PCI DSS Nedir? PCI DSS v4.0.1 E-Ticaret ve Ödeme Güvenliği Rehberi

PCI DSS neyi korur ve neden vardır?

PCI DSS, ödeme kartı ekosisteminde hesap verisinin güvenli işlenmesi, iletilmesi ve saklanması için temel teknik ve operasyonel gereksinimleri tanımlar. Amaç yalnız ödeme sayfasını korumak değil; kart verisinin temas ettiği insanlar, ağlar, uygulamalar, sistemler ve üçüncü taraflar boyunca risk yüzeyini azaltmaktır.

Standart kart markalarının ortak güvenlik beklentilerini bir çerçevede toplar. Uyumun gerçek kapsamı, kart verisinin kuruluş ortamına hiç girip girmediği, hangi sistemlerin ödeme fonksiyonunu etkileyebildiği ve hangi üçüncü tarafların kullanıldığı analiz edilmeden belirlenemez.

PCI DSS kimleri kapsar?

PCI SSC, standardı ödeme kartı işleme sürecine dahil olan kuruluşlar için konumlandırır. Merchant, payment processor, acquirer, issuer ve service provider gibi roller farklı sorumluluklar doğurur. Küçük bir e-ticaret sitesi dahi ödeme kabul ettiği için kart markası ve hizmet sağlayıcı ekosisteminin kurallarına tabi olabilir.

“Kartı ben saklamıyorum” ifadesi kapsamı otomatik olarak sıfırlamaz. Ödeme sayfasının yönlendirme biçimi, gömülü iframe/script yapısı, yönetim panelinin ödeme sayfasını değiştirebilme yetkisi ve üçüncü taraf ödeme entegrasyonu değerlendirilir.

PCI DSS v4.0.1 nedir, v4.0’dan farkı nedir?

PCI SSC, v4.0.1’i v4.0 için sınırlı bir revizyon olarak yayımladı. Değişikliklerin amacı yorumları netleştirmek, yazım/biçim düzeltmeleri yapmak ve bazı uygulama notlarını açıklığa kavuşturmaktı; yeni veya kaldırılmış temel gereksinim eklenmedi.

v4.0 31 Aralık 2024’te emekliye ayrıldığı için 2026 içeriklerinde doğrudan v4.0.1’i esas almak daha doğrudur. Ayrıca PCI SSC gelecekteki revizyonlar için RFC süreçleri yürüttüğünden tarih ve sürüm bilgisi düzenli kontrol edilmelidir.

E-ticaret sitesi ödeme sağlayıcısına yönlendiriyorsa ne değişir?

Tam yönlendirme, iframe veya JavaScript tabanlı ödeme entegrasyonlarının PCI kapsamı aynı değildir. Kart alanlarının tamamen üçüncü tarafın sayfasında bulunması, kuruluşun kart verisine temasını ciddi biçimde azaltabilir; fakat web sitesinin ödeme akışını kötü niyetle değiştirmesini engelleyen kontroller yine önem taşıyabilir.

SAQ türünü yalnız “PayTR/Iyzico/Stripe kullanıyorum” diyerek seçmek doğru değildir. Entegrasyonun teknik mimarisi, hangi ödeme sayfası elemanlarının merchant sisteminden geldiği ve üçüncü tarafın PCI durumunun doğrulanması gerekir.

SAQ, ROC, AOC, QSA ve ASV ne anlama gelir?

SAQ, belirli uygunluk koşullarını sağlayan kuruluşların öz değerlendirme için kullandığı soru setleridir. ROC daha kapsamlı yerinde değerlendirme raporu bağlamında kullanılır; AOC ise uyum beyanı/attestation belgesidir. QSA, PCI SSC programında nitelendirilmiş güvenlik değerlendiricisini; ASV ise onaylı dış zafiyet tarama sağlayıcısını ifade eder.

Hangi yöntemin kabul edildiğini işletmenin kendisi keyfi seçmez. Kart markası, acquiring banka, işlem hacmi, hizmet sağlayıcı rolü ve diğer program kuralları dikkate alınmalıdır.

Teknik olarak hangi alanlar değerlendirilir?

PCI DSS ağ güvenliği, güvenli sistem yapılandırması, hesap verisinin korunması, iletim güvenliği, kötü amaçlı yazılım savunması, güvenli geliştirme, erişim kontrolü, kimlik doğrulama, fiziksel güvenlik, loglama, güvenlik testleri ve güvenlik politikaları gibi çok katmanlı alanları kapsar.

v4.x yaklaşımında kontrollerin sürdürülebilir işletimi önemlidir. Yalnız denetim günü yapılan tarama veya geçici parola düzenlemesi kalıcı güvenlik pratiği yerine geçmez.

• Kart verisi akışını ve CDE sınırlarını çıkarma
• MFA ve ayrıcalıklı erişim yönetimi
• Güvenli yapılandırma ve yamalama
• Loglama, izleme ve olay müdahalesi
• Dış/iç zafiyet taramaları ve gerektiğinde pentest
• Web ödeme sayfası script ve değişiklik kontrolleri
• Üçüncü taraf hizmet sağlayıcılarının sorumluluklarını izleme

Hosting ve VPS sağlayıcısı PCI DSS açısından neden önemlidir?

Merchant kendi uygulamasını çalıştırsa bile hosting sağlayıcının altyapıya erişimi, sanallaştırma katmanı, yönetim paneli, yedekleme, ağ segmentasyonu ve destek süreçleri kart verisi ortamını etkileyebilir. Bu nedenle hizmet sağlayıcı sorumluluklarının sözleşmede ve sorumluluk matrisinde açık olması gerekir.

Paylaşımlı hosting, yönetilen VPS ve dedicated altyapı aynı kontrol sınırlarına sahip değildir. PCI kapsamı için yalnız “sunucu Almanya’da” veya “Cloudflare var” gibi tek bir özellik yeterli değerlendirme değildir.

Kart numarası, CVV ve token saklama konusunda kritik ayrımlar

Kart verisinin saklanması kapsamı ve riski büyütür. Özellikle hassas kimlik doğrulama verilerinin yetkilendirme sonrasında saklanmasına ilişkin sıkı kısıtlar vardır. Uygulama tasarımında mümkün olduğunca kart verisini doğrudan güvenilir ödeme sağlayıcısına bırakmak, merchant ortamındaki hassas veri yüzeyini azaltır.

Token kullanımı da otomatik olarak kapsam dışı anlamına gelmez; tokenın geri döndürülebilirliği, tokenizasyon sağlayıcısı ve sistemin ödeme fonksiyonunu etkileyen bileşenleri incelenmelidir.

ASV taraması ile penetrasyon testi aynı şey mi?

Hayır. ASV taraması, PCI SSC tarafından onaylı sağlayıcının belirli dış varlıklarda yürüttüğü standartlaştırılmış zafiyet tarama sürecidir. Penetrasyon testi ise kapsam ve yöntem açısından farklı bir güvenlik değerlendirmesidir. Birinin yapılması diğerini otomatik olarak karşılamaz.

Tarama başarısızlıklarının kök nedeni giderilmeli, tekrar tarama ve kanıt süreci yürütülmelidir. Sadece raporda “pass” görmek değil, hangi varlıkların gerçekten kapsama girdiğinin doğru tanımlanması kritiktir.

PCI DSS diğer güvenlik çerçevelerinin yerine geçer mi?

Hayır. PCI DSS ödeme kartı verisine odaklanır. ISO 27001 kuruluş çapında bilgi güvenliği yönetimini, SOC 2 hizmet kontrollerine ilişkin güvenceyi ele alır. Bir şirket hem PCI DSS kapsamına hem ISO 27001 veya SOC 2 taleplerine aynı anda sahip olabilir.