För att spara kunders kortinformation lagligt och säkert måste företag använda avancerad kryptering eller tokenisering för att skydda kortinnehavardata, vilket säkerställer att känslig information aldrig behålls efter auktorisering. Denna process regleras strikt globalt av Payment Card Industry Data Security Standard (PCI DSS), en obligatorisk uppsättning säkerhetsramverk som fastställts av stora kortbetalningsnätverk för att förhindra dataintrång och ekonomiskt bedrägeri.

Kreditkortsbedrägeri är ett allvarligt och utbrett problem: i till exempel USA har 61 % av alla kortinnehavare fallit offer för bedrägeri. För företag är säker lagring av kundkortdata ett viktigt skydd mot bedrägeri.

Vad innehåller den här artikeln?

• Hur fungerar kortlagring?
  
• Vad är PCI DSS-efterlevnad?
  
• PCI-krav för kortlagring
  
• Bästa praxis för kortlagring
  
• Kortlagring utmaningar och lösningar
  
• Så kan Stripe hjälpa dig
  

Hur fungerar lagring av kortuppgifter?

Kortlagring innebär att företag behåller kunders kortinformation för betalningar, inklusive kredit- och bankkortnummer och tillhörande identifieringsuppgifter. De fyra datakategorier som företag vanligtvis sparar är kortinnehavarens namn, det primära kontonumret (PAN), utgångsdatumet och tjänstekoden.

Företag kan välja mellan olika system för kortlagring, och dessa involverar vanligtvis komponenter som dedikerade datalagringssystem, metoder för kryptering och tokenisering samt verktyg för att förhindra dataförlust (DLP).

Att hantera betalningsuppgifter internt utsätter en organisation för allvarliga juridiska risker, kostsamma säkerhetsrevisioner och potentiell varumärkesskada om ett dataintrång inträffar. På grund av detta isolerar modern digital handel känslig ekonomisk data med hjälp av ett tredelat ramverk som förflyttar risken bort från företagets interna nätverk:

• Avläsning: Säkra textfält (som iFrames) bäddas in direkt på kassasidan och avläser rå kortinformation i samma ögonblick som den anges, så att den helt kringgår företagets webbservrar.

• Tokenisering: Betalleverantören låser in den riktiga kortinformationen i ett externt, starkt skyddat digitalt valv och genererar en slumpmässig, oknäckbar platshållarsträng som kallas för en token.

• Lagring: Företaget sparar endast denna harmlösa token i sin kunddatabas och skickar den tillbaka till betalleverantören för att säkert godkänna framtida transaktioner utan att någonsin hantera rå ekonomisk data.

Vad är PCI DSS-efterlevnad?

PCI DSS är en uppsättning säkerhetsstandarder som styr hur företag bör acceptera, behandla, spara och överföra kreditkortsinformation. Denna standard skyddar kortinnehavardata från bedrägeri och stöld, och varje organisation som hanterar kreditkortstransaktioner måste följa den. PCI DSS hanteras av Payment Card Industry Security Standards Council, som grundades av stora kreditkortsföretag som Visa, Mastercard, American Express, Discover och JCB. Att följa PCI DSS hjälper företag att minska risken för dataintrång och säkerställa att deras korttransaktioner är säkra.

Strängt taget är PCI DSS inte en lag. Det finns inga juridiska krav på efterlevnad. I stället är det en branschutvecklad säkerhetsstandard. Att enbart se det som en frivillig branschrekommendation är dock ett kritiskt misstag. PCI DSS fungerar som ett obligatoriskt avtalskrav.

De privata juridiska kraven skrivs in direkt i handlaravtalen och de företagsmässiga tjänstevillkoren som varje företag måste underteckna med betalningsbehandlare, inlösande banker och handlarnätverk innan de kan acceptera elektroniska betalningar. Om du vill behandla kreditkort är du bundet av ett avtal att upprätthålla dessa standarder.

PCI-krav för lagring av kortuppgifter

PCI DSS innehåller krav för företag gällande lagring av kortuppgifter, till exempel:

• Begränsa datalagring: Spara bara kortinnehavardata som är nödvändiga för företagets behov. Spara inte känsliga autentiseringsdata efter auktorisering, även om de är krypterade. Detta inkluderar data som hela magnetremsan, kortvalideringskoden eller personligt identifieringsnummer (PIN) / PIN-block.

• Skydda sparade data: Kryptera alla sparade kortinnehavardata inklusive PAN, som bör göras oläsbart överallt där det sparas med hjälp av metoder som kryptografi.

• Begränsa dataåtkomst: Åtkomst till kortinnehavardata bör begränsas till individer vars jobb kräver sådan åtkomst. Implementera en policy för ”need-to-know” som begränsar åtkomsten.

• Skapa unika ID:n: Tilldela ett unikt ID till varje person med datoråtkomst till kortinnehavardata. Efter ett dataintrång hjälper detta till att spåra vem som fick åtkomst till data.

• Skydda fysiska platser: Skydda de fysiska platser där kortinnehavardata sparas. Detta inkluderar åtgärder som övervakning, begränsad tillgång till datalagringsområden och säkra lagringssystem.

• Ange riktlinjer för lagring och bortskaffande: Ta fram en policy för datalagring som tar bort kortinnehavardata så snart den inte längre behövs. Radera den typen av data och se till att de inte kan återställas.

• Använd krypteringsnycklar: Hantera och implementera användningen av stark kryptografi och säkerhetsprotokoll som Secure Sockets Layer (SSL) / Transport Layer Security (TLS) eller Internet Protocol Security (IPSEC) för att skydda känsliga kortinnehavardata under överföring över öppna, offentliga nätverk.

Bästa metoder för lagring av kortuppgifter

Företag kan ta många vägar för att följa PCI-efterlevnadskraven. Följande metoder hjälper företag att skydda sina kunders kortuppgifter och upprätthålla PCI-efterlevnad på ett sätt som skyddar användarupplevelsen:

• Minimera lagring av kortinnehavardata: Spara endast nödvändig kortinnehavarinformation för återkommande fakturering och undvik att behålla känsliga data om det inte är absolut nödvändigt. Använd ett specialiserat API för kundbetalningar utan att spara kort. Att minska mängden sparade data kan minimera risken och förenkla insatser för efterlevnad.

• Anta avancerad krypteringsstandard (AES): Använd AES med en 256-bitars nyckel för kryptering när du sparar kreditkortsnummer i en databas. Denna metod är i linje med aktuell bästa praxis och överträffar minimikraven för efterlevnad.

• Implementera end-to-end-kryptering (E2EE): Utöver grundläggande krypteringsmetoder kan du distribuera E2EE för att skydda kortinnehavardata från registreringspunkten tills den når den säkra bearbetningsmiljön.

• Förbättra åtkomstkontrollmekanismer: Använd multifaktorautentisering och detaljerade rollbaserade åtkomstkontroller för att säkerställa att endast auktoriserad personal har åtkomst till känsliga kortinnehavardata. Ha ett tydligt spår för granskning för alla åtkomster och vidtagna åtgärder.

• Integrera DLP-verktyg: Implementera DLP-strategier för att övervaka och kontrollera dataöverföring, förhindra obehörig dataexfiltrering och säkerställa att kortinnehavardata inte sparas eller distribuereras på felaktigt sätt.

• Genomför regelbundna säkerhetstester: För att proaktivt identifiera och åtgärda potentiella säkerhetsbrister, genomför sofistikerade penetrationstester och sårbarhetsbedömningar utöver de vanliga PCI DSS-kraven. Skapa en PCI-checklista för utvecklare.

• Överväg avancerade tekniker för tokenisering: Överväg att använda dynamisk tokenisering, där token varierar med varje transaktion, för att ge ett extra lager av säkerhet och ytterligare minska användbarheten av avlyssnad data.

• Använd automatiserad övervakning av efterlevnad: Använd automatiserade verktyg för att kontinuerligt övervaka efterlevnad av PCI DSS-standarder och omedelbart upptäcka och åtgärda eventuella avvikelser.

• Använd en nolltillitsarkitektur: Anta ett nolltillitssäkerhetsramverk som förutsätter att alla användare, även de inom organisationen, potentiellt kan kompromettera kortinnehavardata. Upprätthåll strikt verifiering och minimala åtkomstprinciper.

• Utforska kvanteresistenta kryptografiverktyg: För att skydda mot framväxande hot från kvantdatorer, utforska integreringen av kvanteresistenta kryptografiska algoritmer.

• Utveckla en svarsplan: Ha en plan för att svara på säkerhetsincidenter. Om ett dataintrång inträffar bör du snabbt kunna identifiera problemet, begränsa intrånget och mildra eventuella skador.

Utmaningar och lösningar för lagring av kortuppgifter

Kortlagring är nära knutet till många aspekter av kundupplevelsen, hur produkter och tjänster nås och hur det interna teamet hanterar sitt engagemang med kunddata. Även de bäst utformade systemen för kortlagring kommer att skapa en ansenlig mängd komplexitet. Här är några vanliga utmaningar och lösningar:

Utforma kortlagring med skalbarhet för transaktionstillväxt

• Utmaning: När transaktionsvolymerna växer kan det vara svårt att upprätthålla hög prestanda och PCI-efterlevnad. Problem med skalbarhet har potential att påverka kundupplevelsen och den operativa effektiviteten.
  
• Lösning: Implementera distribuerade databasarkitekturer som kan hantera hög läs-/skrivkapacitet samtidigt som de upprätthåller datakonsistens och efterlevnad. Använd elastiska molnbaserade lösningar som dynamiskt kan svara på fluktuerande efterfrågan och upprätthålla prestanda utan att kompromissa med säkerheten.
  

Modernisera äldre system samtidigt som PCI-efterlevnad upprätthålls

• Utmaning: Många organisationer använder äldre system som inte är utformade för att uppfylla PCI DSS-standarder. Detta kan skapa luckor i efterlevnad och säkerhet.
  
• Lösning: Använd dataabstraktionslager eller tjänsteorienterade arkitekturer för att kapsla in äldre system, vilket minimerar direkt åtkomst till kortinnehavardata. Överväg att byta ut eller modernisera äldre system över tid med hjälp av mikrotjänster eller containerisering för att förbättra agiliteten och efterlevnaden.
  

Hantera gränsöverskridande kortdata och regionala integritetskrav

• Utmaning: Olika regioner har olika dataskyddsbestämmelser, och kraven på efterlevnad ökar för företag när de sparar kortinnehavardata över gränserna.
  
• Lösning: Implementera lösningar för datahemvist som behandlar och sparar data i enlighet med lokala bestämmelser. Använd geolokaliseringsbaserad datalagring och behandling för att automatiskt dirigera och spara data enligt kortinnehavarens plats och i enlighet med regionala efterlevnadskrav.
  

Försvara sig mot avancerade säkerhetshot

• Utmaning: Eftersom angripare ständigt byter taktik måste organisationer kämpa mot allt mer sofistikerade cyberattacker och avancerade ihållande hot (APT:er) som kan kringgå konventionella säkerhetsåtgärder.
  
• Lösning: Anta en säkerhetsstrategi i flera lager som inkluderar avancerade mekanismer för upptäckt och hantering av hot, till exempel AI-driven beteendeanalys för att identifiera och mildra hot i realtid. Uppdatera regelbundet planer för incidenthantering och katastrofåterställning för att hantera nya typer av cyberhot.
  

Bibehålla efterlevnad när PCI DSS-standarder ändras

• Utmaning: PCI DSS-standarder och relaterade regulatoriska krav ändras ständigt, och att upprätthålla efterlevnad kan vara en pågående utmaning.
  
• Lösning: Etablera ett kontinuerligt övervakningsprogram för efterlevnad som använder automatiserad spårning av efterlevnad och rapporteringsverktyg. Delta i proaktiva branschforum och samarbeten för att ligga steget före nya standarder och införliva bästa praxis i din strategi för efterlevnad.
  

Säkerställa korrekta och konsekventa kortdata i alla system

• Utmaning: Det kan vara svårt att säkerställa integriteten och konsistensen av kortinnehavardata över en mängd olika system och lagringsmiljöer, särskilt i distribuerade arkitekturer.
  
• Lösning: Implementera starka ramverk för datastyrning och använd verktyg för hantering av datakvalitet som upprätthåller datanoggrannhet och konsistens. Använd tekniker för datasynkronisering och replikering som följer egenskaperna för atomicitet, konsistens, isolering och hållbarhet (ACID) för att upprätthålla dataintegriteten.
  

Så kan Stripe hjälpa dig

Att arbeta med Stripe kan hjälpa företag att minska bördan med PCI DSS-efterlevnad. Genom att hantera betalningar via Stripe hanterar företag inte känslig kortinformation direkt. Istället använder Stripe en rad avancerade säkerhetsfunktioner för att skydda betalningsuppgifter, vilket minskar omfattningen av ett företags ansvar för efterlevnad. Stripe är en certifierad PCI-tjänsteleverantör nivå 1, den högsta nivån av PCI-efterlevnad, och hanterar merparten av säkerhetsuppgifterna för kortinformation. Dessa Stripe-funktioner håller kortinnehavardata säkra samtidigt som de hjälper företag att upprätthålla PCI-efterlevnad:

• Tokenisering: Stripes tokeniseringstjänst ersätter känslig kortinformation med unika identifierare (tokens), som kan sparas säkert och användas för transaktioner utan att kortinformationen exponeras.

• E2EE: Stripe krypterar alla känsliga uppgifter från överföringstillfället tills de hanteras i dess säkra miljö. Denna heltäckande kryptering minimerar risken för att data fångas upp under överföringen.

• Skalbarhet: Stripes infrastruktur bygger på en molnplattform som är utformad för att hantera stora transaktionsvolymer utan att prestandan försämras. Företag kan skala upp sin verksamhet utan att behöva oroa sig för att upprätthålla standarder för efterlevnad och säkerhet.

• Integration med moderna och äldre system: Stripe erbjuder omfattande API-support, vilket gör det enkelt att integrera med moderna och äldre system. Denna flexibilitet hjälper företag att modernisera sin betalningshantering utan att behöva göra omfattande omarbetningar av befintliga system.

• Kontinuerlig övervakning och uppdateringar: Stripe övervakar kontinuerligt sina system efter hot och uppdaterar regelbundet sina säkerhetsåtgärder för att hantera nya sårbarheter. Säkerhetsfunktionerna inkluderar algoritmer för maskininlärning som upptäcker och förhindrar bedrägeri.

• Global efterlevnad: Stripe är verksamt globalt och kan hjälpa företag att hantera komplexiteten kring datalagring och regional efterlevnad över gränserna.

• Datastyrning: Stripes infrastruktur stöder dataintegritet och konsekvens.

Genom att förlita sig på Stripe för att hantera merparten av ansvaret gällande säker kortlagring, datakryptering, efterlevnad och skalbarhet, kan företag lägga mer tid på kärnverksamheten. Läs mer om Stripe Billings säkerhetsstandarder.