PCI DSS

Versi Bahasa Indonesia. Baca dalam Bahasa Inggris

PCI DSS (Payment Card Industry Data Security Standard) adalah seperangkat standar keamanan yang dirancang untuk memastikan bahwa semua perusahaan yang menerima, memproses, menyimpan, atau mentransmisikan informasi kartu kredit memelihara lingkungan yang aman. Ini ditetapkan oleh PCI Security Standards Council (PCI SSC), yang didirikan oleh merek kartu pembayaran utama (Visa, MasterCard, American Express, Discover, dan JCB).

Tujuan utama PCI DSS adalah melindungi data pemegang kartu dari pencurian dan penipuan. Ini mendefinisikan persyaratan teknis dan operasional untuk mengamankan data pembayaran.

Goals dan Requirements

PCI DSS diorganisasikan ke dalam 6 gol dan 12 persyaratan, yang dirangkum di bawah ini:

1. Bangun dan Jaga Jaringan dan Sistem yang Aman

• Persyaratan 1: Pasang dan pelihara konfigurasi firewall untuk melindungi data pemegang kartu.
• Persyaratan 2: Jangan gunakan default bawaan vendor untuk password sistem dan parameter keamanan lainnya.

2. Lindungi Data Pemegang Kartu

• Persyaratan 3: Lindungi data pemegang kartu yang disimpan (misalnya enkripsi data sensitif saat diam).
• Persyaratan 4: Enkripsi transmisi data pemegang kartu melalui jaringan publik terbuka (misalnya gunakan TLS).

3. Pertahankan Program Manajemen Kerentanan

• Persyaratan 5: Lindungi semua sistem dari malware dan perbarui perangkat lunak anti-virus secara teratur.
• Persyaratan 6: Kembangkan dan pelihara sistem dan aplikasi yang aman (misalnya patch kerentanan).

4. Terapkan Tindakan Kontrol Akses yang Kuat

• Persyaratan 7: Batasi akses ke data pemegang kartu hanya untuk mereka yang membutuhkannya untuk melakukan pekerjaan mereka.
• Persyaratan 8: Identifikasi dan autentikasi akses ke komponen sistem (misalnya gunakan multi-factor authentication).
• Persyaratan 9: Batasi akses fisik ke data pemegang kartu.

5. Pantau dan Uji Jaringan Secara Teratur

• Persyaratan 10: Lacak dan pantau semua akses ke sumber daya jaringan dan data pemegang kartu (misalnya logging dan monitoring).
• Persyaratan 11: Uji sistem dan proses keamanan secara teratur (misalnya penetration testing dan vulnerability scanning).

6. Pertahankan Kebijakan Keamanan Informasi

• Persyaratan 12: Pertahankan kebijakan yang membahas keamanan informasi untuk semua personel.

Konsep Utama dalam PCI DSS

Cardholder Data (CHD): Data yang harus dilindungi meliputi:

• Primary Account Number (PAN)
• Nama pemegang kartu
• Tanggal kedaluwarsa
• Service code

Sensitive Authentication Data (SAD): Data yang tidak boleh disimpan setelah otorisasi:

• Data strip magnetik penuh
• CVV (Card Verification Value)
• PIN atau PIN block

Scope: PCI DSS berlaku untuk semua sistem yang terlibat dalam pemrosesan atau penyimpanan data pemegang kartu, termasuk:

• Aplikasi
• Database
• Server
• Perangkat jaringan

Tingkat Kepatuhan

Persyaratan kepatuhan PCI DSS bervariasi tergantung pada jumlah transaksi pembayaran yang diproses setiap tahun. Ada empat level:

• Level 1: Lebih dari 6 juta transaksi per tahun.
• Level 2: Antara 1 juta dan 6 juta transaksi per tahun.
• Level 3: Antara 20.000 dan 1 juta transaksi e-commerce per tahun.
• Level 4: Kurang dari 20.000 transaksi e-commerce per tahun atau hingga 1 juta total.

Contoh PCI DSS dalam Praktik

Situs E-commerce

• Memastikan semua data pemegang kartu ditransmisikan dengan aman menggunakan HTTPS (TLS).
• Menggunakan tokenisasi atau enkripsi untuk menyimpan data kartu.
• Menerapkan firewall untuk mengisolasi sistem sensitif.

Point-of-Sale System

• Memastikan perangkat POS tidak menyimpan data autentikasi sensitif setelah otorisasi.
• Menerapkan kontrol akses yang ketat untuk membatasi siapa yang dapat mengakses sistem.

Data Center

• Membatasi akses fisik ke data pemegang kartu.
• Mencatat semua akses ke server yang berisi informasi sensitif.

---