Per archiviare le informazioni sulle carte dei clienti in modo legale e sicuro, le attività devono utilizzare tecnologie avanzate di crittografia o tokenizzazione per proteggere i dati del titolare della carta, garantendo che le informazioni sensibili non vengano mai conservate dopo l'autorizzazione. Questo processo è rigorosamente regolamentato a livello globale dal Payment Card Industry Data Security Standard (PCI DSS), un insieme obbligatorio di framework di sicurezza stabiliti dai principali circuiti delle carte di credito per prevenire le violazioni dei dati e le frodi finanziarie.

Le frodi con carta di credito sono un problema grave e diffuso: negli Stati Uniti, ad esempio, il 61% dei titolari di carta di credito è stato vittima di frode. Per le attività, l'archiviazione sicura dei dati delle carte dei clienti è un'importante misura di salvaguardia contro le frodi.

Contenuto dell'articolo

• Come funziona il salvataggio delle carte?
  
• Cos'è la conformità alle norme PCI DSS?
  
• Requisiti PCI per il salvataggio delle carte
  
• Best practice per il salvataggio delle carte
  
• Problemi e soluzioni relativi al salvataggio delle carte
  
• In che modo Stripe può esserti d'aiuto
  

Come funziona la conservazione dei dati delle carte?

L'archiviazione dei dati della carta si riferisce alla conservazione da parte delle attività delle informazioni sulle carte di pagamento dei clienti, inclusi i numeri delle carte di credito e di debito e i dettagli identificativi associati. Le quattro categorie di dati che le attività in genere salvano sono il nome del titolare della carta, il numero di conto principale (PAN), la data di scadenza e il codice di servizio.

Le attività possono scegliere tra una varietà di sistemi per l'archiviazione della carta, che in genere comportano componenti quali sistemi di archiviazione dei dati dedicati, tecniche di crittografia e tokenizzazione e strumenti di prevenzione della perdita di dati (DLP).

La gestione interna delle credenziali di pagamento espone un'organizzazione a gravi responsabilità di carattere giuridico, costosi controlli di sicurezza e potenziali danni al marchio in caso di violazione. Per questo motivo, il commercio digitale moderno isola i dati finanziari sensibili utilizzando una struttura in tre parti che allontana il rischio dalla rete interna dell'attività:

• Intercettazione: campi di testo sicuri (come gli iFrame) si incorporano direttamente nella pagina di checkout, intercettando i dati grezzi della carta al momento dell'inserimento in modo da bypassare completamente i server web dell'attività.

• Tokenizzazione: l'elaboratore del pagamento blocca i dati della carta reali all'interno di un deposito digitale esterno e fortemente fortificato, generando una stringa segnaposto casuale e non hackerabile chiamata token.

• Archiviazione: l'attività salva solo questo innocuo token all'interno del database dei clienti, passandolo di nuovo al responsabile del trattamento dei dati per autorizzare in modo sicuro le transazioni future senza mai gestire dati finanziari grezzi.

Che cos'è la conformità alle norme PCI DSS

Il PCI DSS è un insieme di standard di sicurezza che regolano il modo in cui le attività devono accettare, elaborare, archiviare e trasmettere le informazioni relative alle carte di credito. Questo standard protegge i dati del titolare della carta da frodi e furti e qualsiasi organizzazione che gestisca transazioni con carta di credito deve rispettarlo. Il PCI DSS è gestito dal Payment Card Industry Security Standards Council, fondato dalle principali società di carte di credito come Visa, Mastercard, American Express, Discover e JCB. Conformarsi al PCI DSS aiuta le attività a ridurre il rischio di violazioni dei dati e a garantire che le transazioni con carta siano sicure.

A rigor di termini, il PCI DSS non è una legge. Non ci sono requisiti di carattere giuridico per la compliance. Si tratta invece di uno standard di sicurezza sviluppato dal settore. Tuttavia, considerarlo puramente come una raccomandazione volontaria del settore è un errore critico. Il PCI DSS funziona come un requisito contrattuale obbligatorio.

I requisiti di carattere giuridico privato sono scritti direttamente negli accordi con gli esercenti e nei Termini di servizio aziendali che ogni attività deve firmare con i processori di pagamento, le banche acquirenti e le reti di esercenti prima di poter accettare pagamenti elettronici. Se desideri elaborare carte di credito, sei vincolato dal contratto a mantenere questi standard.

Requisiti PCI per la conservazione dei dati delle carte

Il PCI DSS descrive in dettaglio i requisiti per le attività in materia di conservazione dei dati delle carte, come ad esempio:

• Limita l'archiviazione dei dati: archivia solo i dati del titolare della carta necessari per le esigenze dell'attività. Non archiviare dati di autenticazione sensibili dopo l'autorizzazione, anche se protetti da crittografia. Questo include dati come l'intera banda magnetica, il codice di convalida della carta o il numero di identificazione personale (PIN)/blocco PIN.

• Proteggi i dati salvati: cripta tutti i dati del titolare della carta salvati, incluso il PAN, che deve essere reso illeggibile ovunque sia archiviato utilizzando metodi come la crittografia.

• Limita l'accesso ai dati: l'accesso ai dati del titolare della carta deve essere limitato alle persone per cui tale accesso è necessario ai fini del proprio lavoro. Implementa una policy basata sulla necessità di sapere che limiti l'accesso.

• Crea ID univoci: assegna un ID univoco a ogni persona che ha accesso informatico ai dati del titolare della carta. In seguito a una violazione dei dati, questo aiuta a tracciare chi vi ha avuto accesso.

• Proteggi i luoghi fisici: proteggi le località fisiche in cui sono archiviati i dati del titolare della carta. Ciò include misure come la sorveglianza, l'accesso con limitazioni alle aree di archiviazione dei dati e sistemi di archiviazione sicuri.

• Definisci policy di conservazione e smaltimento: sviluppa una policy di conservazione dei dati che elimini i dati del titolare della carta non appena non sono più necessari. Elimina quel tipo di dati e assicurati che non siano recuperabili.

• Utilizza chiavi di crittografia: gestisci e implementa l'uso di una crittografia avanzata e di protocolli di sicurezza come Secure Sockets Layer (SSL) / Transport Layer Security (TLS) o Internet Protocol Security (IPSEC) per salvaguardare i dati sensibili del titolare della carta durante la trasmissione su reti aperte e pubbliche.

Best practice per la conservazione dei dati delle carte

Le attività possono seguire diverse strade per aderire ai requisiti di conformità alle norme PCI. Potranno usare queste best practice per proteggere i dati delle carte di credito dei clienti e mantenere la conformità alle norme PCI in modo da tutelare l'esperienza degli utenti:

• Riduci al minimo l'archiviazione dei dati del titolare della carta: archivia solo le informazioni del titolare della carta richieste per l'addebito ricorrente ed evita di conservare dati sensibili a meno che non sia assolutamente necessario. Utilizza un'interfaccia di programmazione delle applicazioni (API) specializzata per i pagamenti dei clienti senza memorizzare le carte. Ridurre la quantità di dati salvati può minimizzare i rischi e semplificare le attività di compliance.

• Adotta l'Advanced Encryption Standard (AES): utilizza l'AES con una chiave a 256 bit per la crittografia durante l'archiviazione dei numeri di carta di credito in un database. Questa metodologia è in linea con le attuali best practice e supera i requisiti minimi di compliance.

• Implementa la crittografia end-to-end (E2EE): oltre alle pratiche di crittografia di base, implementa l'E2EE per salvaguardare i dati del titolare della carta dal momento dell'acquisizione fino al raggiungimento dell'ambiente di elaborazione sicuro.

• Migliora i meccanismi di controllo degli accessi: utilizza l'autenticazione a più fattori e controlli di accesso granulari basati sui ruoli per garantire che solo il personale autorizzato possa accedere ai dati sensibili del titolare della carta. Mantieni un audit trail chiaro per tutti gli accessi e le azioni eseguite.

• Integra strumenti DLP: implementa strategie DLP per monitorare e controllare il trasferimento dati, prevenendo l'esfiltrazione non autorizzata di dati e garantendo che i dati del titolare della carta non vengano archiviati o distribuiti in modo improprio.

• Conduci test di sicurezza regolari: per identificare e risolvere in modo proattivo potenziali debolezze nella sicurezza, conduci sofisticati test di penetrazione e valutazioni delle vulnerabilità che vadano oltre i requisiti standard del PCI DSS. Crea una checklist PCI per gli sviluppatori.

• Prendi in considerazione tecniche avanzate di tokenizzazione: valuta l'utilizzo della tokenizzazione dinamica, in cui i token variano a ogni transazione, per fornire un ulteriore livello di sicurezza e ridurre ulteriormente l'utilità dei dati intercettati.

• Impiega il monitoraggio automatizzato della compliance: utilizza strumenti automatizzati per monitorare continuamente la compliance agli standard PCI DSS e rilevare e affrontare tempestivamente eventuali deviazioni.

• Utilizza un'architettura Zero-Trust: adotta un framework di sicurezza Zero-Trust che presupponga che tutti gli utenti, anche quelli all'interno dell'organizzazione, possano potenzialmente compromettere i dati del titolare della carta. Applica principi di verifica rigorosi e di accesso minimo.

• Esplora strumenti di crittografia resistenti ai quanti: per proteggerti dalle minacce emergenti poste dall'informatica quantistica, esplora l'integrazione di algoritmi crittografici resistenti ai quanti.

• Sviluppa un piano di risposta: tieni a disposizione un piano per rispondere agli incidenti di sicurezza. In caso di violazione dei dati, dovresti essere in grado di identificare rapidamente il problema, contenere la violazione e mitigare eventuali danni.

Sfide e soluzioni per la conservazione dei dati delle carte

Il salvataggio dei dati delle carte è strettamente legato a molti aspetti dell'esperienza del cliente, alle modalità di accesso a prodotti e servizi e a come il team interno gestisce l'interazione con i dati dei clienti. Anche i sistemi di salvataggio delle carte meglio progettati generano una notevole complessità. Ecco alcuni problemi comuni e le relative soluzioni:

Progettare un sistema di salvataggio delle carte in grado di adattarsi all'aumento delle transazioni

• Problema: con l'aumento dei volumi delle transazioni, può essere difficile mantenere prestazioni elevate e la conformità alle norme PCI. I problemi legati alla possibilità di crescita possono incidere sull'esperienza del cliente e sull'efficienza operativa.
  
• Soluzione: implementa architetture di database distribuite in grado di gestire un'elevata capacità di lettura/scrittura mantenendo la coerenza dei dati e la compliance. Utilizza soluzioni flessibili basate sul cloud che possano rispondere dinamicamente alle fluttuazioni della domanda e mantenere le prestazioni senza compromettere la sicurezza.
  

Modernizzare i sistemi legacy mantenendo la conformità alle norme PCI

• Problema: molte organizzazioni utilizzano sistemi legacy non progettati per soddisfare gli standard PCI DSS. Questo può creare lacune nella compliance e nella sicurezza.
  
• Soluzione: utilizza livelli di astrazione dei dati o architetture orientate ai servizi per incapsulare i sistemi legacy, riducendo al minimo l'accesso diretto ai dati del titolare della carta. Valuta la possibilità di sostituire o modernizzare i sistemi legacy nel tempo utilizzando microservizi o containerizzazione per migliorare l'agilità e la compliance.
  

Gestire i dati delle carte transfrontalieri e i requisiti di privacy regionali

• Problema: le diverse aree geografiche hanno normative diverse sulla protezione dei dati e i requisiti di compliance aumentano per le attività quando archiviano i dati del titolare della carta a livello transfrontaliero.
  
• Soluzione: implementa soluzioni di residenza dei dati che elaborano e archiviano i dati in conformità con le normative locali. Utilizza l'archiviazione e l'elaborazione dei dati basate sulla geolocalizzazione per instradare e archiviare automaticamente i dati in base alla posizione del titolare della carta e nel rispetto dei requisiti di compliance regionali.
  

Difendersi dalle minacce informatiche avanzate

• Problema: poiché gli aggressori cambiano continuamente tattica, le organizzazioni devono contrastare attacchi informatici sempre più sofisticati e minacce persistenti avanzate (APT) che possono eludere le misure di sicurezza convenzionali.
  
• Soluzione: adotta un approccio di sicurezza a più livelli che includa meccanismi avanzati di rilevamento e risposta alle minacce, come l'analisi comportamentale basata sull'intelligenza artificiale, per identificare e mitigare le minacce in tempo reale. Aggiorna regolarmente i piani di risposta agli incidenti e di disaster recovery per affrontare i nuovi tipi di minacce informatiche.
  

Mantenere la conformità con l'evoluzione degli standard PCI DSS

• Problema: gli standard PCI DSS e i relativi requisiti normativi sono in continua evoluzione e mantenere la conformità può rappresentare una sfida continua.
  
• Soluzione: stabilisci un programma di monitoraggio della compliance continuo che utilizzi strumenti automatici di monitoraggio e strumenti di reportistica della compliance. Partecipa attivamente a forum e collaborazioni del settore per anticipare gli standard emergenti e integrare le best practice nella tua strategia di compliance.
  

Garantire dati delle carte accurati e coerenti tra i sistemi

• Problema: può essere difficile garantire l'integrità e la coerenza dei dati del titolare della carta in diversi sistemi e ambienti di archiviazione, in particolare nelle architetture distribuite.
  
• Soluzione: implementa solidi framework di governance dei dati e utilizza strumenti di gestione della qualità dei dati che ne mantengano l'accuratezza e la coerenza. Utilizza tecniche di sincronizzazione e replica dei dati che rispettino le proprietà di atomicità, coerenza, isolamento e durabilità (ACID) per mantenere l'integrità dei dati.
  

In che modo Stripe può essere d'aiuto

L'utilizzo di Stripe può aiutare le attività a ridurre l'onere della compliance allo standard PCI DSS. Elaborando i pagamenti tramite Stripe, le attività non gestiscono direttamente i dati sensibili della carta. Al contrario, Stripe utilizza una serie di funzionalità di sicurezza avanzate per proteggere i dati di pagamento, riducendo l'ambito delle responsabilità in materia di compliance di un'attività. Stripe è un fornitore di servizi PCI certificato di livello 1, il livello più alto di conformità alle norme PCI, e gestisce la maggior parte delle attività di sicurezza relative ai dati della carta. Queste funzionalità di Stripe proteggono i dati del titolare della carta e aiutano le attività a mantenere la conformità alle norme PCI:

• Tokenizzazione: il servizio di tokenizzazione di Stripe sostituisce i dati sensibili della carta con identificatori univoci (token), che possono essere salvati e utilizzati in modo sicuro per le transazioni senza esporre i dati della carta.

• E2EE: Stripe crittografa tutti i dati sensibili dal momento dell'acquisizione del pagamento fino alla loro elaborazione all'interno del suo ambiente sicuro. Questa crittografia end-to-end riduce al minimo il rischio che i dati vengano intercettati durante la trasmissione.

• Possibilità di crescita: l'infrastruttura di Stripe si basa su una piattaforma cloud progettata per gestire grandi volumi di transazioni senza compromettere le prestazioni. Le attività possono espandersi senza preoccuparsi di mantenere gli standard di compliance e sicurezza.

• Integrazione con sistemi moderni e legacy: Stripe offre un'ampia assistenza per le application programming interface (API), semplificando l'integrazione con sistemi moderni e preesistenti. Questa flessibilità aiuta le attività a modernizzare l'elaborazione dei pagamenti senza la necessità di ampie revisioni dei sistemi esistenti.

• Monitoraggio e aggiornamenti continui: Stripe monitora costantemente i propri sistemi alla ricerca di minacce e aggiorna regolarmente le proprie misure di sicurezza per far fronte alle nuove vulnerabilità. Le funzionalità di sicurezza includono algoritmi di machine learning che rilevano e prevengono le frodi.

• Compliance globale: Stripe opera a livello globale e può aiutare le attività a gestire la complessità della residenza dei dati e della compliance regionale a livello internazionale.

• Governance dei dati: l'infrastruttura di Stripe supporta l'integrità e la coerenza dei dati.

Affidandosi a Stripe per la gestione della maggior parte delle responsabilità relative all'archiviazione sicura della carta, alla crittografia dei dati, alla compliance e alla possibilità di crescita, le attività possono dedicare più tempo alle operazioni principali. Scopri di più sugli standard di sicurezza di Stripe Billing.