PCI DSS nedir?
Ödeme Kartı Endüstrisi Veri Güvenliği Standardı (PCI DSS), kart sahibi verisi saklayan, işleyen veya ileten kuruluşlar için PCI Security Standards Council (PCI SSC): Visa, Mastercard, American Express, Discover ve JCB tarafından kurulan: tarafından yönetilen küresel bilgi güvenliği standardıdır. Mevcut versiyon, v4.0’ın (Mart 2022) sınırlı bir revizyonu olan PCI DSS v4.0.1‘dir (Haziran 2024); v4.0 31 Aralık 2024’te, v3.2.1 ise 31 Mart 2024’te kullanımdan kaldırılmış, ileri tarihli gereksinimler 31 Mart 2025’te yürürlüğe girmiştir.
12 üst düzey gereksinim
- Güvenli ağlar kurun: güvenlik duvarları (G1), vendor varsayılan değerleri yok (G2).
- Kart sahibi verisini koruyun: depodan şifreleme (G3), iletimde şifreleme (G4).
- Zafiyet yönetimi: antivirüs (G5), güvenli geliştirme (G6).
- Erişim kontrolü: bilme-ihtiyacı (G7), benzersiz kimlikler (G8), fiziksel erişim (G9).
- İzleme: tüm erişimi logla (G10), düzenli test (G11).
- Bilgi güvenliği politikası: belgelenmiş program (G12).
Uyum seviyeleri
- Seviye 1: >6M işlem/yıl: QSA tarafından Report on Compliance (ROC).
- Seviye 2-4: kademeli Öz Değerlendirme Anketi (SAQ).
- Üç aylık ASV taramaları tüm internet-erişimli sistemler için.
v4.0 temel değişiklikler
- Özelleştirilmiş Yaklaşım: tanımlanmış kontrollere alternatif, hedeflenmiş risk analizi gerektirir.
- Oltalama-dayanıklı MFA: kart sahibi verisi ortamına tüm erişim için zorunlu.
- Hedeflenmiş Risk Analizleri: frekans-bazlı gereksinimler için belgelenmiş temel.
- Hizmet sağlayıcıları ve paylaşılan altyapı için artan üçüncü taraf denetimi.
Türk uygulamasında
Türk bankaları PCI DSS’i BDDK’nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği (yürürlük 1 Temmuz 2020) ile, ödeme ve elektronik para kuruluşları ise TCMB’nin 1 Aralık 2021 tarihli bilgi sistemleri ve veri paylaşım tebliği ile birlikte uygular; kart işlemlerinde BKM (Bankalararası Kart Merkezi) kuralları da devreye girer. Bu düzenlemeler PCI DSS’e doğrudan atıf yapmaz; eski BDDK bilgi sistemleri tebliği 2020’de yürürlükten kaldırılmıştır. Türk e-ticaret/SaaS şirketleri kart verisi işliyorsa PCI DSS gereksinimleri vendor (Iyzico, Craftgate) seçimini büyük ölçüde belirler: vendor uyumu out-of-scope yapısı tercih edilir.
Yapın: kapsamı en aza indirmek için tokenizasyon ve üçüncü taraf PCI-uyumlu işleyiciler kullanın; yıllık SAQ/ROC’yi tamamlayın; v4.0 son tarihlerinden önce oltalama-dayanıklı MFA uygulayın.
Yapmayın: kesinlikle gerekli olmadıkça tam PAN saklamayın: maskeleme ve tokenizasyon kapsamı ve riski azaltır.
Kimler uymak zorunda ve veri korumayla ilişkisi
PCI DSS, ödeme-kartı verisini saklayan, işleyen veya ileten her işletmenin karşılaması gereken güvenlik standardıdır. Bir kanun değil, kart ağlarının dayattığı sözleşmesel bir gerekliliktir ve uyumsuzluk; para cezaları, daha yüksek işlem ücretleri veya kartla ödeme alma yeteneğinin kaybı anlamına gelebilir. Yükümlülükler, tanımlı üye işyeri seviyeleri boyunca işlem hacmiyle ölçeklenir; bir öz-değerlendirme anketinden tam bir yerinde denetime kadar uzanır. Çoğu girişim için en akıllıca mimari hamle kapsamı daraltmaktır: uyumlu bir ödeme işlemcisi ve tokenleştirme kullanarak ham kart verisinin kendi sistemlerine hiç dokunmamasını sağlamak. PCI DSS, veri koruma hukukunun yerine değil yanında durur: KVKK ve GDPR bir ödemenin etrafındaki kişisel veriye yine uygulanır; bu yüzden iki uyum hattı birlikte ele alınmalıdır.