Home › Security

Security bij een Payment Service Provider

Uw PSP verwerkt de gegevens waarmee uw klanten betalen. Gaat daar iets mis, dan staat uw naam in de krant, niet die van hem.

Een zwakke beveiliging bij een PSP leidt tot datalekken, fraude en reputatieschade — bij de PSP, maar ook bij de bedrijven die er hun betalingen door laten lopen.

Beveiliging is daarom gelaagd opgebouwd en vraagt doorlopend onderhoud. Bij de selectie van een PSP hoort u naar die lagen afzonderlijk te vragen, en naar het bewijs erbij.

PCI DSS

De Payment Card Industry Data Security Standard is de wereldwijde norm voor de kaartindustrie, opgesteld door Visa, Mastercard, American Express, Discover en JCB.

Verplicht. Elke organisatie die kaartgegevens opslaat, verwerkt of verzendt moet eraan voldoen. Ook uw PSP dus.
Twaalf hoofdeisen, uitgewerkt in ruim driehonderd subeisen voor netwerk-, data- en toegangsbeveiliging.
Jaarlijkse audit door een onafhankelijke partij om de compliance aan te tonen.

De norm valt uiteen in vijf kerngebieden: netwerkbeveiliging (firewalls, intrusion detection), beveiliging van kaartgegevens (encryptie, tokenization), toegangsbeheer (sterke wachtwoorden, meerfactorauthenticatie), monitoring en testen (penetratietests, kwetsbaarheidsscans), en beveiligingsbeleid met procedures voor medewerkers.

Encryptie

Gevoelige gegevens worden versleuteld tijdens verzending en tijdens opslag.

End-to-end-encryptie. Versleuteling vanaf het invoerpunt — betaalterminal of webformulier — tot aan de verwerking bij de PSP. Onderweg valt er niets af te luisteren.
Transport Layer Security. Het standaardprotocol voor beveiligde communicatie tussen uw webshop en de PSP.

Tokenization

Tokenization vervangt de kaartgegevens door een code zonder eigen waarde. Wordt die code gestolen, dan kan er geen transactie mee worden gedaan. En raakt de tokendatabase gecompromitteerd, dan liggen de echte kaartgegevens nog steeds ergens anders.

Fraudepreventie en detectie

Monitoring van transacties in real time op verdachte patronen.
Machine learning voor fraudeherkenning, met modellen die meebewegen met nieuwe fraudemethoden.
Risicogebaseerde authenticatie via 3D Secure.
Adresverificatie en controle van de CVC- of CVV-code.

Netwerk en infrastructuur

Firewalls tegen ongeautoriseerde toegang tot het netwerk.
Intrusion detection en prevention om kwaadaardige activiteit te herkennen en te blokkeren.
Beveiligingsscans die kwetsbaarheden opsporen voordat een ander dat doet.
Fysieke beveiliging van de datacenters. De sluitste software helpt niet als iemand de serverruimte binnenloopt.

Toegangsbeheer

Beleid voor sterke wachtwoorden.
Meerfactorauthenticatie naast het wachtwoord.
Het principe van minimale rechten: medewerkers krijgen toegang tot wat ze voor hun werk nodig hebben en verder niets.

Continuïteit en herstel

Regelmatige back-ups tegen gegevensverlies.
Uitwijklocaties waar de systemen kunnen draaien bij een storing.
Gedocumenteerde herstelprocedures. Vraag wanneer die voor het laatst zijn getest, niet of ze bestaan.

Wet- en regelgeving

Twee kaders bepalen wat een PSP moet: de AVG, die strenge eisen stelt aan de verwerking van persoonsgegevens, en PSD2, die concurrentie en innovatie in de betaalmarkt moet bevorderen en de beveiliging van online betalingen aanscherpt via sterke klantauthenticatie. Zie compliance en wetgeving.

Wat Heights voor u doet

De beveiligingsmaatregelen en certificeringen van uw PSP toetsen, inclusief de audits erachter.
Uw eigen PCI DSS-verplichting bepalen en waar mogelijk de scope verkleinen.
Beoordelen of uw 3D Secure-implementatie beveiliging oplevert zonder conversie te kosten.
De verwerkersovereenkomst met uw PSP tegen het licht houden.
De beveiligingseisen vertalen naar toetsbare vragen in uw RFI of RFP.

Training betalingsverkeer

Heights verzorgt een training over de acceptatie van creditcards en andere betaalmethoden. Theorie waar het moet, praktijk waar het kan. Na afloop weet u waar in uw eigen keten de conversie en de kosten zitten.

Meer over de training betalingsverkeer