PCI/DSS Sertifikası: E-Ticaret Siteleri için Önemi ve Alım Süreci

E-ticaretin hızla büyümesi, çevrim içi ödeme işlemlerinin güvenliğini her zamankinden daha kritik hâle getirmiştir. Artan veri ihlalleri ve dolandırıcılık vakaları, hem tüketici güvenini sarsmakta hem de işletmeler için ciddi yasal ve finansal riskler doğurmaktadır. Bu bağlamda, Payment Card Industry Data Security Standard (PCI/DSS) sertifikası, ödeme sistemleriyle çalışan tüm e-ticaret siteleri için vazgeçilmez bir güvenlik standardı olarak öne çıkmaktadır.

Bu içeriğimizde, PCI/DSS sertifikasının e-ticaret alanındaki önemini, yasal zorunlulukları ve müşteri güveni üzerindeki etkisi ile birlikte, sertifika edinme sürecine dair temel aşamaları kapsamlı bir şekilde ele aldık. Keyifli okumalar dileriz!

PCI/DSS Sertifikası Nedir?

PCI/DSS sertifikası, ödeme verilerinin işlenme, iletilme ve saklanma aşamalarında azami güvenlik sağlamayı hedefleyen uluslararası bir standartlar bütününü temsil etmektedir. Açılımı “Payment Card Industry Data Security Standard” olan bu çerçeve; Visa, Mastercard, American Express, Discover ve JCB tarafından 2004’te oluşturulmuştur. 2006’dan itibaren ise PCI Security Standards Council tarafından yönetilmektedir. PCI/DSS sertifikası için belirlenen standartlar, kart hamiline ait tüm hassas bilgilerin bütünlüğünü ve gizliliğini 12 zorunlu güvenlik maddesi ile desteklemektedir. İlgili standart kapsamında belirlenen 12 zorunlu güvenlik gereksinimi ise aşağıdaki gibidir:

Güvenlik konfigürasyonu	Varsayılan ayarların kaldırılması	Saklanan verinin korunması	Veri iletiminde şifreleme
Zararlı yazılımlara karşı koruma	Güvenli sistem ve yazılım geliştirme	Erişim yetkilerinin sınırlandırılması	Benzersiz kimlik aratma
Fiziksel erişim kontrolleri	Erişim izleme ve kayıt yönetimi	Düzenli güvenlik testleri	Kapsamlı bilgi güvenlik politikası

Bu maddeler, kart verisinin ağ içinde ve dışında her adımda korunduğunu belgelemektedir.  PCI/DSS sertifikası uyumu, yalnız teknik bir onaydan ibaret değildir. Bankalar ve ödeme sağlayıcıları, kartlı işlem yetkisi vermeden önce işletmenin güncel PCI/DSS raporunu görmekte, hatta bazı sözleşmelerde uyumsuzluk hâlinde tek taraflı fesih maddeleri yer almaktadır. E-ticaret markalarının “ödeme alabilir” statüsünü korumak için PCI/DSS sertifikası güvenlik raporu, süreklilik arz eden kontrollerle güncel tutulmaktadır. 

PCI/DSS Sertifikası ve Uyumluluğu E-Ticaret Siteleri için Önemi

Kartlı ödeme trafiğinin aslan payını üstlenen e-ticaret sektörü, her saniye onlarca ülkeden yüz binlerce kart bilgisini işlemektedir. Bu hacim, saldırganların odağını “card-not-present”, yani kartın fiziksel olarak kullanılmadığı işlemlere çevirmiştir. Dolayısıyla ödeme altyapısının PCI/DSS sertifikası ile güvenlik uyumluluğu, operasyonun sürdürülebilirliği açısından kritik rol oynamaktadır.

PCI/DSS sertifikası gerekliliklerinin başarıyla uygulanması; kuruluşun ağ mimarisinden erişim kontrolüne, kriptografik güvenlik protokollerinden zafiyet taramalarına kadar geniş bir yelpazede sıkı denetimlerden geçtiğini kanıtlamaktadır. Böylece işletmeler, PCI DSS uyumlu güvenli ödeme altyapısı sayesinde müşteri verisi hırsızlığına karşı caydırıcı bir savunma hattı kurmaktadır. Nihayetinde olası ihlallerin hukuki ve finansal sonuçları en düşük düzeye indirilmektedir.

Dijital ödeme güvenliği sağlayan bu standardın önemini uyumsuzluğun yol açtığı yüksek profilli ihlaller en net biçimde göstermektedir. British Airways, Haziran 2018’de 429 bini aşkın müşterinin kart verisini açığa çıkaran olay sonrasında önce 183 milyon poundluk (yaklaşık 229 milyon dolar) cezayla karşı karşıya kalmıştır. Nihai karar 20 milyon pounda düşürülsede şirketin itibarında kalıcı bir hasar oluşmuştur. Target ise 2013’te 40 milyon kart kaydının çalınmasına yol açan ihlal nedeniyle 18,5 milyon dolar tazminat ödemiş; toplam maliyet idari yaptırımlar ve güvenlik yatırımlarıyla 200 milyon doları aşmıştır. Bu iki örnek, PCI/DSS güvenlik standartları ile uyumun ihmal edilmesi hâlinde hem maddi hem de itibar açısından sonuçların sert olacağını kanıtlamaktadır.

PCI/DSS uyumluluğu, veri güvenliği ihlalini tehdit olmaktan çıkararak nadiren karşılaşılan bir olaya indirgemektedir. Şifreli veri saklama, çok faktörlü kimlik doğrulama, düzenli zafiyet taramaları ve olay izleme mekanizmaları, saldırganların işini zorlaştırmaktadır. Böylece işletmeler, düzenleyici cezaların yanı sıra geri ödeme maliyetleri (chargeback) ve hukuki süreçlerden de korunmaktadır. En önemlisi, marka sadakatinin temelini oluşturan müşteri güveni pekiştirilmektedir. Kart sahibinin ilgili sitede alışveriş yapmanın güvenli olduğuna dair algısı, dönüşüm oranlarını da doğrudan etkilemektedir. E-ticaret arenasında marka değerinin itici gücü, artık yalnız ürün ya da fiyat avantajı değil, aynı zamanda PCI DSS sertifikasıyla somutlaştırılmış ödeme güvenliği vaadidir.

PCI/DSS Sertifikası Sahibi Olmanın Sağladığı Avantajlar

E-ticaret işletmeleri, veri işleme güvenliği kapsamında ilgili standartlara uymakla yükümlüdür. PCI/DSS uyumluluğu, bu yükümlülüğü rekabet avantajına dönüştüren ölçülebilir bir sistem sunarak aşağıda sıralanan somut avantajları sağlamaktadır:

• Müşteri Güveni ve Marka İtibarı: PCI/DSS sertifikası, kart verisinin 12 zorunlu kontrol altında korunduğunu resmî olarak belgelemektedir. Bu durum, güvenlik rozetleri ve ödeme sayfasındaki “PCI/DSS compliant” ibaresiyle desteklenmekte, böylelikle alışveriş yapan kullanıcının risk algısını ortadan kalkarak markaya duyulan güven artmaktadır.
• Daha Düşük Geri Ödeme ve Dolandırıcılık Riski: Uygulanan şifreleme yöntemleri, ağ segmentasyonu ve erişim kontrolleri, kart verisini çalmaya yönelik girişimleri zorlaştırmaktadır. Güncel pek çok örnek, PCI/DSS sertifikası alındıktan sonra ödeme geçidi ihlallerinin belirgin biçimde azaldığını göstermektedir. Böylece charge-back oranları ve dolandırıcılık kaynaklı zararlar da bertaraf edilmektedir. 
• Yasal Uyumun Sağlanması ve Ceza Riskinin Azalması: Uyumsuz işletmeler, kart şemasına bağlı olarak aylık 5.000-100.000 USD arasında para cezası ödemek durumunda kalmaktadır. Büyük ölçekli ihlallerde ise cezalar çok daha ağırdır. British Airways 2018 sızıntısı için 20 milyon pound, Target ise 2013 ihlali sonrası 18,5 milyon USD tazminat ödemiştir.
• Yüksek Dönüşüm Oranları: Güvenlik rozetleri ve PCI DSS logoları, ödeme adımında kart bilgilerinin koruma altında olduğunun ispatı olarak işletme güvenliğini vurgulamakta, sepet terk oranlarını düşürmektedir. Güven sinyalleri yüksek sitelerde kullanıcıların satın alma işlemini tamamlama olasılığı ölçülebilir şekilde artmaktadır. Bu etki, SEO performansına da pozitif yansımaktadır.
• Rekabet Avantajı ve İş Ortaklıkları: Kurumsal alıcılar ile ödeme sağlayıcıları, sözleşmelerine PCI/DSS uyumluluğu maddesi ekleyebilmektedir. PCI/DSS sertifikasına sahip olmak hem global pazar yerlerinde mağaza açarken hem de büyük markalarla entegrasyon kurulurken ön yeterlilik niteliği taşımaktadır.

PCI/DSS sertifikası, veri ihlali önlemede güçlü bir güvenlik kalkanı görevi görmektedir. Böylece işletmelere de finansal, hukuki ve rekabetçi açıdan ölçülebilir avantajlar sunmaktadır.

PCI/DSS’in Mart 2022’de yayımlanan v4.0 sürümü, dinamik tehdit ortamına uyum sağlamak amacıyla risk yönetimi temelli yaklaşımı pekiştirmektedir. Bu bağlamda denetimlerin 2025’e kadar yeni gereksinimlerle uyumlu hâle getirilmesini zorunlu tutulmaktadır. PCI/DSS sertifikası standardına uyumluluk sürecini tamamlayan şirketler, sadece düzenleyici baskılardan korunmakla kalmamaktadır. Aynı zamanda müşteri güvenini pekiştirerek rekabet avantajı da elde etmektedir. Özetle PCI/DSS sertifikasyon sürecini tamamlamak, ödeme ekosisteminde sürdürülebilir büyüme ve itibar yönetimi bakımından vazgeçilmez bir stratejik zorunluluk hâline gelmektedir.

PCI/DSS Sertifikasının Temel Gereklilikleri

PCI/DSS v4.0, kart hamiline ait veriyi korumak için küresel ödeme ekosisteminde zorunlu hâle getirilen 12 ayrı kontrolü, altı güvenlik hedefi altında toplamaktadır. İlgili kontrollerin bütünü; ağ sınırından uygulama katmanına, kimlik doğrulamadan olay izlemeye kadar her basamakta ölçülebilir koruma sağlamaktadır. Bu gerekliliklerin tamamı şu şekilde sıralanmaktadır:

Güvenli Ağ Oluşturma ve Sürdürme

Veri koruma stratejisinin ilk adımı, işletmenin ağ topolojisini saldırganlara karşı geçit vermez hâle getirmektedir. Güvenlik duvarı kuralları tutarlı biçimde yönetilmekte, kart verisi taşıyan her segment bir sınır cihazının arkasında konumlanmaktadır. Bir diğer gereklilik ise üretici parolalarının ve varsayılan güvenlik ayarlarının tamamen kaldırılmasıdır. Güçlü kimlik bilgileri, ağ güvenliğini zorlamaya çalışan otomatik botları bertaraf etmektedir. Bu iki kontrol, kredi kartı güvenliğine yönelebilecek ilk temas vektörlerini etkili biçimde engellemektedir. 

Kart Sahibi Verilerini Koruma

Bu aşamdaki güvenlik yükümlülükleri, kart numarası ve ilgili hassas alan verilerinin anahtar yönetimi dâhil güçlü kriptografi ile şifrelenmesini zorunlu kılmaktadır. Genel ağlar üzerinden aktarım sağlanırken kartlı ödeme güvenliğinin TLS 1.2 veya daha yüksek seviye protokollerle korunması sağlanmaktadır. Böylece verinin hem depolama hem aktarım evresinde okunabilir hâle gelmesi önlenmekte, araya girme saldırılarının başarı ihtimali asgari düzeye inmektedir.

Güvenlik Açıklarını Yönetme

Güvenlik denetimi kapsamında kötü amaçlı yazılım tehditlerine karşı güncel anti-malware motorlarının kullanılması gerekmektedir. Ek olarak yama yönetiminin 30 günü aşmaması ve güvenli yazılım geliştirme yaşam döngüsünün izlenmesi önem arz etmektedir. 3 ayda bir onaylı dış ağ taraması ve yılda en az bir kez kapsamlı sızma testiyle savunma hatlarının sınanması da mühimdir. Bu dinamik döngü, yeni zafiyetlerin henüz operasyonel sisteme zarar vermeden kapatılmasını sağlamaktadır.

Erişim Kontrolleri

PCI/DSS sertifikası standartları gereği kart verisine erişim ve işlem güvenliği, iş gereksinimiyle sınırlamakta ve her kullanıcıya benzersiz kimlik ataması zorunlu kılınmaktadır. Çok faktörlü kimlik doğrulama yöntemleri, yetkisiz oturum riskini azaltmaktadır. Ayrıca veri merkezleri ile kart verisi içeren fiziksel ortamlara giriş-çıkışların kayda dayalı şekilde kontrol edilmesi de gerekmektedir. Böylece mantıksal ve fiziksel katmanlar birbirini tamamlayarak veri sızıntısı senaryolarını daraltmaktadır.

Güvenlik Politikası Uygulama

Erişim ve sistem olay günlüklerinin günlük olarak gözden geçirilmesi ve en az 1 yıl güvenli depoda saklanması şart koşulmaktadır. Yönetim destekli bilgi güvenliği politikasının ise yılda bir kez güncellenmesi ve tüm personele duyurulması talep edilmektedir. İzleme ve politika bileşenleri, önceki kontrollerin sürdürülebilirliğini güvence altına alarak olay müdahalesinde kritik hız avantajı sağlamaktadır.

PCI/DSS Sertifikası Kimler için Zorunludur?

PCI/DSS sertifikası, kredi kartı verisinin işlendiği tüm ortamlarda güvenliğin sağlanması amacıyla oluşturulmuş zorunlu bir standarttır. Herhangi bir şekilde kart verisine erişen, bu veriyi saklayan veya ileten kuruluşlar, sertifikaya sahip olmakla yükümlüdür. Uyumsuzluk hâlinde hem ağır para cezaları hem de sözleşme iptalleri ile karşı karşıya kalınabilmektedir. PCI/DSS sertifikası, aşağıdaki taraflar için zorunludur:

• Kartlı Ödeme Alan E-Ticaret İşletmeleri: İnternetten satış yapan ve kredi/banka kartıyla ödeme kabul eden tüm platformlarda e-ticaret güvenliği, PCI/DSS sertifikası ile sağlanmaktadır. Kart bilgilerini kendi sunucularında saklayan veya bir ödeme formu üzerinden işleyen işletmeler, e-ticaret altyapısı kapsamında doğrudan bu standardın kapsamına girmektedir.
• POS Cihazı Kullanan Fiziksel İşletmeler: Fiziksel mağazalarda POS cihazı aracılığıyla ödeme alan işletmeler, eğer kart verisini elektronik olarak saklıyor veya işliyorsa PCI/DSS sertifikası temin etmekle yükümlüdür. Bu kapsama perakende zincirleri, restoranlar, oteller ve benzeri tüm sektörler dâhildir.
• Ödeme Hizmeti Sağlayıcıları (PSP): Sanal POS, ödeme geçidi (gateway), mobil cüzdan entegrasyonu veya abonelik tabanlı tahsilat sistemleri sunan şirketler için PCI/DSS sertifikası zorunludur. Bu firmalar, birden fazla müşteri adına işlem gerçekleştirdikleri için daha katı denetimlere tabi tutulmaktadır.
• Kart Veren Bankalar ve Finansal Kurumlar: Kredi kartı çıkaran bankalar, işlemci kuruluşlar (processor) ve edinen kurumlar (acquirer) da PCI/DSS sertifikası zorunluluğu altındadır. Özellikle provizyon, takas ve ödeme yönlendirme altyapılarını barındıran sistemler, doğrudan bu sertifikaya tabi tutulmaktadır.
• Kart Verisini İşleyen Üçüncü Taraf Hizmet Sağlayıcıları: Kart bilgilerini doğrudan işleyen çağrı merkezleri, dış kaynak IT hizmeti veren firmalar, bulut sunucu sağlayıcıları ve benzeri tüm üçüncü taraflar da PCI/DSS kapsamındadır. Zira bu kuruluşların sertifikasız şekilde hizmet vermesi, çalıştıkları işletmeleri de risk altına sokmaktadır.

PCI/DSS sertifikası yalnızca gönüllü bir siber güvenlik standardı değil, kart verisine temas eden tüm kurumlar için regülasyon tabanlı bir zorunluluktur. Sektör fark etmeksizin, kart verisini saklayan, ileten veya işleyen her kuruluş bu sertifikayı edinmeli; aksi hâlde iş ortaklığı kaybı, regülasyon yaptırımları ve yüksek cezalara maruz kalmayı göze almalıdır.

PCI / DSS Seviyeleri

PCI/DSS uyumluluğu, bir işletmenin bir takvim yılı içinde gerçekleştirdiği kart işlem sayısına bağlı olarak dört seviye hâlinde tanımlanmaktadır. Doğrulama sürecinin yoğunluğu ve raporlama yükümlülükleri, seviyeye göre belirlenmektedir. PCI DSS seviyeleri aşağıdaki gibidir: 

• Seviye 1: Yılda 6 milyonun üzerinde kart işlemi üreten kuruluşları kapsamaktadır. Bu düzeyde Visa, Mastercard ve diğer kart şemaları, işletmenin her yıl Yetkili Güvenlik Denetçisi (QSA) tarafından yerinde inceleme raporu (RoC) almasını ve her üç ayda bir onaylı dış ağ taramasını iletmesini zorunlu tutmaktadır. Çünkü bu hacim, potansiyel riskin en yüksek olduğu kategori olarak görülmektedir. 
• Seviye 2: Yıllık işlem hacmi 1 ila 6 milyon aralığında kalan firmalara ayrılmaktadır. Kontroller Seviye 1 ile aynı kapsamı taşımakta; fakat çoğu durumda kuruluş, uyumu yıllık Öz Değerlendirme Anketi (SAQ) doldurarak kanıtlamaktadır. Hacim artışı ya da önceki zafiyet öyküsüne bağlı olarak zaman zaman dış uyumluluk denetimi de talep edebilmektedir. 
• Seviye 3: E-ticaret odaklı kurumların önemli bir bölümünü oluşturmaktadır. Burada eşik, yirmi bin ile bir milyon arası çevrim içi işlem sayısıdır. İşletme, yılda bir SAQ göndermekte ve üç aylık periyotlarla ağ zafiyet taraması yaptırmaktadır. Kart çıkaran banka veya ödeme ağ geçidi, yüksek riskli senaryolarda ek denetim şartı koşabilmektedir.
• Seviye 4: Yirmi binin altında e-ticaret işlemi yapan ya da toplamda bir milyonun altında kart işlemi bulunan küçük ölçekli şirketleri barındırmaktadır. Doğrulama, temel SAQ dokümantasyonu ve düzenli dış taramalarla yürümekte yine de ciddi bir ihlal ortaya çıktığında banka, üst seviye prosedürleri devreye sokarak yerinde inceleme isteyebilmektedir. 

Her dört seviyede de PCI/DSS’nin 12 temel kontrolü eksiksiz uygulanmak zorundadır. Aradaki fark ise bu kontrollerin kim tarafından ve hangi sıklıkta doğrulandığı noktasında ortaya çıkmaktadır. İşlem hacmi büyüdükçe denetim süreci maliyeti yükselmektedir. Fakat yüksek hacim taşıyan kuruluşlar, itibar ve finansal pozisyon bakımından olası veri sızıntılarından en çok etkilenebilecek taraf olmaktadır. Dolayısıyla sertifikasyon sürecindeki katı prensipler, doğrudan risk temelli bir yaklaşıma dayanmaktadır. 

PCI/DSS Sertifikası Nasıl Alınır?

PCI/DSS sertifikasyon süreci, kart verisini işleyen tüm sistem bileşenlerinin uluslararası güvenlik çerçevesine uyumlu hâle getirildiğini belgelemektedir. Bu süreçte taraflardan aşağıdaki adımların eksiksiz şekilde atılması beklenmektedir. 

Ön Hazırlık ve Altyapı Kontrolü

PCI/DSS sertifikasına giden yol, kapsam belirleme ve boşluk analizi ile başlamaktadır. Kart verisinin nerede işlendiği, iletildiği ve saklandığı haritalanmaktadır. Güvenlik duvarı kuralları, şifreleme yöntemleri, erişim kontrolleri ve günlük yönetimi PCI/DSS’nin 12 kontrolüne göre test edilmektedir. Bu “gap analysis” çalışması, hangi gerekliliklerin hâlihazırda karşılandığını ve hangi alanların iyileştirme beklediğini ortaya koymaktadır. Sonrasında eksik kontrollerin tamamı için teknik ve idari düzenlemeler gerçekleştirilmektedir. 

Kendi Kendine Değerlendirme (SAQ)

Ayda altı milyondan az kart işlemi yapan ve bankası tarafından aksi talep edilmeyen işletmeler, uygun Self-Assessment Questionnaire (SAQ) formunu doldurarak uyum beyanı verebilmektedir. SAQ, PCI Security Standards Council tarafından yayımlanan sürüm 4.0 güncellemeleriyle birlikte süreç akışına gelecek tarihe ertelenen kontroller de eklenmektedir. İlgili kontroller ve güvenlik değerlendirmesinin 31 Mart 2025’e kadar tamamlanmış olması gerekmektedir. Doğru SAQ tipi, işletmenin kart verisi akış modeline (örn. barındırılan ödeme sayfaları, tam POS entegrasyonu) bağlı olmaktadır. 

Onaylı Taraflardan Denetim (ROC)

Yılda altı milyonu aşan işlem hacmine sahip kuruluşlar veya bankası tarafından yüksek risk kategorisine alınan işletmeler, Yetkili Güvenlik Denetçisi (QSA) eşliğinde yerinde incelemeye tabi tutulmaktadır. Denetçi, ağ mimarisini test etmekte ve olay günlüklerini değerlendirerek her kontrol maddesi için kanıt toplamaktadır. Sonuçlar, Report on Compliance (ROC) belgesine işlenmektedir. ROC, PCI DSS çerçevesindeki en ayrıntılı doğrulama yöntemi olarak QSA imzası olmadan geçerlilik kazanmamaktadır. 

Uyumluluk Raporunun Sunulması

Tüm gereklilikler sağlandığında işletme Uyumluluk Beyanı’nı (Attestation of Compliance – AOC) imzalar ve edinen bankasına iletmektedir. Seviye 1 işletmeler ROC dosyasını da eklemektedir. Alt seviyeler için ise SAQ sonuç raporu yeterli olabilmektedir. Banka veya kart ağı AOC’yi onayladıktan sonra sertifikasyon tamamlanmaktadır; ancak süreç burada bitmemektedir. PCI/DSS sertifikası, üç aylık ağ taramaları ve yıllık yeniden doğrulama döngüsüyle canlı kalmaktadır. Bu sayede işletme hem iç denetim raporlarını güncel tutmakta hem de cezai yaptırımlardan kurtulmaktadır.

PCI/DSS Uyum Sürecinde En Sık Karşılaşılan Hatalar

PCI/DSS uyumluluğu gereği kart verisinin işlendiği her nokta, sistemli biçimde güvence altına alınmalıdır. Buna rağmen pek çok kuruluş, teknik ayrıntılarla idari sorumluluklar arasındaki dengeyi tutturamamakta ve aşağıdaki hatalara düşmektedir.

• Kapsamın dar tanımlanması, kuruluşları ilk andan zayıflatmaktadır. Ödeme sayfası dışındaki destek sunucuları, günlük depolama çözümleri veya üçüncü taraf entegrasyonları, genellikle kapsam dışında bırakılmaktadır. Eksik segmentasyon, denetim geçse dahi kart verisinin daha zayıf bir katmanda açıkta kalmasına yol açmaktadır.
• Yama yönetiminin gecikmesi, ikinci kritik sorunu oluşturmaktadır. PCI/DSS, yüksek önem dereceli yamaların 30 gün içinde uygulanmasını şart koşmaktadır. Buna karşın kuruluşlar uygulama geçiş testi veya iş yoğunluğu gerekçesiyle güncellemeleri ertelemektedir. Bilinen açıklardan yararlanan saldırılar, bu zaman aralığında kolayca başarıya ulaşmaktadır.
• Erişim kontrolü ve günlük izleme zafiyetleri de yaygın biçimde gözlemlenmektedir. Çok faktörlü kimlik doğrulama, tüm erişim noktalarında yaygınlaştırılmadığı takdirde kimlik bilgisi sızdırılan tek bir kullanıcı hesabı saldırganlara doğrudan kapı açmaktadır. Ayrıca günlük dosyaları toplanmaktadır; ancak analizi düzenli yapılmamaktadır. Dolayısıyla olay fark edilene kadar hasar büyümektedir.
• Belgelendirme hataları, sertifikasyon takvimini aksatmaktadır. Yanlış SAQ seçilmesi, ROC dosyalarının eksik teslim edilmesi veya imzalarda yetkili kişi yerine farklı birinin yer alması, sürecin reddedilmesine ve ek denetim istenmesine neden olmaktadır.
• Denetim sonrası gevşeme ise beşinci ve en pahalı hatayı teşkil etmektedir. Sertifikayı aldıktan sonra ASV taramaları ile penetrasyon testleri planlandığı gibi yürütülmemekte ve güvenlik duvarı kuralları operasyonel değişikliklere paralel güncellenmemektedir. Sonuçta uyum belgesi güncel görünürken gerçek savunma seviyesi zayıflamaktadır.

Bu hatalar, finansal veri korumasının kâğıt üzerinde kalmasına yol açmaktadır. Kapsamın doğru çizilmesi, yamaların zamanında uygulanması, erişim ve log disiplininin sürdürülmesi, eksiksiz belgelendirme ile periyodik testlerin aksatılmaması; PCI DSS uyumunu sürdürülebilir hâle getirmektedir. Böylelikle olası para cezaları ve itibar kayıpları, en baştan bertaraf edilebilmektedir. 

PCI/DSS Sertifikası ile İlgili Sıkça Sorulan Sorular

PCI/DSS Standartları Kim Tarafından Belirleniyor?

PCI/DSS standartları; 2006 yılında Visa, Mastercard, American Express, Discover ve JCB tarafından kurulan Payment Card Industry Security Standards Council (PCI SSC) tarafından belirlenmektedir. Konsey, fiziksel ve çevrim içi ödeme güvenliğini artırmak amacıyla teknik ve operasyonel gereksinimler geliştirmektedir. PCI SSC, kart verisiyle çalışan tüm tarafların katılımına açık bir yapıyla faaliyet göstermektedir. Yazılım sağlayıcıları, işlemci firmalar, bankalar ve sektörel danışmanlık kuruluşları da sürece katkı sunmaktadır. Standartlar; kart bilgisi koruması, işlenmesi ve iletilmesi sırasında uyulması gereken asgari güvenlik koşullarını tanımlamaktadır. Siber tehditler ve teknolojik gelişmeler doğrultusunda ilgili standartlar periyodik olarak güncellenmektedir. Amaç; ödeme sistemlerinde istikrarlı, sürdürülebilir ve doğrulanabilir bir güvenlik zemini kurmaktır.

PCI/DSS Sertifikası Almak Ne Kadar Sürer?

PCI/DSS sertifikası almak için gereken süre; işletmenin mevcut güvenlik durumu, işlem hacmi ve teknik altyapı gibi faktörlere bağlı olarak değişmektedir. Daha önce bilgi güvenliği alanında yatırım yapmış, risk analizini tamamlamış ve kapsamı dar olan küçük işletmeler, bu süreci genellikle ortalama 3-4 ay içinde tamamlayabilmektedir. Ancak kart verisini doğrudan işleyen, kapsamı geniş veya dağınık sistem mimarilerine sahip kuruluşlarda uyum süreci 6 ila 12 aya kadar sürebilmektedir. Bazı durumlarda sürenin daha da uzaması söz konusu olabilmektedir. 

Sertifika alma sürecinin en zaman alıcı aşaması, altyapının PCI/DSS gerekliliklerine uygun hâle getirilmesidir. Bu adımda güvenlik duvarları kurulmakta, erişim yetkileri düzenlenmekte, günlük yönetimi, şifreleme ve izleme sistemleri yapılandırılmaktadır. Uyumluluk denetimi aşaması, (QSA tarafından yapılan yerinde inceleme) birkaç gün ila birkaç hafta arası sürebilmektedir. Sonrasında tespit edilen eksikliklerin giderilmesi ek zaman gerektirmektedir. Sertifikasyon tamamlandıktan sonra her yıl yenileme gerekliliği bulunduğu için bu süreç, tek seferlik bir proje olmaktan çıkmaktadır. İşletmenin sürekli olarak yönetmesi gereken bir güvenlik çerçevesine dönüşmektedir.

PCI/DSS Uyumluluğu Nasıl Korunur?

PCI/DSS sertifikası alındıktan sonra pasif bir statüye geçmemektedir. Sürdürülebilirlik, belirli aralıklarla yürütülen teknik ve idari kontrollerle sağlanmaktadır. Sistem güncellemeleri, yama yönetimi ve erişim yetkileri, düzenli biçimde gözden geçirilmelidir. Ağ trafiği ve günlük kayıtlar sürekli izlenerek anomali tespiti yapılmalı, üç ayda bir dış ağ taramaları ve yılda en az bir kez penetrasyon testleri uygulanmalıdır. İşletme içinde güvenlik farkındalığı eğitimleri tekrarlanmalı, veriyle doğrudan temas hâlindeki birimler için ek önlemler alınmalıdır. Yeni sistem kurulumu, entegrasyon veya altyapı değişikliklerinde kapsam yeniden değerlendirilmelidir. Bu döngüsel yapı sayesinde PCI/DSS uyumluluğu güncelliğini korumakta ve belgeye değil uygulamaya dayalı bir güvenlik disiplini inşa edilmektedir.

PCI/DSS Sertifikası Almak Ne Kadara Mal Olur?

PCI/DSS sertifikası almak için gereken maliyet; işletmenin büyüklüğüne, işlem hacmine ve mevcut altyapı durumuna bağlı olarak değişmektedir. Küçük ölçekli e-ticaret siteleri için bu süreç, genellikle birkaç bin dolar seviyesinde tamamlanabilmektedir. Ancak kapsamlı sistemlere sahip büyük işletmelerde altyapı yatırımları, güvenlik danışmanlığı, denetim ücretleri ve sürekli izleme hizmetleri ile birlikte yıllık maliyet 50.000 ila 200.000 USD arasında olabilmektedir. Seviye 1 işletmelerin her yıl yetkili denetim firmalarına (QSA) ödeme yapması gerekirken alt seviyelerde öz değerlendirme (SAQ) ve dış tarama hizmetleri gibi daha düşük bütçeli çözümlerle uyumluluk sürdürülebilmektedir. Buna ek olarak sistem güncellemeleri, personel eğitimi ve log yönetimi gibi devamlılık gerektiren süreçler de yıllık olarak ek kaynak gerektirmektedir. Uyumluluğu sağlama ve sürdürme maliyeti yüksek görünse de olası bir veri ihlalinin yaratacağı itibar kaybı ve para cezaları, bu harcamaları fazlasıyla gölgede bırakmaktadır.

PCI/DSS’ye Uymazsam Ne Olur?

PCI/DSS standartlarına uyum sağlanmaması hâlinde işletmeler; yüksek para cezaları, hukuki tazminatlar ve işlem engelleri ile karşı karşıya kalmaktadır. Kart kuruluşları, uyumsuzluk durumunda aylık 5.000 ila 100.000 USD arasında ceza kesebilmektedir. Kullanıcı verisi koruması sürecinde herhangi bir ihlal yaşandığında kart çıkaran bankalar; sahte işlem zararları, kart yenileme ve soruşturma masrafları için işletmeden tazminat talep etmektedir. Bu yükümlülüklere ek olarak bankalar tarafından kart kabul yetkisi askıya alınabilmekte veya kalıcı olarak iptal edilebilmektedir. Özellikle e-ticaret ve fiziksel perakende alanında faaliyet gösteren işletmeler için bu durum, ticari faaliyetin durmasına varan sonuçlar doğurmaktadır. Uyumsuzluk hem finansal kayıp hem de kalıcı itibar zararı anlamına gelmektedir.