คำถามที่พบบ่อยเกี่ยวกับการปฏิบัติตามมาตรฐาน PCI DSS
คำถามที่พบบ่อยเกี่ยวกับการปฏิบัติตามมาตรฐาน PCI DSS
PCI DSS คืออะไร?
PCI DSS เป็น มาตรฐาน ความปลอดภัยข้อมูล ที่เป็นที่ยอมรับในระดับสากล ซึ่งออกแบบมาโดยเฉพาะสำหรับองค์กรที่จัดการข้อมูลบัตรเครดิต
มาตรฐาน PCI DSS ถูกสร้างขึ้นเพื่อให้มั่นใจว่าธุรกิจต่างๆ สามารถประมวลผลการชำระเงินด้วยบัตรเครดิตและบัตรเดบิตได้อย่างปลอดภัย ปกป้องทั้งธุรกิจและผู้บริโภค และลดโอกาสการฉ้อโกงบัตร
PCI QSA คืออะไร?
PCI QSA ย่อมาจาก Qualified Security Assessor ซึ่งเป็นบุคคลที่ได้รับการรับรองให้ประเมินผู้ค้าและผู้ให้บริการตามมาตรฐาน และจัดทำรายงานอย่างเป็นทางการเกี่ยวกับการปฏิบัติตามมาตรฐานดังกล่าว
ใครบ้างที่ต้องปฏิบัติตามมาตรฐาน PCI DSS?
องค์กรใดก็ตามที่ประมวลผลข้อมูลบัตรเครดิตต้องปฏิบัติตามมาตรฐาน PCI DSS โดยปกติแล้วผู้ค้าคือธุรกิจที่รับชำระเงินสำหรับบริการที่ขาย เช่น ร้านค้าปลีกหรือศูนย์บริการลูกค้า
ข้อกำหนดในการแสดงให้เห็นถึงการปฏิบัติตามมาตรฐาน PCI DSS จะแตกต่างกันไป ขึ้นอยู่กับวิธีการที่ผู้ค้าประมวลผลการชำระเงินด้วยบัตร และจำนวนธุรกรรมที่ดำเนินการต่อปี PCI DSS ยังสามารถใช้กับองค์กรที่ให้บริการแก่ธุรกิจที่จัดการข้อมูลบัตรเครดิต เช่น ศูนย์ข้อมูลและผู้ให้บริการจัดการระบบ
แม้ว่าผู้ให้บริการจะไม่ประมวลผลการชำระเงินด้วยบัตรหรือเข้าถึงข้อมูลบัตรเครดิตก็ตาม นอกจากการสนับสนุนการปฏิบัติตามมาตรฐาน PCI DSS ของลูกค้าของตนเองแล้ว ผู้ให้บริการยังสามารถสร้างความแตกต่างจากคู่แข่งได้ด้วยการปฏิบัติตามมาตรฐาน PCI DSS
เหตุใดการปฏิบัติตามมาตรฐาน PCI จึงมีความสำคัญ?
การปฏิบัติตามมาตรฐาน PCI DSS ช่วยให้องค์กรของคุณแสดงให้เห็นถึงความมุ่งมั่นในการรักษาความปลอดภัยให้กับลูกค้าของคุณ นอกจากนี้ องค์กรของคุณยังสามารถลดความเสี่ยงจากการรั่วไหลของข้อมูลบัตรเครดิตได้โดย:
• การนำมาตรการควบคุม PCI DSS ที่เหมาะสมกับวิธีการจัดเก็บ ประมวลผล และส่งข้อมูลผู้ถือบัตรมาใช้
• การว่าจ้างผู้ตรวจสอบอิสระที่ได้รับการรับรอง (QSA) เพื่อตรวจสอบความถูกต้องของการปฏิบัติ ตามมาตรฐาน
• การรักษาระดับการปฏิบัติตามข้อกำหนด PCI DSS เป็นส่วนหนึ่งของการดำเนินธุรกิจตามปกติ
การไม่ปฏิบัติตามมาตรฐาน PCI DSS มีบทลงโทษอะไรบ้าง?
องค์กรใดก็ตามที่จัดการข้อมูลบัตรเครดิตแต่ไม่ปฏิบัติตามมาตรฐาน PCI DSS จะมีความเสี่ยงที่จะได้รับผลกระทบทางการเงินและชื่อเสียงหลายประการ ได้แก่:
• ค่าปรับเนื่องจากการไม่ปฏิบัติตาม – ค่าปรับปกติจากธนาคารของคุณสำหรับการไม่ปฏิบัติตาม
• ความเสียหายต่อชื่อเสียงในกรณีที่มีการละเมิด
• ไม่สามารถดำเนินการชำระเงินได้
• ค่าปรับที่เกี่ยวข้องกับ GDPRและ DPA ในกรณีที่มีการละเมิด
• ค่าปรับจากธนาคารของคุณในกรณีที่มีการละเมิด
เพื่อช่วยลดความเสี่ยงและหลีกเลี่ยงบทลงโทษอันเนื่องมาจากการละเมิดหรือการไม่ปฏิบัติตามข้อกำหนด องค์กรต่างๆ ต้องเข้าใจวิธีการจัดเก็บ ประมวลผล และส่งข้อมูลบัตรเครดิต และต้องมั่นใจว่าได้ปฏิบัติตามข้อกำหนดที่เกี่ยวข้องทั้งหมดของ PCI DSS แล้ว
เรียนรู้เพิ่มเติมเกี่ยวกับวิธีที่ LRQA สามารถสนับสนุนความต้องการด้านความปลอดภัยทางไซเบอร์ของคุณ
กรณีศึกษา
-
กรณีศึกษาการตรวจสอบ ISO 14083 ของ Thrust Carbon
กรณีศึกษา
Thrust Carbon ซึ่งเป็นบริษัทสตาร์ทอัพด้านเทคโนโลยีสีเขียวที่ได้รับรางวัล ได้อธิบายว่าการเป็นองค์กรแรกๆ ที่มีการตรวจยืนยันการปล่อยก๊าซเรือนกระจกตามมาตรฐาน ISO 14083 ซึ่งเป็นมาตรฐานใหม่สำหรับการดำเนินการด้านการเดินทางและขนส่ง หมายความว่าอย่างไร
