Soluzione: definisci un programma di monitoraggio continuo della compliance che comprenda il controllo automatico della conformità e strumenti di reportistica. Partecipa a collaborazioni di settore e forum proattivi per seguire le novità sugli standard emergenti e incorporare best practice nella tua strategia di conformità.
  

Qualità e coerenza dei dati

• Sfida: può essere difficile garantire l'integrità e la coerenza dei dati dei titolari di carta in una varietà di sistemi e ambienti di archiviazione, soprattutto nelle architetture distribuite.
  
• Soluzione: implementa framework avanzati di governance dei dati e utilizza strumenti di gestione della qualità dei dati che ne garantiscano l'accuratezza e la coerenza. Usa tecniche di sincronizzazione e replica dei dati che rispettino le proprietà di atomicità, coerenza, isolamento e durabilità (ACID) per mantenere l'integrità dei dati.
  

I vantaggi di Stripe

La collaborazione con Stripe può aiutare le attività a ridurre l'onere della conformità agli standard PCI DSS. L'elaborazione dei pagamenti tramite Stripe evita alle attività di dover gestire direttamente i dati sensibili delle carte, riducendo così la portata delle loro responsabilità in materia di conformità. Stripe è un fornitore di servizi PCI certificato di livello 1, il livello più alto di conformità alle norme PCI, e gestisce la maggior parte delle operazioni di sicurezza dei dati delle carte. Queste funzionalità di Stripe garantiscono la sicurezza dei dati dei titolari di carta e aiutano le attività a mantenere la conformità alle norme PCI:

• Tokenizzazione: il servizio di tokenizzazione di Stripe sostituisce i dati sensibili della carta con identificatori univoci (token), che possono essere memorizzati e utilizzati in modo sicuro per le transazioni senza esporre i dati della carta.

• E2EE: Stripe cripta tutti i dati sensibili dal momento dell'acquisizione fino all'elaborazione all'interno del suo ambiente sicuro. Questa crittografia end-to-end riduce al minimo il rischio di intercettazione dei dati durante la trasmissione.

• Possibilità di crescita: l'infrastruttura di Stripe è basata su una piattaforma cloud progettata per gestire grandi volumi di transazioni senza compromettere le prestazioni. Le attività possono scalare le loro operazioni senza preoccuparsi del mantenimento degli standard di conformità e sicurezza.

• Integrazione con sistemi moderni e preesistenti: Stripe offre un ampio supporto per le API (Application Programming Interface), che ne facilita l'integrazione con i sistemi moderni e preesistenti. Questa flessibilità aiuta le attività a modernizzare le procedure di elaborazione dei pagamenti senza la necessità di effettuare ampie revisioni dei sistemi esistenti.

• Monitoraggio e aggiornamenti continui: Stripe monitora continuamente i propri sistemi per individuare eventuali minacce e aggiorna regolarmente le misure di sicurezza per affrontare le vulnerabilità emergenti. Le funzionalità di sicurezza includono algoritmi di machine learning che rilevano e prevengono le frodi.

• Conformità globale: Stripe opera a livello internazionale e può aiutare le attività a gestire le complessità della residenza dei dati e della conformità locale oltre i confini nazionali.

• Governance dei dati: l'infrastruttura di Stripe supporta l'integrità e la coerenza dei dati.

Affidandosi a Stripe per gestire la maggior parte delle responsabilità relative alla conservazione sicura dei dati delle carte, alla crittografia dei dati, alla conformità e alla possibilità di crescita, le attività possono dedicare più tempo alle operazioni più importanti. Scopri di più sugli standard di sicurezza di Stripe.