Специальная программа для ТСП

Главная Безопасность платежей в торгово-сервисных предприятиях Программа безопасности

В ПС «Мир» с декабря 2019 года действует Специальная программа подтверждения соответствия требованиям безопасности для ТСП, которые принимают платежи с предъявлением карты. Спецпрограмма позволяет ТСП не проводить ежегодную оценку соответствия по требованиям PCI DSS при использовании проверенного и безопасного эквайрингового оборудования.

Спецпрограмма будет интересна ТСП уровней L1 и L2, так как эти ТСП ежегодно должны проводить аудит с привлечением QSA- или ISA-аудитора. На время участия в Спецпрограмме это требование с ТСП снимается. ТСП уровня L1, L2, L4 может быть включено в Спецпрограмму при соблюдении следующих условий:

1.ТСП не должно хранить карточные данные на бумажных носителях или в электронном виде.

2.В течение 12 месяцев до момента подачи Банком-эквайрером заявки на вступление ТСП в Спецпрограмму в ТСП не было случаев компрометации карточных данных.

3.POS-терминалы ТСП удовлетворяют всем требованиям варианта 1 или варианта 2.

ТСП уровня L3 не включаются в Спецпрограмму, так как этот уровень присваивается только ТСП, которые принимают платежи в среде электронной коммерции.

вариант 1

Настройки POS-терминалов ТСП контролируются Эквайрером.

ТСП не имеет возможности изменять конфигурацию POS-терминалов.

Конфигурация POS-терминалов сертифицирована для использования в ПС «Мир».

ТСП не может получить доступ к данным в открытом виде, которые передаются от POS-терминалов в Банк-эквайрер.

Программное и аппаратное обеспечение POS-терминалов сертифицировано по требованиям безопасности.

вариант 2

Используется сертифицированное P2PE-решение
https://www.pcisecuritystandards.org/assessors_and_solutions/point_to_point_encryption_solutions

Конфигурация POS-терминалов сертифицирована для использования в ПС «Мир».

Чтобы вступить в Спецпрограмму, ТСП необходимо связаться с Банком-эквайрером, который предоставляет эквайринговое оборудование ТСП. От Банка-эквайрера напрямую зависит, может ли ТСП быть включено в Спецпрограмму, так как он отвечает за выполнение указанных выше условий. ТСП не считается включенным в Спецпрограмму до тех пор, пока Банк-Эквайрер не получит положительного заключения от ПС «Мир».

Вопросы и ответы

Как ТСП узнать, включено ли оно в спецпрограмму?

ТСП следует связаться с банком, с которым у него заключен договор эквайрингового обслуживания.

Если в ТСП используется наземный эквайринг и эквайринг в среде электронной коммерции, то как ТСП вступить в Спецпрограмму?

ТСП следует действовать согласно установленному порядку — необходимо обратиться в Банк-эквайрер, с которым заключен договор эквайрингового обслуживания. Однако, включение ТСП в Спецпрограмму позволит не проводить оценку для устройств наземного эквайринга — POS-терминалов. Для процессов и ИТ-систем, которые используются для хранения, передачи и обработки операций по картам в среде электронной коммерции, по-прежнему необходимо будет проводить самооценку или сертификационный аудит в соответствии с требованиями документа «Программа безопасности ПС „Мир“».

Нужно ли, чтобы терминалы единовременно удовлетворяли требованиям варианта 1 и 2?

Нет. Достаточно удовлетворять одному из вариантов.

Как ТСП может узнать, удовлетворяют ли POS-терминалы, используемые в ТСП, требованиям Спецпрограммы?

ТСП должно связаться со своим Банком-эквайрером для уточнения этой информации.

Банк эквайрер не смог дать ответы на вопросы ТСП о включении этого в Спецпрограмму. Что делать?

Если Банк-эквайрер не смог ответить на вопросы ТСП о Спецпрограмме, то сотрудники ТСП могут направить свои вопросы на mirsecurity@nspk.ru

Если ТСП включено в Спецпрограмму, значит ли это, что ТСП не нужно выполнять требования PCI DSS?

Вне зависимости от включения ТСП в Спецпрограмму, ТСП нужно выполнять применимые требования стандарта PCI DSS. Применимость требований PCI DSS зависит от используемых в ТСП технологий и процессов. Более подробную информацию о соответствии PCI DSS вы можете найти в разделе Общая страница стандарта PCI DSS

Какие для ТСП преимущества от включения в Спецпрограмму?

Во время участия в Спецпрограмме ТСП может не выполнять ежегодную самооценку или не проводить ежегодный аудит на соответствие PCI DSS.

Как долго ТСП может находится в Спецпрограмме?

Разрешение на включение ТСП в Спецпрограмму выдается на 2 года. После этого срока Банк-эквайрер может запросить у ПС «Мир» продление участия ТСП в Спецпрограмме. В этом случае Банк-эквайрер должен будет повторно предоставить свидетельства выполнения ТСП условий Спецпрограммы, действующих на момент подачи запроса.

Если в ТСП используются терминалы от нескольких банков, то как вступить в Спецпрограмму?

ТСП должно обратиться в каждый из Банков-эквайреров, терминалы которых используются в ТСП. Каждый Банк-эквайрер должен подать заявку в НСПК на включение ТСП в Спецпрограмму.

В ТСП используются терминалы от нескольких банков. Один из банков включил ТСП в Спецпрограмму. Значит ли это, что ТСП автоматически включено в Спецпрограмму у остальных банков?

Нет. Каждый Банк-эквайрер может подтвердить выполнение условий Спецпрограммы только для своего оборудования, которое он предоставил ТСП. Банк-эквайрер заявляет в Спецпрограмму только то ТСП, с которым у него есть договор на эквайринговое обслуживание. Поэтому если в ТСП используются POS-терминалы, предоставленные разными Банками-эквайрерами и/или платежными сервис-провайдерами, то ТСП следует обратиться в каждый из Банков-эквайреров, предоставивших оборудование.

POS-терминалы в ТСП предоставляет платежный сервис-провайдер. Как можно включить ТСП в Спецпрограмму?

ТСП следует обратиться к платежному сервис-провайдеру и в Банк-эквайрер, который оказывает эквайринговые услуги.

В ТСП используются mPOS-терминалы. Может ли такое ТСП быть включено в Спецпрограмму?

Да. К mPOS-терминалам применяются все условия действующей Спецпрограммы.

Что будет если ТСП включено в спецпрограмму, но в нем произошла компрометация данных карт «Мир»?

Если в ТСП был подтвержден инцидент ИБ, то ТСП будет исключено из Спецпрограммы. ТСП должно будет выполнять требования о ежегодном подтверждении соответствия путем проведения сертификационного аудита по PCI DSS.

ТСП прекращает договорные отношения с Банком-эквайрером. Остается ли такое ТСП в Спецпрограмме?

Нет. Если ТСП прекращает отношения с Банком-эквайрером, то ТСП исключается из Спецпрограммы. Выданное банку разрешение на включение ТСП в Спецпрограмму аннулируется. В случае возобновления отношений с этим же Банком-эквайрером, ТСП снова необходимо будет пройти процедуру включения в Спецпрограмму (при желании).