Het opslaan van creditcardgegevens van klanten is een vereiste voor bijna alle ondernemingen, maar het vinden van de beste manier om dit te doen is niet altijd eenvoudig. Er gelden specifieke vereisten en voorschriften met betrekking tot de opslag van betaalkaarten. Ondernemingen moeten de regels naleven zonder dat dit ten koste gaat van de klantervaring of hun eigen operationele efficiëntie. Creditcardfraude is een ernstig en veelvoorkomend probleem: in de Verenigde Staten is bijvoorbeeld 65% van de creditcardhouders het slachtoffer geworden van fraude. Voor ondernemingen is het veilig opslaan van betaalkaartgegevens een belangrijke bescherming tegen fraude.

Hieronder behandelen we de Payment Card Industry Data Security Standard (PCI DSS), de primaire beveiligingsstandaard voor de opslag van betaalkaarten van klanten. Ook beschrijven we de best practices die ondernemingen kunnen toepassen om creditcardgegevens van klanten veilig en efficiënt op te slaan.

Wat staat er in dit artikel?

• Hoe werkt het opslaan van betaalkaarten?
  
• Wat is de PCI DSS?
  
• PCI-vereisten voor het opslaan van betaalkaarten
  
• Best practices voor het opslaan van betaalkaarten
  
• Uitdagingen en oplossingen bij het opslaan van betaalkaarten
  
• Hoe Stripe kan helpen
  

Hoe werkt het opslaan van betaalkaarten?

Het opslaan van betaalkaarten verwijst naar het bewaren door ondernemingen van betaalkaartgegevens van klanten, waaronder nummers van creditcards en debitcards en de bijbehorende identificatiegegevens. De vier categorieën gegevens die ondernemingen doorgaans opslaan, zijn de naam van de kaarthouder, het primaire rekeningnummer (PAN), de vervaldatum en de servicecode.

Ondernemingen kunnen kiezen uit verschillende systemen voor het opslaan van betaalkaarten, waaronder componenten zoals speciale systemen voor gegevensopslag, encryptie, technieken voor tokenisatie en DLP-tools (Data Loss Prevention).

Wat is de PCI DSS?

De PCI DSS is een verzameling beveiligingsnormen die bepalen hoe ondernemingen creditcardgegevens accepteren, verwerken, bewaren en verzenden. Deze norm beschermt kaarthoudergegevens tegen fraude en diefstal. Elke organisatie die creditcardtransacties afhandelt, moet zich hieraan houden. Het PCI DSS wordt beheerd door de Payment Card Industry Security Standards Council, die is opgericht door grote creditcardmaatschappijen zoals Visa, Mastercard, American Express, Discover en JCB. Compliance met PCI DSS helpt ondernemingen het risico op gegevenslekken te verminderen en ervoor te zorgen dat hun kaarttransacties veilig zijn.

PCI-vereisten voor het opslaan van betaalkaarten

De PCI DSS beschrijft vereisten voor ondernemingen met betrekking tot het opslaan van betaalkaarten, zoals:

• Beperk de gegevensopslag: Sla alleen kaarthoudergegevens op die nodig zijn voor zakelijke behoeften. Sla na autorisatie geen gevoelige authenticatiegegevens op, zelfs niet als ze versleuteld zijn. Dit omvat gegevens zoals de volledige magneetstrip, kaartvalidatiecode of persoonlijk identificatienummer (PIN)/PIN-blok.

• Bescherm de opgeslagen gegevens: Versleutel alle opgeslagen kaarthoudergegevens, inclusief het PAN, die met behulp van methoden zoals cryptografie overal waar ze zijn opgeslagen onleesbaar moeten worden gemaakt.

• Beperk de toegang tot gegevens: De toegang tot kaarthoudergegevens moet worden beperkt tot personen van wie de functie dergelijke toegang vereist. Implementeer een 'need-to-know'-beleid dat de toegang beperkt.

• Maak Unieke ID's: Wijs een unieke ID toe aan elke persoon met computertoegang tot kaarthoudergegevens. Na een datalek helpt dit om bij te houden wie toegang heeft gehad tot gegevens.

• Bescherm fysieke locaties: Bescherm de fysieke locaties waar kaarthoudergegevens worden opgeslagen. Dit omvat maatregelen zoals bewaking, beperkte toegang tot gegevensopslaggebieden en beveiligde opslagsystemen.

• Stel een beleid voor retentie en verwijdering in: Ontwikkel een beleid voor gegevensretentie dat kaarthoudergegevens verwijdert zodra ze niet meer nodig zijn. Verwijder dat type gegevens en zorg ervoor dat de info niet kan worden hersteld.

• Gebruik encryptiesleutels: Beheer en implementeer het gebruik van sterke versleuteling en beveiligingsprotocollen, zoals SSL (Secure Sockets Layer)/Transport Layer Security (TLS) of IPSEC (Internet Protocol Security), om gevoelige kaarthoudergegevens te beveiligen tijdens overdracht via open, openbare netwerken.

Best practices voor het opslaan van betaalkaarten

Ondernemingen kunnen vele wegen bewandelen om aan de PCI-compliancevereisten te voldoen. Deze best practices helpen ondernemingen om de kaartgegevens van hun klanten te beschermen en de PCI-compliance te handhaven op een manier die de gebruikerservaring beschermt:

• Minimaliseer de opslag van kaarthoudergegevens: Sla alleen de vereiste informatie van de kaarthouder op en bewaar geen gevoelige gegevens tenzij dit absoluut noodzakelijk is. Door de hoeveelheid opgeslagen gegevens te verminderen, kunnen risico's worden geminimaliseerd en worden nalevingsinspanningen vereenvoudigd.

• Adopteer de geavanceerde coderingsstandaard (AES): Gebruik AES met een 256-bits sleutel voor het versleutelen van opgeslagen kaarthoudergegevens. Deze methodologie sluit aan bij de huidige best practices en overtreft de minimale nalevingsvereisten.

• Implementeer end-to-end-encryptie (E2EE): Naast de basisversleutelingspraktijken kun je E2EE inzetten om kaarthoudergegevens te beschermen vanaf het moment dat ze worden vastgelegd totdat ze de beveiligde verwerkingsomgeving bereiken.

• Verbetering van de mechanismen voor toegangscontrole: Gebruik meervoudige authenticatie en gedetailleerde, op rollen gebaseerde toegangscontroles om ervoor te zorgen dat alleen geautoriseerd personeel toegang heeft tot gevoelige kaarthoudergegevens, met een duidelijk controlespoor voor alle toegang en acties die worden ondernomen.

• Integreer DLP-tools: Implementeer DLP-strategieën om gegevensoverdracht te bewaken en controleren, ongeoorloofde gegevensexfiltratie te voorkomen en ervoor te zorgen dat kaarthoudergegevens niet onjuist worden opgeslagen of gedistribueerd.

• Voer regelmatig beveiligingstests uit: Om proactief potentiële zwakke plekken in de beveiliging te identificeren en te verhelpen, voer je geavanceerde penetratietests en kwetsbaarheidsbeoordelingen uit die verder gaan dan de standaard PCI DSS-vereisten.

• Overweeg geavanceerde tokenisatietechnieken: Overweeg het gebruik van dynamische tokenisatie, waarbij tokens variëren met elke transactie, om een extra beveiligingslaag te bieden en het nut van onderschepte gegevens verder te verminderen.

• Maak gebruik van geautomatiseerde nalevingsbewaking: Gebruik geautomatiseerde tools om de naleving van PCI DSS-normen continu te controleren en eventuele afwijkingen onmiddellijk te detecteren en aan te pakken.

• Gebruik een zero-trust-architectuur: Gebruik een zero-trust-beveiligingskader dat ervan uitgaat dat alle gebruikers, zelfs degenen binnen de organisatie, kaarthoudergegevens mogelijk in gevaar kunnen brengen. Hiervoor worden strikte verificatie- en minimale toegangsprincipes afgedwongen.

• Ontdek kwantumbestendige cryptografietools: Om je te beschermen tegen opkomende bedreigingen van kwantumcomputing, moet je de integratie van kwantumresistente cryptografische algoritmen onderzoeken.

• Ontwikkel een responsplan: Zorg voor een plan voor het reageren op beveiligingsincidenten. Als er zich een datalek voordoet, moet je het probleem snel kunnen identificeren, het lek kunnen beperken en mogelijke schade kunnen beperken.

Uitdagingen en oplossingen bij het opslaan van betaalkaarten

De opslag van betaalkaarten is nauw verbonden met vele aspecten van de klantervaring, de manier waarop toegang wordt verkregen tot producten en diensten, en de manier waarop het interne team omgaat met klantgegevens. Zelfs de best ontworpen kaartopslagsystemen zullen een aanzienlijke hoeveelheid complexiteit met zich meebrengen. Hier zijn een paar veelvoorkomende uitdagingen samen met oplossingen:

Schaalbaarheid

• Uitdaging: Naarmate het aantal transacties toeneemt, kan het lastig zijn om goede prestaties en PCI-compliance te handhaven. Schaalbaarheidsproblemen kunnen de klantervaring en operationele efficiëntie beïnvloeden.
  
• Oplossing: Implementeer gedistribueerde databasearchitecturen die hoge lees-/schrijfdoorvoer aankunnen met behoud van gegevensconsistentie en naleving. Gebruik elastische cloudgebaseerde oplossingen die dynamisch kunnen worden geschaald als reactie op fluctuerende vraag, met behoud van prestaties zonder afbreuk te doen aan de beveiliging.
  

Integratie van verouderde systemen

• Uitdaging: Veel organisaties gebruiken verouderde systemen die niet zijn ontworpen om te voldoen aan de PCI DSS-standaarden. Dit kan leiden tot hiaten in de naleving en beveiliging.
  
• Oplossing: Gebruik data-abstractielagen of servicegerichte architecturen om verouderde systemen in te kapselen en zo de directe toegang tot kaarthoudergegevens tot een minimum te beperken. Overweeg om verouderde systemen in de loop van de tijd te vervangen of te moderniseren met behulp van microservices of containerisatie om de flexibiliteit en compliance te verbeteren.
  

Gegevensprivacy over de grens heen

• Uitdaging: Verschillende regio's hebben verschillende voorschriften voor gegevensbescherming. De compliancevereisten worden strikter voor ondernemingen die kaarthoudergegevens over de grens opslaan.
  
• Oplossing: Implementeer oplossingen voor gegevensopslag die gegevens verwerken en opslaan in overeenstemming met de lokale regelgeving. Gebruik gegevensopslag en -verwerking op basis van geolocatie om gegevens automatisch te routeren en op te slaan op basis van de locatie van de kaarthouder en in overeenstemming met regionale nalevingsvereisten.
  

Geavanceerde beveiligingsrisico's

• Uitdaging: Omdat aanvallers voortdurend tactieken ontwikkelen, moeten organisaties vechten tegen steeds geavanceerdere cyberaanvallen en geavanceerde persistente bedreigingen (APT's) die conventionele beveiligingsmaatregelen kunnen omzeilen.
  
• Oplossing: Pas een gelaagde beveiligingsaanpak toe die geavanceerde mechanismen voor bedreigingsdetectie en -respons omvat, zoals AI-gestuurde gedragsanalyses om bedreigingen in real time te identificeren en te beperken. Werk regelmatig incidentrespons- en noodherstelplannen bij om nieuwe soorten cyberdreigingen aan te pakken.
  

Veranderende compliancenormen

• Uitdaging: PCI DSS-standaarden en gerelateerde wettelijke vereisten evolueren voortdurend. Het kan een voortdurende uitdaging zijn om aan de vereisten te voldoen.
  
• Oplossing: Stel een programma voor continue monitoring van compliance op dat gebruikmaakt van geautomatiseerde tools voor het bijhouden en rapporteren van compliance. Neem deel aan proactieve brancheforums en samenwerkingen om nieuwe normen voor te blijven en best practices op te nemen in je nalevingsstrategie.
  

Kwaliteit en consistentie van de gegevens

• Uitdaging: Het kan lastig zijn om de integriteit en consistentie van kaarthoudergegevens te garanderen in verschillende systemen en opslagomgevingen, met name in gedistribueerde architecturen.
  
• Oplossing: Implementeer sterke kaders voor gegevensbeheer en gebruik tools voor gegevenskwaliteitsbeheer die de nauwkeurigheid en consistentie van gegevens behouden. Gebruik technieken voor gegevenssynchronisatie en replicatie die voldoen aan atomiciteits-, consistentie-, isolatie- en duurzaamheidseigenschappen (ACID) om de gegevensintegriteit te behouden.
  

Hoe Stripe kan helpen

Door samen te werken met Stripe, kunnen ondernemingen de last van PCI DSS-compliance verminderen. Door betalingen via Stripe verwerken, verwerken ondernemingen gevoelige kaartgegevens niet rechtstreeks, waardoor ze minder verantwoordelijk zijn voor compliance. Stripe is gecertificeerd als dienstverlener op PCI-niveau 1, het hoogste niveau voor PCI-compliance, en handelt het merendeel van de beveiligingstaken voor kaartgegevens af. Deze Stripe-functies houden kaarthoudergegevens veilig en helpen ondernemingen om PCI-compliant te blijven:

• Tokenisatie: De tokenisatieservice van Stripe vervangt gevoelige kaartgegevens door unieke identificatiegegevens (tokens), die veilig kunnen worden opgeslagen en gebruikt voor transacties zonder kaartgegevens bloot te geven.

• E2EE: Stripe versleutelt alle gevoelige gegevens vanaf het moment dat ze worden vastgelegd totdat ze in de beveiligde omgeving worden verwerkt. Deze end-to-end-encryptie minimaliseert het risico dat gegevens tijdens de overdracht worden onderschept.

• Schaalbaarheid: De infrastructuur van Stripe is gebouwd op een cloudplatform dat is ontworpen om grote hoeveelheden transacties te verwerken zonder dat dit ten koste gaat van de prestaties. Ondernemingen kunnen hun activiteiten opschalen zonder zich zorgen te hoeven maken over het handhaven van compliance- en beveiligingsnormen.

• Integratie met moderne en verouderde systemen: Stripe biedt uitgebreide API-ondersteuning (Application Programming Interface), waardoor het eenvoudig te integreren is met moderne en verouderde systemen. Deze flexibiliteit helpt ondernemingen bij het moderniseren van hun betalingsverwerking zonder dat er uitgebreide revisies van bestaande systemen nodig zijn.

• Continue monitoring en updates: Stripe controleert zijn systemen voortdurend op bedreigingen en werkt zijn beveiligingsmaatregelen regelmatig bij om nieuwe kwetsbaarheden aan te pakken. Beveiligingsfuncties zijn onder meer algoritmen voor machine-learning die fraude detecteren en voorkomen.

• Wereldwijde naleving: Stripe is wereldwijd actief en kan ondernemingen helpen om te gaan met de complexiteit van gegevensopslag en regionale compliance over de grenzen heen.

• Gegevensbeheer: De infrastructuur van Stripe ondersteunt de integriteit en consistentie van gegevens.

Door te vertrouwen op Stripe bij het merendeel van de veilige kaartopslag, gegevensversleuteling, compliance en schaalbaarheid, kunnen ondernemingen meer tijd besteden aan hun kernactiviteiten. Meer informatie over de beveiligingsnormen.