Segmentazione dei dati dei titolari di carte per conformità PCI (3.2)

Ecco i do e dont di base per PCI-DSS :

Indipendentementedallasegmentazione,nonèpossibilememorizzareidatiCVV.L'efficaciadiquestocodiceèlimitataallapossibilitàditenerlolontanodallemanideicriminali,motivopercuièvietatol'archiviazionedeglistandardPCI.Pericommercianticheaddebiterannoiclientisubasericorrente,ilcodiceCVVpuòessereutilizzatoconlatransazioneinizialemanonpuòesserearchiviatopertransazionifuture.

Orahaiunadiscussione,maconsiderachec'èunaviolazionenellatuaaziendaecheinumeriCVVsonoottenutieutilizzatiinsiemeainumeridellecarteraccoltiinunaviolazionedallasocietàB,quindiindovinachisaràritenutoresponsabileinquantononaderisceallostandardPCI-DSS.

LeregoleperPCI-DSSnonsonosololìperdartiunaguidasucomearchiviareleinformazioni,maservonoanchecomeunmodoperscaricareilrischiodagliacquirentidellecarteaicommercianti.Forsepotrestipensarechenonègiusto,manelcasodiPCI-DSS:"Le regole sono le regole". L'unico modo in cui è possibile evitare questo rischio è di avere un QSA di approvazione sulla propria implementazione e di avere esplicitamente la propria architettura in cui si memorizza il CVV come parte del rapporto di audit (per essere onesti dubito strongmente che QSA effettui l'approvazione su quello).

La mia comprensione di questo è che è un assoluto - non ti è permesso di memorizzare il numero CVV, se hai memorizzato il resto del numero della carta, nessuno del numero della carta, parte del numero della carta o una carta criptata numero.

PCI non tende a lavorare su ciò che puoi fare con le cose, semplicemente a prevenire cose che hanno un alto potenziale di causare problemi.

1.se hai le prime 8 cifre è considerato PAN 2. il requisito non è quello di archiviarlo dopo l'autorizzazione che significa se si salva, si autorizza e si cancella il suo ok