PAYMENT CARD INDUSTRY (PCI)

Payment Card Industry Data Security Standard (PCI DSS)

Lo standard di sicurezza dei dati dell'industria delle carte di pagamento (PCI DSS) è stato sviluppato per promuovere e migliorare la sicurezza dei dati dei titolari delle carte bancarie, e per facilitare l'ampia adozione di misure di protezione dati uniformi a livello globale. Il PCI DSS fornisce una base di requisiti tecnici ed operazionali pensati per proteggere i dati degli account.

• Si applica a qualsiasi azienda coinvolta nel trattamento di carte di pagamento
• E’ un insieme di requisiti ( minimi ) per proteggere i dati degli account
• Validazione dei requisiti definiti dai Brand dei pagamenti

Standard di sicurezza dei dati delle applicazioni di pagamento (PA-DSS) / Framework per la sicurezza software del settore delle carte di pagamento (PCI SSF)

Lo standard PA-DSS e il framework PCI SSF definiscono i requisiti di sicurezza e le procedure di valutazione per i produttori software di applicazioni di pagamento. Lo standard e il framework si applicano ai produttori software e alle applicazioni convolte nei processi di autorizzazione e risoluzione.

• Le validazione delle applicazioni aiuta a mantenere la conformità PCI DSS
• Si tratta di due standard orientati alle applicazioni (concesse in licenza o pronte all'uso) e alle aziende di sviluppo software
• Non applicabili ad applicazioni in-house, sviluppate per un unico cliente oppure per il mobile

Payment Card Industry 3-D Secure (PCI 3DS)

Lo standard PCI 3DS definisce i requisiti di sicurezza fisica e logica e le procedure di valutazione per le entita’ che utilizzano o forniscono funzionalità 3DS. Il PCI DSS comprende un insieme minimo di requisiti per proteggere i dati sensibili 3DS, sulla base di 14 principi strutturati in più di 200 requisiti.

Payment Card Industry Point-to-Point Encryption (PCI P2PE) / NESA

Lo standard P2PE (e NESA) definisce i requisiti e le procedure di testing per la crittografia punto - punto. La crittografia protegge i dati degli account dei clienti dal momento dell'interazione (nell'ambiente di crittografia dove i dati vengono acquisiti) fino al momento della decifrazione di quei dati nell'ambiente di decifratura, di fatto eliminando la presenza di dati in chiaro tra i due punti. La crittografia P2PE si applica ai fornitori P2PE di soluzioni, applicazioni di pagamento o componenti.

I fornitori di componenti P2PE possono convalidare i seguenti servizi:

• Encryption Management Component Provider (EMCP)
• POI Deployment Component Provider (PDCP)
• POI Management Component Provider (PMCP)

• Decryption Management Component Provider (DMCP)

• Key Injection Facility (KIF)
• Key Management Component Provider (KMCP)
• Key Loading Component Provider (KLCP)
• Certification Authority/Registration Authority (CA/RA)

Payment Card Industry PIN Security (PCI PIN)

Lo standard PCI PIN Security comprende un set completo di requisiti per la gestione, elaborazione e trasmissione sicura dei dati relativi a numeri di identificazione personale (PIN) e di dati relativi a terminali PoS non presidiati.

• Lo standard PIN Security si applica a tutte le entità coinvolte nell'elaborazione dei PIN, tra cui bancomat e transazioni PoS
• I requisiti di segnalazione e convalida sono definiti dai Circuiti di Pagamento
• Le valutazioni PIN Security devono essere svolte da aziende QPA convalidate

Payment Card Industry Token Service Providers (PCI TSP)

Il PCI TSP è uno standard in ambito carte di pagamento per le entità che operano come fornitori di servizi di tokenizzazione. Un TSP è un soggetto che fornisce ai richiedenti di token registrati, come gli esercenti in possesso di dati delle carte, dei valori PAN (Primary Account Number) surrogati (o 'token di pagamento'). Questi token possono soltanto essere utilizzati in domini specifici, come il sito web dell'esercente o in canali predefiniti, come per un pagamento NFC (near field communication) svolto tramite un dispositivo mobile.

• Si applica a tutte le entità che operano come fornitori di servizi di tokenizzazione
• I requisiti di segnalazione e convalida sono definiti dai Circuiti di Pagamento
• Le valutazioni saranno fornite dalle QSA (P2PE 'Crittografia punto - punto)