Metodo conforme PCI DSS per ricevere i dati delle carte per un commerciante senza memoria elettronica

Di seguito sono riportate alcune best practice per l'archiviazione della carta con CHD in modo conforme. Nota: questo indirizzo affronta solo la gestione e l'archiviazione della carta, non il modo in cui il CHD viene ricevuto in modo "non sicuro".

• Stabilire una politica di conservazione dei record. La politica deve indicare cosa viene archiviato, come verrà archiviato, per quanto tempo verrà archiviato e la disposizione della carta alla fine del periodo di conservazione. La politica dovrebbe seguire il DSS per quanto riguarda la mancata archiviazione di CHD dopo l'autorizzazione, la triturazione trasversale, ecc.
• Stabilire una procedura di conservazione dei record. La procedura dovrebbe delineare i passi da seguire per soddisfare i requisiti della politica, in particolare in merito alla gestione e alla distruzione della carta.
• Stabilisci una politica della scrivania pulita in cui i documenti con CHD non possono essere lasciati sulla scrivania quando una persona non è alla propria scrivania.
• Pensa a tutta la vita della carta con CHD - stampa, movimento, conservazione, seduta sui banchi, prima dell'autorizzazione, dopo l'autorizzazione, lo smaltimento, ecc.
• Operativamente, ecco alcuni suggerimenti:
  • Avere un armadietto chiuso con persone definite con la chiave del cabinet.
  • Dopo l'autorizzazione, oscura il PAN con un grosso segnalino magico. Se la carta non è più necessaria dopo l'autorizzazione, distruggetela. Se è necessaria la carta, conservarla nell'armadietto chiuso a chiave. A volte le persone possono anche fotocopiare la carta dopo la redazione (e distruggere l'originale) per eliminare completamente PAN.
  • Nell'armadietto chiuso a chiave, è necessario disporre di un foglio di tracciamento per tracciare quando la carta è stata inserita e quando è stata rimossa e distrutta. L'ho visto dove i documenti di un giorno sono nella stessa cartella nell'armadietto. Ciò semplifica l'applicazione della politica di conservazione dei record dal momento che tutto ciò che il dipendente deve fare è prendere la cartella obsoleta e distruggere il contenuto.
  • Se viene utilizzata un'azienda di triturazione di terze parti, è necessario assicurarsi che la società di triturazione sia conforme PCI.