Cosa sono i dati del titolare della carta?

I Dati del Titolare della Carta (CHD) sono informazioni relative a una carta di pagamento protette dal Payment Card Industry Data Security Standard (PCI DSS). Questi includono il Numero di Conto Primario (PAN) completo e possibilmente il nome del titolare della carta, la data di scadenza e il codice di servizio.

I CHD sono le informazioni disponibili dopo il completamento della transazione, che includono il nome del titolare della carta, la data di scadenza della carta e il numero di conto principale (PAN). 

La protezione dei dati delle carte di credito (CHD) è importante per diverse ragioni. La conformità del cliente è fondamentale, aiuta a mantenere la fiducia, a rispettare le normative e a prevenire sanzioni finanziarie. La crittografia e altre misure di sicurezza sono cruciali per garantire che i dati sensibili rimangano al sicuro e ridurre il possibile danno di una violazione dei dati.

Le perdite finanziarie possono verificarsi in diversi modi, inclusi il furto di identità e gli acquisti fraudolenti. Limitare l'accesso non autorizzato ai dati CHD sensibili è fondamentale, in quanto può ridurre al minimo il rischio di potenziali perdite finanziarie. Qualsiasi azienda che gestisce dati di carte di credito deve mantenere la fiducia dei propri clienti. La protezione del CHD è fondamentale per le aziende al fine di mantenere la conformità e migliorare la propria credibilità in materia di sicurezza dei dati.

La violazione dei dati dei titolari di carta (CHD) può avere un impatto significativo su consumatori, istituzioni finanziarie e rivenditori. Responsabilità finanziarie, multe significative, spese legali, costi di compensazione, danni alla reputazione e perdita della fiducia dei clienti sono tutte possibili conseguenze delle violazioni.

Per ridurre questi rischi, l'adesione al Payment Card Industry Data Security Standard (PCI DSS) è essenziale. Ulteriori sanzioni finanziarie e danni alla reputazione possono derivare dalla non conformità. 

I dati di autenticazione sensibili (SAD) e i dati del titolare della carta (CHD) sono due categorie di dati cruciali per l'elaborazione dei pagamenti. Il CHD contiene dati come il numero di conto principale (PAN), il nome del titolare della carta e la data di scadenza della carta di pagamento, che possono essere conservati dopo la conferma di una transazione.

Per autenticare i titolari di carta, SAD comprende componenti come il PIN, i dati della traccia dalla banda magnetica o dal chip EMV e il codice/valore di verifica della carta (CVC, CVV o CID). Poiché CHD e SAD hanno diversi requisiti di sicurezza, è fondamentale capire in che modo differiscono. 

• I commercianti possono salvare i CHD, ma in tal caso devono essere crittografati. Tuttavia, anche se crittografati, le aziende non sono autorizzate a memorizzare gli SAD dopo l'autorizzazione. 
• I commercianti possono conservare i CHD poiché sono meno sensibili degli SAD.
• I commercianti possono tracciare le transazioni dei clienti utilizzando i CHD.
• I commercianti non dovrebbero conservare gli SAD perché sono più sensibili dei CHD.
• I commercianti non possono tracciare le transazioni dei clienti con gli SAD. 

Tutte le organizzazioni che partecipano alle transazioni con carta, comprese banche, gateway di pagamento, commercianti e fornitori di servizi, devono conformarsi al PCI DSS. Questo vale per qualsiasi azienda, indipendentemente dalle dimensioni o dal volume delle transazioni, che elabora, archivia o trasmette informazioni sulle carte di credito. 

Per garantire la sicurezza dei dati dei titolari di carta durante le transazioni e l'archiviazione, ogni organizzazione coinvolta deve aderire a questo processo. I requisiti contrattuali e le convalide annuali di conformità sono specificati negli accordi delle reti di carte di credito e richiesti dalle società emittenti di carte di credito. 

Anche i processori di terze parti (TPSP) devono seguire il Payment Card Industry Data Security Standard (PCI DSS) nell'elaborazione delle carte di pagamento. Le aziende SaaS devono gestire e monitorare la conformità PCI DSS dei loro TPSP almeno una volta ogni 12 mesi. 

I TPSP devono dimostrare la loro conformità PCI DSS alle organizzazioni SaaS per verificarla tramite un PCI DSS annuale audit di conformità o più audit casuali del TPSP. Un'azienda SaaS dovrebbe creare un piano per monitorare annualmente lo stato di conformità PCI DSS dei TPSP e tenere traccia di tutti i requisiti PCI DSS che sono responsabilità del TPSP. 

In definitiva, le organizzazioni SaaS sono responsabili della propria conformità PCI DSS. Devono garantire che i loro TPSP siano conformi, poiché influiscono sulla sicurezza dell'ambiente dei dati dei titolari di carta.

Sanzioni pecuniarie, danni alla reputazione, perdita della fiducia dei clienti e opportunità commerciali mancate sono solo alcune delle gravi ripercussioni della non conformità con PCI DSS.

Inoltre, le aziende non conformi rischiano ripercussioni legali, maggiori costi di transazione, standard di audit più severi o l'interruzione della partnership bancaria. In situazioni gravi, la non conformità può portare al fallimento.

Le società di carte di pagamento possono imporre multe alle banche acquirenti, trasferendo le sanzioni ai commercianti. In particolare, la non conformità con PCI DSS può comportare multe da $ 5.000 a $ 100.000 al mese fino al raggiungimento della conformità.

I dati del titolare della carta potrebbero non essere esenti da requisiti PCI DSS se la crittografia viene utilizzata da sola. I sistemi che gestiscono crittografia La crittografia e la decrittografia sono sotto l'autorità di PCI DSS, così come qualsiasi ambiente che contiene dati dei titolari di carta, anche se crittografati. Tuttavia, i sistemi che gestiscono la crittografia e la decrittografia rientrano nell'ambito di applicazione del PCI DSS, ma i dati crittografati dei titolari di carta non lo sono. In ambienti in cui sono presenti dati dei titolari di carta, la crittografia non invalida il requisito PCI DSS.