PCI-DSS Uyumluluk — Kart Verisi Güvenliğinde Doğru Adımlar
Kart ödemesi kabul ediyorsanız PCI-DSS bir seçenek değil; bankalar ve kartlı ödeme şirketleri Visa/Mastercard tarafından zorunlu kılınan bir standarttır. Uyumsuzluk; kart kabul yetkisinin iptali, yüksek işlem ücretleri ve ihlal sonrası cezalara yol açar. Kapsam belirleme ve daraltmadan SAQ doldurma desteğine, teknik boşluk analizinden ASV tarama koordinasyonuna kadar PCI-DSS sürecini yönetiriz.
Bu hizmet hangi sorunu çözer?
PCI-DSS'in en karmaşık boyutu kapsam (scope) belirleme ve daraltmadır. Kart verisine dokunan her sistem, ağ ve süreç PCI kapsamına girer — bu kapsam daraltılmadan uyumluluk hem pahalı hem de zorlaşır. Tokenizasyon, P2PE ve ağ segmentasyonu gibi doğru teknik yaklaşımlar kapsamı dramatik biçimde küçültebilir. Hangi SAQ tipinin geçerli olduğunu belirlemek ve doğru doldurmak da başlı başına teknik bir süreçtir.
- Kart kabul yetkisinin iptali (acquiring bank tarafından)
- Veri ihlali sonrası kart şirketi cezaları ve forensic denetim maliyeti
- Müşteri güveni kaybı ve marka hasarı
- Uyumsuzluk nedeniyle artan işlem komisyon oranları
Bu sorunu görmezden gelmenin riski
Neyi değerlendirir ve düzeltiriz?
Kapsam Belirleme ve Daraltma
- Cardholder Data Environment (CDE) tespiti
- Ağ segmentasyonu ve CDE izolasyon değerlendirmesi
- Tokenizasyon ve P2PE seçeneklerinin değerlendirilmesi
- SAQ tipi belirleme (SAQ-A, SAQ-A-EP, SAQ-D vb.)
Boşluk Analizi ve SAQ Desteği
- Mevcut kontrollerin PCI-DSS v4.0 gereksinimlerine göre değerlendirilmesi
- Öncelikli kontrol eksikliklerinin belirlenmesi
- SAQ doldurma desteği ve yanıt doğrulaması
- Kanıt belgeleme rehberliği
Teknik Kontrol Değerlendirmesi
- Güvenlik duvarı kural seti incelemesi
- Kart verisi şifreleme ve depolama denetimi
- Erişim kontrolü ve en az yetki kontrolü
- Log yönetimi ve anomali izleme
- Yama yönetimi ve zafiyet tarama süreci
ASV Tarama Koordinasyonu
- Onaylı Tarama Satıcısı (ASV) seçimi ve zamanlama
- Tarama öncesi hazırlık ve yanlış pozitif azaltma
- Tarama sonucu yorumlama ve düzeltme desteği
Ele aldığımız teknik alanlar
Tipik olarak neler tespit ederiz?
Aşağıdakiler illüstratif örneklerdir; gerçek müşteri verisi değildir.
Kart verisi gereksinim yokken loglanıyor
İşlem logları PAN (kart numarası) içeriyor; PCI-DSS hem gereksiz saklama hem de şifrelenmemiş depolama nedeniyle doğrudan ihlal.
ÖneriLog maskeleme uygulayın; tüm saklama noktalarında PAN tespiti yapın ve gereksiz olanları temizleyin.
Ağ segmentasyonu yetersiz, CDE kapsamı gereğinden geniş
Kart verisine dokunmayan sistemler CDE'ye bağlı; kapsam gereksiz yere büyük, her sistem PCI denetim altına giriyor.
ÖneriFirewall kural seti ve VLAN segmentasyonuyla CDE'yi izole edin; tokenizasyon değerlendirin.
Ne teslim alırsınız, kimler için?
Ne teslim alırsınız?
- PCI-DSS kapsam belgesi ve CDE diyagramı
- Boşluk analizi raporu (PCI-DSS v4.0 gereksinimleri ile eşleştirilmiş)
- SAQ doldurma desteği ve doğrulanmış yanıtlar
- Öncelikli düzeltme yol haritası
- ASV tarama koordinasyonu ve sonuç yorumlama
- Kanıt belgeleme rehberi
Kimler için?
- Kart ödemesi kabul eden e-ticaret ve SaaS platformları
- Otel, restoran ve perakende zincirlerinin BT/ödeme ekipleri
- Ödeme altyapısı kuran veya entegrasyon yapan yazılım şirketleri
Bu hizmeti ne zaman düşünmelisiniz?
- Kart ödemesi kabul etmeye başlamadan önce
- Bankanın PCI-DSS uyumluluk belgesi istediği her zaman
- Ödeme akışında değişiklik yapılmadan önce
- Mevcut SAQ'ın güncelliğini yitirdiği durumda
Kendi Başına SAQ Doldurmak mı, Danışmanlık mı?
| PCI-DSS Danışmanlık | Kendi Başına SAQ | |
|---|---|---|
| SAQ tipi doğruluğu | Kapsam ve entegrasyon tipine göre doğru SAQ seçimi | Yanlış SAQ seçimi riski yüksek |
| Boşluk tespiti | Teknik kontrollar bağımsız değerlendiriliyor | Öz değerlendirme; kör nokta riski |
| İhlalde savunma | Bağımsız danışman raporu kanıt olarak kullanılabilir | Öz beyan zayıf kanıt |
| ASV koordinasyonu | Dahil | Ayrıca organize edilmeli |
Sıkça Sorulan Sorular
Her ödeme alan işletme PCI-DSS'e tabi mi?
Ödeme için Iyzico/PayTR gibi servis kullanıyorum, PCI gerekli mi?
PCI-DSS v4.0 ile ne değişti?
İlgili hizmetler, araçlar ve rehberler
PCI-DSS Uyumluluk için başlayalım
Kapsamı netleştirelim, önceliklerinizi belirleyelim ve size özel, şeffaf bir güvenlik yol haritası çıkaralım — abartılı vaat değil, ölçülebilir risk azaltma.