Om kaartgegevens van klanten legaal en veilig op te slaan, moeten ondernemingen geavanceerde encryptie of tokenisatie gebruiken om de gegevens van kaarthouders te beschermen, zodat gevoelige informatie nooit wordt bewaard na autorisatie. Dit proces is wereldwijd strikt gereguleerd door de Payment Card Industry Data Security Standard (PCI DSS), een verplichte reeks beveiligingsframeworks die door grote kaartnetwerken is opgesteld om datalekken en financiële fraude te voorkomen.

Creditcardfraude is een ernstig en veelvoorkomend probleem: in de Verenigde Staten is bijvoorbeeld 61% van de creditcardhouders slachtoffer geworden van fraude. Voor ondernemingen is de veilige opslag van kaartgegevens van klanten een belangrijke beveiliging tegen fraude.

Wat staat er in dit artikel?

• Hoe werkt kaartopslag?
  
• Wat is PCI DSS-compliance?
  
• PCI-vereisten voor kaartopslag
  
• Best practices voor kaartopslag
  
• Uitdagingen en oplossingen voor kaartopslag
  
• Hoe Stripe kan helpen
  

Hoe werkt het opslaan van betaalkaarten?

Opslag van betaalkaarten verwijst naar het bewaren van betaalkaartgegevens van klanten door ondernemingen, inclusief nummers van creditcards en debitcards en bijbehorende identificatiegegevens. De vier gegevenscategorieën die ondernemingen doorgaans opslaan, zijn de naam van de kaarthouder, het primaire accountnummer (PAN), de vervaldatum en de servicecode.

Ondernemingen kunnen kiezen uit verschillende systemen voor opslag van betaalkaarten en deze omvatten doorgaans componenten zoals speciale systemen voor gegevensopslag, technieken voor encryptie en tokenisatie en tools voor data loss prevention (DLP).

Het intern beheren van betaalgegevens stelt een organisatie bloot aan zware juridische aansprakelijkheden, dure beveiligingsaudits en mogelijke merkschade als er een inbreuk plaatsvindt. Daarom isoleert de moderne digitale handel gevoelige financiële gegevens met behulp van een driedelig raamwerk dat het risico weghaalt bij het interne netwerk van de onderneming:

• Onderschepping: Veilige tekstvelden (zoals iFrames) worden rechtstreeks op de afrekenpagina ingesloten. Ze onderscheppen onbewerkte kaartgegevens op het moment van invoer, zodat ze de webservers van de onderneming volledig omzeilen.

• Tokenisatie: De betalingsverwerker vergrendelt de echte kaartgegevens in een externe, zwaar beveiligde digitale kluis en genereert een gerandomiseerde, onhackbare tijdelijke aanduiding, een token.

• Opslag: De onderneming slaat alleen dit onschadelijke token op in de klantendatabase en stuurt het terug naar de verwerker om toekomstige transacties veilig te autoriseren, zonder ooit onbewerkte financiële gegevens te verwerken.

Wat is PCI DSS-compliance?

De PCI DSS is een reeks beveiligingsnormen die bepalen hoe ondernemingen informatie over creditcards mogen accepteren, verwerken, opslaan en verzenden. Deze norm beschermt gegevens van kaarthouders tegen fraude en diefstal en elke organisatie die creditcardtransacties verwerkt, moet zich hieraan houden. De PCI DSS wordt beheerd door de Payment Card Industry Security Standards Council, opgericht door grote creditcardmaatschappijen als Visa, Mastercard, American Express, Discover en JCB. Door te voldoen aan de PCI DSS kunnen ondernemingen het risico op datalekken verminderen en zorgen ze ervoor dat hun kaarttransacties veilig zijn.

Strikt genomen is PCI DSS geen wet. Er zijn geen wettelijke vereisten voor compliance. Het is een door de branche ontwikkelde beveiligingsstandaard. Het is echter een grote fout om het louter te zien als een vrijwillige aanbeveling in de branche. PCI DSS functioneert als een verplichte contractuele vereiste.

De privaatrechtelijke vereisten worden rechtstreeks opgenomen in de verkopersovereenkomsten en algemene voorwaarden voor bedrijven die elke onderneming moet ondertekenen met betalingsverwerkers, accepterende banken en verkopersnetwerken voordat ze elektronische betalingen kunnen accepteren. Als je creditcards wilt verwerken, ben je contractueel gebonden om deze standaarden te handhaven.

PCI-vereisten voor het opslaan van betaalkaarten

De PCI DSS beschrijft vereisten voor ondernemingen met betrekking tot het opslaan van betaalkaarten, zoals:

• Gegevensopslag beperken: Sla uitsluitend gegevens van de kaarthouder op die nodig zijn voor bedrijfsdoeleinden. Sla na autorisatie geen gevoelige authenticatiegegevens op, zelfs niet als deze zijn versleuteld. Dit omvat gegevens zoals de volledige magneetstrip, kaartverificatiecode of persoonlijk identificatienummer (pincode)/pinblok.

• Opgeslagen gegevens beschermen: Versleutel alle opgeslagen gegevens van de kaarthouder, inclusief het PAN, dat onleesbaar moet worden gemaakt waar het ook wordt opgeslagen, met behulp van methoden zoals cryptografie.

• Toegang tot gegevens beperken: De toegang tot gegevens van de kaarthouder moet worden beperkt tot personen die deze toegang nodig hebben voor hun werk. Hanteer een 'need-to-know'-beleid dat de toegang beperkt.

• Unieke ID's maken: Wijs een unieke ID toe aan elke persoon met computertoegang tot gegevens van de kaarthouder. Na een datalek helpt dit traceren wie er toegang heeft gehad tot de gegevens.

• Fysieke locaties beschermen: Bescherm de fysieke locaties waar de gegevens van de kaarthouder zijn opgeslagen. Dit omvat maatregelen zoals toezicht, beperkte toegang tot gegevensopslagruimten en veilige opslagsystemen.

• Bewaar- en verwijderingsbeleid instellen: Ontwikkel een bewaarbeleid voor gegevens waarmee gegevens van de kaarthouder worden verwijderd zodra deze niet meer nodig zijn. Verwijder dat type gegevens en zorg ervoor dat deze niet kunnen worden hersteld.

• Versleutelingssleutels gebruiken: Beheer en implementeer het gebruik van krachtige cryptografie en beveiligingsprotocollen zoals Secure Sockets Layer (SSL) / Transport Layer Security (TLS) of Internet Protocol Security (IPSEC) om gevoelige gegevens van de kaarthouder te beveiligen tijdens de overdracht via openbare netwerken.

Best practices voor het opslaan van betaalkaarten

Ondernemingen kunnen vele wegen bewandelen om aan de PCI-compliancevereisten te voldoen. Deze best practices helpen ondernemingen om de kaartgegevens van hun klanten te beschermen en de PCI-compliance te handhaven op een manier die de gebruikerservaring beschermt:

• Gegevensopslag van de kaarthouder minimaliseren: Sla alleen de vereiste kaartinformatie op voor terugkerende facturatie en bewaar geen gevoelige gegevens, tenzij dit absoluut noodzakelijk is. Gebruik een gespecialiseerde API (Application Programming Interface) voor klantbetalingen zonder kaarten op te slaan. Door de hoeveelheid opgeslagen gegevens te verminderen, verlaag je de risico's en vereenvoudig je de compliance-inspanningen.

• Advanced Encryption Standard (AES) implementeren: Gebruik AES met een 256-bits sleutel voor de encryptie bij het opslaan van creditcardnummers in een database. Deze methode is in overeenstemming met de huidige best practices en overtreft de minimale compliance-vereisten.

• End-to-end encryptie (E2EE) implementeren: Naast de basispraktijken voor encryptie moet je ook E2EE inzetten om de gegevens van de kaarthouder te beschermen vanaf het moment van vastleggen tot de gegevens de beveiligde verwerkingsomgeving bereiken.

• Mechanismen voor toegangscontrole verbeteren: Maak gebruik van meervoudige authenticatie en granulaire rolgebaseerde toegangscontroles om ervoor te zorgen dat alleen geautoriseerd personeel toegang heeft tot gevoelige gegevens van de kaarthouder. Zorg voor een duidelijk controlespoor voor alle toegang en genomen maatregelen.

• DLP-tools integreren: Implementeer DLP-strategieën om het doorsturen van gegevens te monitoren en controleren. Hiermee voorkom je ongeautoriseerde gegevensexfiltratie en zorg je ervoor dat gegevens van de kaarthouder niet onjuist worden opgeslagen of gedistribueerd.

• Regelmatig beveiligingstesten uitvoeren: Om proactief potentiële beveiligingsproblemen te identificeren en op te lossen, voer je geavanceerde penetratietesten en kwetsbaarheidsbeoordelingen uit die verder gaan dan de standaard PCI DSS-vereisten. Maak een PCI-checklist voor ontwikkelaars.

• Geavanceerde tokenisatietechnieken overwegen: Overweeg het gebruik van dynamische tokenisatie, waarbij de tokens per transactie verschillen. Dit biedt een extra beveiligingslaag en vermindert het nut van onderschepte gegevens.

• Geautomatiseerde compliance-monitoring inzetten: Gebruik geautomatiseerde tools om continu de compliance met PCI DSS-normen te monitoren en afwijkingen direct op te sporen en aan te pakken.

• Een Zero Trust-architectuur gebruiken: Hanteer een Zero Trust-beveiligingsframework dat ervan uitgaat dat alle gebruikers, zelfs binnen de organisatie, de gegevens van de kaarthouder in gevaar kunnen brengen. Dwing strikte verificatie en de principes voor minimale toegang af.

• Kwantumbestendige cryptografietools onderzoeken: Om je te beschermen tegen nieuwe bedreigingen door quantumcomputing kun je de integratie van kwantumbestendige cryptografische algoritmen onderzoeken.

• Een responsplan opstellen: Zorg voor een responsplan voor veiligheidsincidenten. Als zich een datalek voordoet, moet je het probleem snel kunnen identificeren, het lek inperken en mogelijke schade beperken.

Uitdagingen en oplossingen bij het opslaan van betaalkaarten

Kaartopslag is nauw verbonden met veel aspecten van de klantervaring, de toegang tot producten en diensten, en de manier waarop het interne team omgaat met klantgegevens. Zelfs de best ontworpen systemen voor kaartopslag zorgen voor een aanzienlijke mate van complexiteit. Hieronder volgen enkele veelvoorkomende uitdagingen en hun oplossingen:

Kaartopslag ontwerpen die meegroeit met de transactiegroei

• Uitdaging: Naarmate het aantal transacties toeneemt, kan het moeilijk zijn om de prestaties en PCI-compliance op een hoog peil te houden. Problemen met de schaalbaarheid kunnen de klantervaring en operationele efficiëntie beïnvloeden.
  
• Oplossing: Implementeer gedistribueerde databasearchitecturen die hoge lees-/schrijfdoorvoeren aankunnen en tegelijkertijd de consistentie van gegevens en compliance handhaven. Gebruik flexibele cloudgebaseerde oplossingen die dynamisch kunnen reageren op veranderende vraag en de prestaties op peil houden zonder de beveiliging in gevaar te brengen.
  

Verouderde systemen moderniseren met behoud van PCI-compliance

• Uitdaging: Veel organisaties maken gebruik van verouderde systemen die niet zijn ontworpen om te voldoen aan de PCI DSS-normen. Dit kan leiden tot tekortkomingen op het gebied van compliance en beveiliging.
  
• Oplossing: Gebruik databstractielagen of servicegerichte architecturen om verouderde systemen te isoleren, zodat de directe toegang tot gegevens van kaarthouders wordt geminimaliseerd. Overweeg verouderde systemen op den duur te vervangen of te moderniseren met behulp van microservices of containerisatie om de wendbaarheid en compliance te verbeteren.
  

Grensoverschrijdende kaartgegevens en regionale privacyvereisten beheren

• Uitdaging: Verschillende regio's hanteren verschillende regels voor gegevensbescherming en de compliance-vereisten voor ondernemingen nemen toe wanneer zij gegevens van kaarthouders grensoverschrijdend opslaan.
  
• Oplossing: Implementeer oplossingen voor datalocatie om gegevens te verwerken en op te slaan in overeenstemming met de lokale regelgeving. Gebruik locatiegebaseerde gegevensopslag en -verwerking om gegevens automatisch door te sturen en op te slaan op basis van de locatie van de kaarthouder en conform de regionale compliance-vereisten.
  

Verdedigen tegen geavanceerde beveiligingsbedreigingen

• Uitdaging: Omdat aanvallers voortdurend hun tactieken wijzigen, moeten organisaties zich verweren tegen steeds geavanceerdere cyberaanvallen en aanhoudende bedreigingen (APT's) die conventionele beveiligingsmaatregelen kunnen omzeilen.
  
• Oplossing: Hanteer een gelaagde beveiligingsaanpak met geavanceerde mechanismen voor de detectie van en respons op bedreigingen, zoals AI-gestuurde gedragsanalyses om bedreigingen in realtime te identificeren en te beperken. Werk de plannen voor respons op incidenten en noodherstel regelmatig bij om nieuwe soorten cyberbedreigingen aan te pakken.
  

Compliant blijven nu PCI DSS-normen veranderen

• Uitdaging: PCI DSS-normen en gerelateerde wettelijke vereisten veranderen voortdurend en het kan een doorlopende uitdaging zijn om compliant te blijven.
  
• Oplossing: Stel een continu monitoringsprogramma voor compliance in dat gebruikmaakt van geautomatiseerde tracking en rapportagetools voor compliance. Neem proactief deel aan brancheforums en samenwerkingsverbanden om nieuwe standaarden voor te blijven en best practices te integreren in de compliancestrategie.
  

Zorgen voor nauwkeurige, consistente kaartgegevens in alle systemen

• Uitdaging: Het kan lastig zijn om de integriteit en consistentie van de gegevens van kaarthouders in verschillende systemen en opslagomgevingen te waarborgen, met name in gedistribueerde architecturen.
  
• Oplossing: Implementeer krachtige frameworks voor databeheer en gebruik tools voor datakwaliteitsbeheer om de nauwkeurigheid en consistentie van gegevens te handhaven. Gebruik technieken voor gegevenssynchronisatie en replicatie die voldoen aan de ACID-eigenschappen (atomiciteit, consistentie, isolatie en duurzaamheid) om de gegevensintegriteit te behouden.
  

Hoe Stripe kan helpen

Samenwerken met Stripe kan ondernemingen helpen de last van PCI DSS-compliance te verlagen. Door betalingen via Stripe te verwerken, verwerken ondernemingen geen gevoelige kaartgegevens rechtstreeks. In plaats daarvan gebruikt Stripe verschillende geavanceerde beveiligingsfuncties om betaalgegevens te beschermen, waardoor de scope van de complianceverantwoordelijkheden van een onderneming wordt beperkt. Stripe is een gecertificeerde PCI-dienstverlener niveau 1, het hoogste niveau van PCI-compliance, en handelt de meeste beveiligingstaken voor kaartgegevens af. Deze functies van Stripe houden de gegevens van de kaarthouder veilig en helpen ondernemingen PCI-compliant te blijven:

• Tokenisatie: De tokenisatieservice van Stripe vervangt gevoelige kaartgegevens door unieke ID's (tokens), die veilig kunnen worden opgeslagen en gebruikt voor transacties zonder de kaartgegevens bloot te stellen.

• E2EE: Stripe versleutelt alle gevoelige gegevens vanaf het moment van vastleggen totdat deze binnen de veilige omgeving worden verwerkt. Deze end-to-end-encryptie minimaliseert het risico dat gegevens tijdens de overdracht worden onderschept.

• Schaalbaarheid: De infrastructuur van Stripe is gebouwd op een cloudplatform dat is ontworpen om grote volumes transacties te verwerken zonder dat dit ten koste gaat van de prestaties. Ondernemingen kunnen hun operationele activiteiten laten groeien zonder zich zorgen te hoeven maken over de handhaving van compliance en beveiligingsstandaarden.

• Integratie met moderne en oudere systemen: Stripe biedt uitgebreide ondersteuning voor application programming interfaces (API's), waardoor ze eenvoudig kunnen worden geïntegreerd met moderne en oudere systemen. Met deze flexibiliteit kunnen ondernemingen hun betalingsverwerking moderniseren zonder bestaande systemen ingrijpend te hoeven herzien.

• Continue monitoring en updates: Stripe controleert de systemen continu op bedreigingen en updatet de beveiligingsmaatregelen regelmatig om nieuwe kwetsbaarheden aan te pakken. Beveiligingsfuncties omvatten machine-learning-algoritmen die fraude detecteren en voorkomen.

• Wereldwijde compliance: Stripe is wereldwijd actief en kan ondernemingen helpen bij de complexiteit van dataretentie en regionale compliance over de grens.

• Databeheer: De infrastructuur van Stripe ondersteunt gegevensintegriteit en -consistentie.

Door op Stripe te vertrouwen voor het beheer van de meeste verantwoordelijkheden met betrekking tot veilige opslag van betaalkaarten, data-encryptie, compliance en schaalbaarheid, kunnen ondernemingen meer tijd besteden aan hun kernactiviteiten. Lees meer over de beveiligingsstandaarden van Stripe Billing.