Apa itu PCI DSS? PCI DSS (Payment Card Industry Data Security Standard) merupakan seperangkat standar keamanan yang dikembangkan untuk memastikan perlindungan data pembayaran saat transaksi menggunakan kartu kredit atau debit. Standar ini dikeluarkan oleh Payment Card Industry Security Standards Council (PCI SSC). PCI SSC adalah badan industri yang didirikan oleh perusahaan-perusahaan besar seperti Visa, Mastercard, American Express, Discover, dan JCB.
PCI DSS menetapkan persyaratan untuk penyimpanan, pemrosesan, dan transmisi data pembayaran secara aman. Prosedur yang terkandung mencakup aspek-aspek seperti keamanan jaringan, manajemen akses, enkripsi data, pemantauan, dan pengujian keamanan. Tujuannya adalah untuk mengurangi risiko pencurian data pembayaran dan penyalahgunaan kartu kredit atau debit oleh pihak yang tidak sah. Dalam artikel ini, kita akan menjelaskan lebih dalam tentang Kontrol Keamanan dan Proses untuk Persyaratan PCI DSS.
Baca juga: Breaking! Visa dan Mastercard ditegur Regulator Inggris
Table of Contents
- 1. Membangun dan Memelihara Jaringan dan Sistem yang Aman
- 2. Melindungi Data Pemegang Kartu
- 3. Memelihara Program Manajemen Kerentanan
- 4. Menerapkan Langkah-Langkah Pengendalian Akses yang Kuat
- 5. Memantau dan Menguji Jaringan Secara Berkala
- 6. Memelihara Kebijakan Keamanan Informasi
- 7. Pengendalian Pengganti untuk Persyaratan PCI DSS
- Penutup
1. Membangun dan Memelihara Jaringan dan Sistem yang Aman
Untuk lebih mengenal apa itu PCI DSS, kita perlu memperhatikan nilai-nilai yang terkandung di dalamnya. Mari mulai dengan nilai membangun dan memelihara jaringan dan sistem yang aman. Dulu, pencurian rekaman keuangan membutuhkan seorang penjahat untuk secara fisik memasuki lokasi bisnis suatu organisasi. Namun, kini banyak transaksi menggunakan kartu pembayaran yang menggunakan perangkat PIN dan komputer yang terhubung melalui jaringan. Dengan menggunakan kontrol keamanan jaringan, entitas dapat mencegah para penjahat mengakses jaringan sistem pembayaran secara virtual dan mencuri data pemegang kartu dan/atau data otentikasi sensitif.
2. Melindungi Data Pemegang Kartu
Data pemegang kartu adalah segala informasi yang tercetak, diproses, ditransmisikan, atau disimpan dalam bentuk apapun pada kartu pembayaran. Entitas yang menerima pembayaran dengan kartu bertanggung jawab untuk menjaga keamanan data pemegang kartu dan mencegah penggunaan yang tidak sah. Hal ini berlaku baik data tersebut dicetak, disimpan secara lokal, maupun ditransmisikan melalui jaringan internal atau publik ke server jarak jauh. Perlindungan data pemegang kartu sangat penting untuk memelihara kepercayaan pelanggan dan mematuhi peraturan yang berlaku. Dengan mengadopsi tindakan-tindakan keamanan yang sesuai, seperti enkripsi data dan pengaturan akses yang ketat, entitas bisnis dapat menjamin bahwa informasi sensitif tersebut terlindungi dengan baik dan tidak disalahgunakan oleh pihak yang tidak berwenang.
Baca juga: Mengulik Bagaimana Keamanan Data di Tengah Gempuran AI
3. Memelihara Program Manajemen Kerentanan
Manajemen kerentanan adalah proses secara sistematis dan terus-menerus untuk menemukan kelemahan dalam sistem infrastruktur kartu pembayaran suatu entitas. Hal ini mencakup prosedur keamanan, desain sistem, implementasi, atau kontrol internal yang dapat dieksploitasi untuk melanggar kebijakan keamanan sistem. Dengan memelihara program manajemen kerentanan yang efektif, entitas dapat secara proaktif mengidentifikasi dan mengatasi potensi kerentanan yang dapat dieksploitasi oleh pihak yang tidak berwenang, sehingga menjaga keamanan sistem pembayaran mereka secara optimal.
4. Menerapkan Langkah-Langkah Pengendalian Akses yang Kuat
Pengendalian akses memungkinkan pedagang untuk mengizinkan atau menolak penggunaan sarana fisik atau teknis untuk mengakses PAN (Primary Account Number) dan data pemegang kartu lainnya. Akses harus diberikan berdasarkan kebutuhan bisnis yang spesifik. Pengendalian akses fisik melibatkan penggunaan kunci atau sarana lainnya untuk membatasi akses ke media komputer, catatan berbasis kertas, atau perangkat keras sistem. Pengendalian akses yang baik mengizinkan atau menolak penggunaan perangkat pembayaran, jaringan nirkabel, PC, dan perangkat komputasi lainnya. Selain itu, langkah ini juga mengendalikan akses ke file digital yang berisi data pemegang kartu. Dengan menerapkan langkah-langkah pengendalian akses yang kuat, pedagang dapat memastikan bahwa hanya pihak yang sah yang memiliki akses ke data sensitif tersebut. Dengan demikian, langkah ini dapat meningkatkan keamanan dan mengurangi risiko penyalahgunaan data kartu pembayaran.
5. Memantau dan Menguji Jaringan Secara Berkala
Untuk mengetahui lebih dalam mengenai apa itu PCI DSS, proses pemantauan dan pengujian jaringan adalah penting untuk diperhatikan. Jaringan fisik dan nirkabel merupakan penghubung utama antara semua titik akhir dan server dalam infrastruktur pembayaran. Kerentanan dalam perangkat dan sistem jaringan memberikan kesempatan bagi para penjahat untuk mendapatkan akses tidak sah ke aplikasi kartu pembayaran dan data pemegang kartu. Untuk mencegah eksploitasi tersebut, organisasi harus secara rutin memantau dan menguji jaringan untuk menemukan dan memperbaiki kerentanan yang ada. Dengan melakukan pemantauan dan pengujian secara teratur, organisasi dapat memastikan bahwa jaringan mereka tetap aman. Dengan demikian, tindakan untuk menanggapi ancaman keamanan dapat dilakukan dengan cepat dan efektif.
6. Memelihara Kebijakan Keamanan Informasi
Kebijakan keamanan yang kuat dapat menetapkan standar keamanan yang mempengaruhi seluruh perusahaan. Selain itu, perlu untuk memberitahu karyawan tentang tugas-tugas yang diharapkan terkait dengan keamanan. Semua karyawan harus menyadari sensitivitas data pemegang kartu dan tanggung jawab mereka untuk melindunginya. Dengan menjaga kebijakan keamanan informasi yang jelas dan terkini, organisasi dapat memastikan bahwa semua anggota tim memahami pentingnya keamanan data dan berkontribusi aktif dalam menjaga keamanan informasi. Dengan demikian, langkah ini dapat mengurangi risiko pelanggaran keamanan dan pelanggaran kebijakan yang tidak diinginkan.
7. Pengendalian Pengganti untuk Persyaratan PCI DSS
Langkah terakhir yang harus dipelajari untuk mengenal lebih dalam apa itu PCI DSS adalah pengendalian penggantii. Pengendalian pengganti dapat dipertimbangkan untuk sebagian besar persyaratan PCI DSS. Ketika suatu entitas tidak dapat memenuhi persyaratan secara eksplisit seperti yang dijelaskan, biasanya disebabkan kendala teknis yang sah atau batasan bisnis yang terdokumentasi. Oleh karena itu, implementasi pengendalian pengganti dapat dilakukan dalam mengurangi risiko yang terkait dengan persyaratan tersebut. Agar pengendalian pengganti dianggap valid, harus direview oleh seorang penilai. Efektivitas pengendalian pengganti bergantung pada spesifikasi lingkungan di mana pengendalian tersebut diimplementasikan, pengendalian keamanan yang ada, dan konfigurasi pengendalian tersebut. Entitas harus menyadari bahwa pengendalian pengganti tertentu tidak akan efektif di semua lingkungan.
Baca juga: Perbedaan GDPR dan Regulasi Indonesia
Penutup
Kita baru saja berkenalan dengan apa itu PCI DSS. Penerapan PCI DSS menjadi hal yang tidak dapat diabaikan bagi setiap entitas bisnis yang beroperasi dalam industri pembayaran. Standar keamanan ini memberikan kerangka kerja yang kuat untuk melindungi data pembayaran dan meminimalkan risiko pencurian atau penyalahgunaan informasi kartu kredit atau debit. Dengan demikian, mempelajari dan menerapkan PCI DSS merupakan investasi dalam keamanan data serta melindungi bisnis dari kerugian finansial dan reputasi. Selain itu, organisasi atau perusahaan juga menjaga kepercayaan pelanggan dalam penggunaan kartu pembayaran secara daring.
Berbicara mengenai keamanan data, ISO/IEC 27001 adalah sebuah standar untuk sistem manajemen keamanan informasi yang telah diakui secara internasional. ISO/IEC 27001 memberikan kerangka kerja yang dapat diimplementasi oleh semua jenis perusahaan dan organisasi. Dengan standar ini, organisasi atau perusahaan dapat menjamin keamanan data dan informasi kepada pelanggan dan pemangku kepentingan. Tertarik menerapkan ISO/IEC 27001? Hubungi kami untuk berdiskusi lebih lanjut mengenai solusi terbaik bagi bisnis Anda!
