01Sorun ve çözüm
PCI DSS uyum testi hizmetinde önce kart verisi ortamının (CDE) sınırlarını sizinle birlikte çiziyor, ardından standardın teknik test isteyen gereksinimlerini uyguluyoruz: iç ve dış sızma testi, segmentasyon doğrulaması ve ödeme sayfası kontrolleri. Raporu, değerlendirmeyi yapacak QSA'nın ya da öz değerlendirme anketini dolduracak ekibinizin doğrudan kullanabileceği biçimde, gereksinim numaralarıyla eşleştirerek hazırlıyoruz.
02Kimler için
PCI DSS uyum testi kimlerden isteniyor
Kart verisini saklayan, işleyen ya da aktaran her yapı standardın kapsamına girer; test derinliği bu ilişkiye göre değişir.
- Kendi ödeme sayfasında kart bilgisi alıp bankanın sanal POS'una ileten e-ticaret siteleri
- Telefonla sipariş ya da rezervasyon alırken kart bilgisini çağrı merkezi ekranına giren otel, seyahat ve hizmet işletmeleri
- Üye işyerlerine ödeme altyapısı sunan, kart verisini kendi sunucularında işleyen fintek ve yazılım firmaları
- Bankası ya da ödeme kuruluşu tarafından yıllık öz değerlendirme anketi ve tarama raporu istenen işletmeler
- Ağ yapısını değiştirdiği, yeni bir veri merkezine taşındığı ya da ödeme akışını yenilediği için testi tekrarlaması gereken kuruluşlar
03İhtiyaçlar
PCI DSS sürecinde sık karşılaşılan teknik sorunlar
Uyum çalışmasının zorluğu çoğu zaman kontrollerin kendisinde değil, kapsamın belirsizliğindedir.
- 01
Kontrolsüz genişleyen kapsam
Kart verisi ortamı düz bir ağda ofis bilgisayarlarıyla aynı segmentte duruyorsa, bütün ağ kapsama girer. Bu durumda yüzlerce cihaz için aynı kontrolleri göstermek gerekir.
- 02
Kanıtlanmamış segmentasyon
Güvenlik duvarı kuralları kart ortamını ayırıyor gibi görünse de bunun testle doğrulanması gerekir. Unutulmuş bir yönetim portu ya da geniş tutulmuş bir kural ayrımı fiilen ortadan kaldırabilir.
- 03
Ödeme sayfasına yüklenen betikler
Ödeme sayfasında çalışan her JavaScript dosyası, kart bilgisini kopyalayan bir koda dönüşebilir. Standardın güncel sürümü bu betiklerin envanterini ve değişiklik takibini ayrıca ister.
- 04
Unutulmuş kart verisi
Eski log dosyaları, destek e-postaları ya da test veritabanları içinde maskelenmemiş kart numarası kalmış olabilir. Bu kayıtlar bulunmadan kapsam doğru çizilemez.
04Özellikler
PCI DSS uyum testi kapsamındaki çalışmalar
Test seti, işletmenizin hangi öz değerlendirme anketine ya da değerlendirme türüne tabi olduğuna göre belirlenir.
- 01
Kapsam belirleme ve veri akış şeması
Kart verisinin girdiği, işlendiği ve çıktığı her nokta bir akış şemasına dökülür. Kapsamı daraltma fırsatları, örneğin barındırılan ödeme sayfasına geçiş, bu aşamada değerlendirilir.
- 02
İç ve dış sızma testi
İnternete açık sistemler ve kart verisi ortamı, ağ ve uygulama katmanında sınanır. Test yöntemi ve kapsamı, standardın sızma testi gereksinimlerinin istediği belgelenmiş metodolojiye dayanır.
- 03
Segmentasyon testi
Kapsam dışı bırakılan her ağ bölümünden kart ortamına erişim denenir. Sonuç, ayrımın gerçekten çalıştığını gösteren bir kanıt olarak rapora eklenir.
- 04
Gereksinimlere eşlenmiş rapor
Bulgular etkilenen sistem, risk düzeyi ve ilgili PCI DSS gereksinimiyle birlikte yazılır. Düzeltmelerden sonra yeniden test yapılır ve kapanan bulgular ayrıca belgelenir.
05Entegrasyonlar
Ödeme altyapıları ve kapsam üzerindeki etkileri
Hangi ödeme yöntemini nasıl entegre ettiğiniz, testin ne kadar geniş olacağını doğrudan belirler.
- 01
Barındırılan ödeme sayfaları
iyzico veya PayTR gibi ödeme kuruluşlarının yönlendirmeli ya da iframe ile gömülen sayfalarında kart bilgisi sunucunuza hiç uğramaz; bu yapı kapsamı belirgin biçimde daraltır.
- 02
Bankaların sanal POS'u ve 3D Secure
Kart bilgisini kendi formunuzda alıp sanal POS'a doğrudan ilettiğiniz yapılarda web sunucunuz ve uygulama kodunuz tam olarak kapsama girer.
- 03
Çağrı merkezi ve fiziksel POS
Telefonla alınan kart bilgileri için ekran kaydı, ses kaydı ve operatör bilgisayarlarının ağ konumu ayrıca incelenir.
- 04
Tokenizasyon ve saklama
Tekrarlayan ödemeler için kart yerine ödeme kuruluşunun verdiği token saklanıyorsa, token ile kart numarası arasında geri dönüş olmadığı doğrulanır.
06Süreç
PCI DSS uyum testi hizmeti nasıl ilerler?
Adım 01
Analiz
İş akışınızı, kullanıcılarınızı ve mevcut sistemlerinizi dinleriz; kapsamı, öncelikleri ve kabul ölçütlerini yazılı hâle getiririz.
Adım 02
Tasarım
Ekran akışlarını ve veri modelini çıkarırız. Arayüzü sizinle gözden geçirip onay almadan geliştirmeye geçmeyiz.
Adım 03
Geliştirme
Kısa döngülerle çalışırız; her döngü sonunda çalışan bir sürümü test ortamında görürsünüz.
Adım 04
Test
İşlevsel testler, entegrasyon testleri ve temel güvenlik kontrolleriyle hataları yayından önce yakalarız.
Adım 05
Yayın
Sunucu, alan adı, yedekleme ve izleme ayarlarını yaparak canlıya alırız; ekibinize kısa bir kullanım eğitimi veririz.
Adım 06
Bakım
İsterseniz bakım ve destek anlaşmasıyla güncellemeleri, izlemeyi ve yeni geliştirmeleri sürdürürüz.
07Teknoloji
PCI DSS testlerinde yöntem ve sınırlar
Testler, PCI Security Standards Council'in sızma testi rehberindeki yaklaşımı ve standardın güncel sürümündeki gereksinimleri esas alır. Ağ katmanında güvenlik duvarı kuralları ve açık servisler, uygulama katmanında OWASP kategorileri ve ödeme akışına özgü iş mantığı denenir. Dış zafiyet taramaları için standart, PCI SSC tarafından onaylanmış bir tarama sağlayıcısı (ASV) ister; bu taramayı biz yapmıyoruz, ama bulgularını kapatmanıza yardım ediyoruz.
Devamını okuDaha az göster
Resmî uyum değerlendirmesi ve uyum raporu (ROC), yetkilendirilmiş bir QSA tarafından hazırlanır. Bizim rolümüz, o değerlendirmeye girmeden önce teknik açıkları bulmak, segmentasyonu kanıtlamak ve test gereksinimlerinin çıktısını üretmektir. Canlı ödeme ortamında çalışırken gerçek işlem yaratacak denemeler yapılmaz; test kart numaraları ve önceden kararlaştırılmış zaman aralıkları kullanılır.
08Çalışma modelleri
Bu hizmette çalışma modelleri
- 01
Proje bazlı
Sabit kapsam, sabit fiyat ve belirli teslim tarihi
Kapsamı belli, teslim tarihi olan işler için.
- Yazılı kapsam ve kabul ölçütleri
- Sabit fiyat ve belirli teslim tarihi
- Teslim ve kabul adımları sözleşmede
- 02
Danışmanlık
Saatlik veya günlük teknik danışmanlık
Karar, denetim veya yön belirleme gereken durumlar için.
- Saatlik veya günlük çalışma
- Yazılı rapor ve öneriler
- Ekibinizle birlikte çalışma
09Sık sorulan sorular
PCI DSS uyum testi hakkında sık sorulan sorular
Ödemeyi iyzico ya da PayTR sayfasında alıyoruz, yine de PCI DSS kapsamında mıyız?
Evet, ama kapsamınız çok daha dardır. Bu yapılarda genellikle en kısa öz değerlendirme anketi uygulanır; yine de ödeme sayfasına yönlendiren kendi sitenizin bütünlüğü önem taşır. Hangi anketin size uygun olduğunu bankanız ya da ödeme kuruluşunuzla netleştirmenizi öneririz.
PCI DSS uyum testi fiyatları neye göre belirlenir?
Kart verisi ortamındaki sistem sayısı, ağ segmenti sayısı, uygulama karmaşıklığı, çağrı merkezi gibi ek kanalların varlığı ve yeniden test ihtiyacı belirleyicidir. Kapsamı daraltmak testin maliyetini de düşürür.
Sızma testini ne sıklıkla yaptırmamız gerekir?
Standart, sızma testini düzenli aralıklarla ve ağda ya da uygulamada önemli bir değişiklik yapıldığında ister; segmentasyon testinin sıklığı ise kuruluşun türüne göre farklılaşır. Takviminizi, tabi olduğunuz değerlendirme türüne göre birlikte çıkarırız.
Bir PCI DSS uyum testi firması olarak uyum belgesini siz mi veriyorsunuz?
Hayır. Uyum raporunu yalnızca yetkilendirilmiş değerlendiriciler (QSA) hazırlar; öz değerlendirme anketini ise işletmeniz doldurur. Biz teknik testleri yapar ve bu süreçte kullanılacak kanıtları hazırlarız.
Kart numaralarını veritabanımızda saklıyoruz, ne yapmalıyız?
Önce bu saklamanın gerçekten gerekli olup olmadığını sorgulamak gerekir. Çoğu senaryoda ödeme kuruluşunun tokenizasyon hizmeti aynı işi kapsamı genişletmeden görür; saklama şartsa güçlü şifreleme ve anahtar yönetimi test kapsamına alınır.
Test sırasında ödeme alamaz hâle gelir miyiz?
Hedef bu değildir. Yoğun tarama ve servis kesintisi riski taşıyan denemeler düşük trafikli saatlere planlanır, ödeme akışı test kartlarıyla sınanır ve beklenmedik bir durumda test hemen durdurulur.
10İlgili hizmetler