Berapa harga lisensi pci dss

Bersama dengan mitra industri, Mastercard membuat dan mengembangkan Standar Keamanan Industri bagi Data Kartu Pembayaran (PCI DSS) pada tahun 2006. Untuk membantu acquirer, merchant dan penyedia layanan sesuai dengan standar kritis ini, Mastercard juga menawarkan Program Perlindungan Data Situs (SDP).Program SDPs, dengan PCI DSS sebagai landasannya, merincikan keamanan data dan persyaratan kepatuhan validasi yang diperlukan untuk melindungi disimpan dan ditransmisikan Mastercard data akun pembayaran.

PCI DSS dirancang untuk mengidentifikasi kelemahan dalam proses keamanan, prosedur dan konfigurasi situs Web. Compliance PCI DSS dengan mandat Program SDP akan membantu merchant, penyedia layanan dan emiten perlindungan terhadap pelanggaran keamanan, sekaligus meningkatkan kepercayaan konsumen dan melindungi integritas keseluruhan sistem pembayaran.

Pelajari selengkapnya

Standar Keamanan Data PCI

Dengan lebih dari 250 sub-persyaratan, PCI DSS dapat diurutkan pada tingkat tinggi ke dalam 6 tujuan dan 12 persyaratan utama.

Enam Tujuan, 12 Persyaratan

Standar Keamanan Data Aplikasi Pembayaran

Standar Keamanan Data Aplikasi Pembayaran (PA-DSS) diperuntukkan bagi pengembang perangkat lunak dan integrator dari aplikasi pembayaran yang menyimpan, nemproses atau mentransmisikan data pemegang kartu sebagai bagian dari otorisasi ketika aplikasi tersebut dijual, didistribusikan atau diberikan lisensi kepada pihak ketiga.

PA-DSS membutuhkan vendor aplikasi pembayaran pihak ketiga untuk memastikan adanya kendali keamanan yang tepat di tempat untuk menjaga data pemegang kartu. Banyaknya kontrol dalam PA-DSS dirancang untuk secara khusus menangani kelemahan umum yang merupakan penyebab utama di balik hilangnya data kartu kredit.

Mandat Mastercard efektif 1 Juli 2012

Efektif 1 Juli 2012, Mastercard merevisi SDP Program Standar Mastercard untuk mewajibkan semua merchant dan penyedia layanan yang menggunakan aplikasi pembayaran oleh pihak ketiga untuk wajib menggunakan aplikasi yang telah sesuai dengan Standar Keamanan Industri bagi Data Kartu Pembayaran (PCI PA- DSS), sebagaimana yang berlaku. Penerapan PCI PA-DSS untuk aplikasi pembayaran yang disediakan oleh pihak ketiga telah didefinisikan dalam PCI PA-DSS Program Guide. Selain itu, Mastercard akan menetapkan persyaratan kepatuhan validasi PA-DSS baru untuk Level 1, Level 2 dan Level 3 pedagang serta penyedia Level 1 dan Level 2 layanan.

Mandat Mastercard PA-DSS akan terus mendorong adopsi global dan kepatuhan atas PCI DSS bagi semua pemangku kepentingan dalam ekosistem pembayaran.

Gambaran Umum

Payment Card Industry Data Security Standard (PCI DSS) adalah standar keamanan informasi kepemilikan yang dikelola oleh PCI Security Standards Council, yang dibentuk oleh American Express, Discover Financial Services, JCB International, MasterCard Worldwide, dan Visa Inc.

PCI DSS berlaku pada entitas yang menyimpan, memproses, atau mengirimkan data pemegang kartu (CHD) atau data autentikasi sensitif (SAD), termasuk merchant, pengolah, pengakuisisi, penerbit, dan penyedia layanan. PCI DSS dimandatkan oleh merek kartu dan dikelola oleh Payment Card Industry Security Standards Council.

Pengesahan Kepatuhan (AOC) dan Ringkasan Tanggung Jawab PCI DSS tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.

• Apakah AWS Bersertifikasi PCI DSS?

  Ya, Amazon Web Services (AWS) memiliki sertifikasi sebagai Penyedia Layanan PCI DSS Tingkat 1, tingkat penilaian tertinggi yang ada. Penilaian kepatuhan dilakukan oleh Coalfire Systems Inc., Qualified Security Assessor (QSA) yang independen. Pengesahan Kepatuhan (AOC) dan Ringkasan Tanggung Jawab PCI DSS tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.
  

• Mana saja layanan AWS yang patuh dengan PCI DSS?

• Apa artinya ini bagi saya sebagai penyedia layanan atau merchant PCI DSS?

  Sebagai pelanggan yang menggunakan layanan AWS untuk menyimpan, memproses, atau mengirimkan data pemegang kartu, Anda dapat mengandalkan infrastruktur teknologi AWS saat Anda mengelola sertifikasi kepatuhan PCI DSS Anda sendiri.

  AWS tidak secara langsung menyimpan, mengirimkan, atau memproses data pemegang kartu (CHD) apa pun. Namun, Anda dapat membuat lingkungan data pemegang kartu Anda sendiri (CDE) yang dapat menyimpan, mengirim, atau memproses data pemegang kartu menggunakan layanan AWS.
  

• Apa artinya ini bagi saya yang bukan merupakan pelanggan merchant PCI DSS?

  Bahkan jika Anda bukanlah pelanggan PCI DSS, kepatuhan PCI DSS kami menunjukkan komitmen kami terhadap keamanan informasi di setiap tingkat. Mengingat standar PCI DSS divalidasi oleh pihak ketiga eksternal yang independen, hal ini menegaskan bahwa program manajemen keamanan kami komprehensif dan mengikuti praktik industri terkemuka.
  

• Sebagai pelanggan AWS, dapatkah saya mengandalkan Pengesahan Kepatuhan (AOC) AWS atau akankah pengujian tambahan diperlukan untuk melengkapi kepatuhan?

  Pelanggan harus mengelola sertifikasi kepatuhan PCI DSS mereka sendiri, dan pengujian tambahan akan diperlukan untuk memverifikasi bahwa lingkungan Anda memenuhi semua persyaratan PCS DSS. Namun, untuk porsi lingkungan data pemegang kartu (CDE) PCI yang disebarkan di AWS, Qualified Security Assessor (QSA) Anda dapat mengandalkan Pengesahan Kepatuhan (AOC) AWS tanpa pengujian lebih lanjut.
  

• Bagaimana cara mengetahui kontrol PCI DSS yang menjadi tanggung jawab saya?

  Untuk informasi detail, lihat "Ringkasan Tanggung Jawab AWS PCI DSS" dari Paket Kepatuhan AWS PCI DSS, tersedia untuk pelanggan melalui AWS Artifact, portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.
  

• Bagaimana cara mendapatkan Paket Kepatuhan AWS PCI?

  Paket Kepatuhan AWS PCI tersedia untuk pelanggan melalui AWS Artifact, yaitu portal layanan mandiri untuk akses sesuai permintaan ke laporan kepatuhan AWS. Masuk ke AWS Artifact di AWS Management Console, atau pelajari selengkapnya di Memulai AWS Artifact.
  

• Apa saja isi dari Paket Kepatuhan AWS PCI DSS?

  Paket Kepatuhan AWS PCI mencakup:

  • Pengesahan Kepatuhan (AOC) AWS PCI DSS 3.2.1
  • Ringkasan Tanggung Jawab AWS PCI DSS 3.2.1

• Apakah AWS tertera dalam Daftar Penyedia Layanan Global Visa dan Daftar Penyedia Layanan Kepatuhan MasterCard?

• Apakah standar PCI DSS mewajibkan lingkungan tenant tunggal agar sesuai dengan kepatuhan?

  Tidak. Lingkungan AWS adalah lingkungan multi-tenant yang divirtualisasi. AWS telah menerapkan proses manajemen keamanan, persyaratan PCI DSS, dan kontrol pelengkap lainnya yang secara efektif dan aman memisahkan setiap pelanggan ke dalam lingkungannya sendiri yang terlindungi. Arsitektur yang aman ini telah divalidasi oleh QSA independen dan ditemukan telah sesuai dengan semua persyaratan PCI DSS yang berlaku.

  PCI Security Standards Council telah menerbitkan PCI DSS Cloud Computing Guidelines untuk pelanggan, penyedia layanan, dan penilai layanan komputasi cloud. Pedoman tersebut juga menjelaskan berbagai model layanan dan porsi tanggung jawab kepatuhan antara penyedia dan pelanggan.
  

• Apakah QSA untuk merchant Tingkat 1 harus menjelajahi panduan fisik pusat data AWS?

  Pengesahan Kepatuhan (AOC) AWS menunjukkan penilaian ekstensif untuk kontrol keamanan fisik dari pusat data AWS. QSA merchant tidak perlu memverifikasi keamanan pusat data AWS.
  

• Apakah AWS mendukung investigasi forensik?

• Apakah ada lingkungan yang sesuai PCI DSS khusus yang harus saya tentukan saat menghubungkan server atau mengunggah objek untuk disimpan?

  Selama Anda menggunakan layanan AWS yang patuh dengan PCI DSS, seluruh infrastruktur yang mendukung layanan dalam lingkup sudah sesuai dan tidak ada lingkungan terpisah atau API khusus yang perlu digunakan. Setiap server atau objek data yang diterapkan atau menggunakan layanan ini berada dalam lingkungan yang patuh terhadap PCI DSS, secara global. Untuk daftar layanan AWS yang sesuai dengan PCI DSS, lihat tab PCI pada halaman web Layanan AWS dalam Lingkup menurut Program Kepatuhan.
  

• Apakah kepatuhan AWS berlaku secara internasional?

  Ya. Silakan melihat AOC PCI DSS terbaru di AWS Artifact untuk mendapatkan daftar lengkap lokasi yang sesuai.
  

• Apakah standar PCI DSS bersifat publik?

• Apakah sudah ada yang mendapatkan sertifikasi PCI DSS di platform AWS?

  Ya, banyak pelanggan AWS yang telah berhasil menyebarkan dan menyertifikasi sebagian atau semua lingkungan pemegang kartu mereka di AWS. AWS tidak mengungkapkan pelanggan yang sudah mendapatkan sertifikasi PCI DSS, tapi bekerja dengan pelanggan dan penilai PCI DSS mereka secara reguler dalam merencanakan, menyebarkan, memberikan sertifikasi, dan melakukan pemindaian triwulan untuk lingkungan pemegang kartu di AWS.
  

• Seperti apa cara agar perusahaan bisa mematuhi PCI DSS?

  Ada dua pendekatan utama yang dilakukan perusahaan untuk memvalidasi kepatuhan PCI DSS mereka setiap tahun. Pendekatan pertama adalah dengan penilaian lingkungan Anda yang berlaku oleh Qualified Security Assessor (QSA) lalu membuat Laporan tentang Kepatuhan (ROC) dan Pengesahan Kepatuhan (AOC); pendekatan ini paling umum untuk entitas yang menangani transaksi dalam volume besar. Pendekatan kedua adalah melakukan Kuesioner Penilaian Mandiri (SAQ); pendekatan ini umum digunakan entitas yang menangani volume transaksi yang lebih kecil.

  Penting untuk dicatat bahwa merek pembayaran dan pengakuisisi bertanggung jawab dalam memberlakukan kepatuhan, bukan dewan PCI.
  

• Apa saja persyaratan untuk kepatuhan PCI DSS?

  Di bawah ini adalah gambaran umum tingkat tinggi persyaratan PCI DSS.

  Membangun dan Memelihara Jaringan dan Sistem yang Aman	1. Instal dan kelola konfigurasi firewall untuk melindungi data pemegang kartu 2. Jangan gunakan default yang disediakan vendor untuk kata sandi sistem serta parameter keamanan lainnya
  Melindungi Data Pemegang Kartu	3. Lindungi data pemegang kartu yang tersimpan 4. Enkripsi transmisi data pemegang kartu di seluruh jaringan publik yang terbuka
  Mengelola Program Manajemen Kerentanan	5. Lindungi semua sistem terhadap malware dan perbarui perangkat lunak atau program anti-virus secara teratur 6. Kembangkan dan kelola sistem serta aplikasi yang aman
  Menerapkan Langkah-Langkah Kontrol Akses yang Kokoh	7. Batasi akses ke data pemegang kartu menurut kebutuhan bisnis 8. Identifikasi dan autentikasi akses ke komponen sistem 9. Batasi akses fisik ke data pemegang kartu
  Memantau dan Menguji Jaringan secara Teratur	10. Lacak dan monitor semua akses ke sumber daya jaringan dan data pemegang kartu 11. Uji sistem dan proses keamanan secara teratur
  Mengelola Kebijakan Keamanan Informasi	12. Kelola kebijakan yang mengatasi keamanan informasi untuk semua personel

• Apa posisi AWS dalam dukungan protokol TLS 1.0 yang berkelanjutan?

  AWS tidak memiliki kampanye untuk menghentikan TLS 1.0 di semua layanan karena beberapa pelanggan (misalnya non-PCI) yang memerlukan opsi protokol ini, namun, masing-masing layanan AWS menilai dampak kepada pelanggan jika menonaktifkan TLS 1.0 untuk layanan mereka dan mungkin memilih untuk tidak lagi menggunakannya. Pelanggan mungkin juga menggunakan titik akhir FIPS untuk membantu memastikan penggunaan mereka atas kriptografi yang kuat. AWS akan memperbarui semua titik akhir FIPS minimal ke TLS versi 1.2. Silakan baca postingan blog ini untuk detail selengkapnya.
  

• Bagaimana cara pelanggan mengonfigurasi arsitektur AWS untuk mematuhi persyaratan PCI demi TLS yang aman?

  Semua Layanan AWS dalam lingkup untuk PCI mengaktifkan TLS 1.1 atau lebih tinggi dan sebagian dari layanan ini juga mendukung TLS 1.0 untuk pelanggan (non-PCI) yang mewajibkannya. Pelanggan bertanggung jawab untuk melakukan upgrade pada sistem mereka untuk memulai handshake dengan AWS yang menggunakan TLS aman, yaitu TLS 1.1 atau lebih tinggi. Pelanggan harus menggunakan dan mengonfigurasi penyeimbang muatan AWS (Application Load Balancer atau Classic Load Balancer) untuk komunikasi aman menggunakan TLS 1.1 atau yang lebih tinggi dengan memilih kebijakan keamanan AWS standar yang dapat memastikan bahwa negosiasi protokol enkripsi antara klien dan penyeimbang muatan menggunakan misalnya TLS 1.2. Misalnya Kebijakan Keamanan AWS Load Balancer ELBSecurityPolicy-TLS-1-2-2018-06 hanya mendukung TLS 1.2.
  

• Apa tindakan yang disarankan untuk pelanggan jika TLS 1.0 muncul di hasil pindaian mereka?

  Jika pemindaian ASV (Approved Scanning Vendor) pelanggan mengidentifikasi TLS 1.0 pada endpoint API AWS, itu berarti bahwa API tersebut masih mendukung TLS 1.0 serta TLS 1.1 atau yang lebih tinggi. Beberapa Layanan AWS dalam lingkup untuk PCI mungkin masih mengaktifkan TLS 1.0 untuk pelanggan yang memerlukannya untuk beban kerja non-PCI. Pelanggan dapat menyediakan bukti untuk ASV bahwa titik akhir AWS API mendukung TLS 1.1 atau lebih tinggi dengan menggunakan alat, misalnya Qualys SSL Labs, untuk mengidentifkasi protokol yang digunakan. Pelanggan juga dapat memberikan bukti bahwa mereka mengaktifkan handshake TLS aman dengan menyambung melalui AWS Elastic Load Balancer yang dikonfigurasi dengan Kebijakan Keamanan yang sesuai yang hanya mendukung TLS 1.1 atau yang lebih tinggi (misalnya ELBSecurityPolicy-TLS-1-2-2017-01 hanya mendukung v1.2). ASV mungkin mengharuskan pelanggan mengikuti proses sengketa kerentanan pemindaian dan bukti yang diuraikan dapat digunakan sebagai bukti kepatuhan. Atau, dengan melibatkan ASV mereka lebih awal dan memberikan bukti ini ke ASV sebelum pemindaian, mereka dapat melancarkan penilaian dan mendukung pemindaian ASV yang sebelumnya.