Торговые предприятия
- Ритейл, e-commerce и HoReCa с приёмом карт онлайн и офлайн.
Подготовка к PCI DSS
PCI DSS v4.0. GAP-анализ, устранение несоответствий, документация и сопровождение аудита QSA.
Для кого
PCI DSS обязателен для всех, кто хранит, обрабатывает или передаёт данные платёжных карт.
Платёжные сервисы
- PSP, агрегаторы и процессинговые компании с обработкой транзакций.
Банки и финтех
- Организации с собственным процессингом и прямым подключением к платёжным системам.
Разработчики ПО
- Компании, создающие платёжные приложения, включённые в список стандартов безопасности.
Сервисные провайдеры
- Облачные и инфраструктурные провайдеры, обрабатывающие данные карт клиентов.
Финтех-стартапы
- Молодые компании, запускающие платёжные продукты и проходящие первую сертификацию.
Типовые задачи
Задачи, которые мы решаем при подготовке к PCI DSS.
GAP-анализ текущего состояния
Оцениваем соответствие среды хранения данных карт требованиям стандарта и выявляем несоответствия.
Сегментация CDE
Проектируем и внедряем сетевую сегментацию для сокращения области применения PCI DSS.
Подготовка документации
Разрабатываем политики, процедуры и доказательства соответствия, необходимые для аудита QSA.
Поддержание соответствия между аудитами
Организуем ежеквартальные сканирования и контроль изменений в CDE.
Форматы работы
Форматы работы зависят от уровня PCI DSS и стадии проекта.
GAP-анализ
Оценка текущего состояния CDE, выявление несоответствий и формирование дорожной карты устранения.
Устранение несоответствий
Реализация технических и организационных мер для приведения среды в соответствие стандарту.
Подготовка к аудиту QSA
Формирование доказательной базы, подготовка команды к интервью и сопровождение в ходе аудита.
Поддержание соответствия
Сопровождение между аудитами: контроль изменений, ежеквартальные сканирования, обновление документации.
Почему нам
Почему организации обращаются к нам для подготовки к PCI DSS.
Знание стандарта v4.0
Работаем по актуальной версии PCI DSS с учётом новых требований к аутентификации и мониторингу.
Технические и документарные компетенции
Закрываем технические требования — сегментация, шифрование, мониторинг — и документарные.
Опыт взаимодействия с QSA
Помогаем грамотно представить доказательную базу и ответить на типовые вопросы аудитора.
Сокращение области CDE
Проектируем сегментацию, которая минимизирует периметр PCI DSS и снижает стоимость соответствия.
Обсудить задачу
Оставьте заявку — оценим текущее состояние CDE и сформируем план подготовки.
Как работаем
Что получите
Что организация получает в результате подготовки к PCI DSS.
Готовность к аудиту QSA
Техническая и документарная база для прохождения ежегодного аудита без критических замечаний.
Сокращённый периметр CDE
Сетевая сегментация минимизирует область применения PCI DSS и снижает стоимость соответствия.
Комплект политик и процедур
Документация, покрывающая все домены стандарта и прошедшая проверку у QSA.
Процесс поддержания соответствия
Выстроенный процесс контроля изменений и ежеквартальных сканирований для сохранения сертификата.
Наши преимущества
-
PCI DSS v4.0. Работаем по актуальной версии стандарта, включая новые требования, обязательные с апреля 2025 года.
-
Минимизация CDE. Проектируем архитектуру так, чтобы область PCI DSS была как можно меньше.
-
Технические компетенции. Закрываем требования по шифрованию, MFA, управлению уязвимостями и логированию.
-
Сопровождение аудита. Поддерживаем команду во время интервью и проверок QSA, объясняем логику реализованных мер.
-
Поддержание между аудитами. Помогаем сохранять соответствие: контроль изменений, сканирование, обновление документации.
Проблемы и решения
Проблема
Решение
Аудит QSA запланирован, готовность неизвестна
Непонятно, какие требования закрыты, а какие нет.
Что делаем
Проводим GAP-анализ за 4–6 недель и формируем чёткую картину несоответствий с планом устранения.
Весь ИТ-периметр попадает в область PCI DSS
Соответствие обходится дорого.
Что делаем
Проектируем сетевую сегментацию CDE, сокращая область применения стандарта.
Документация для аудитора не подготовлена
Политики устарели или отсутствуют.
Что делаем
Разрабатываем актуальный комплект политик и процедур, привязанный к реализованным мерам.
После первого аудита соответствие не поддерживается
К следующему аудиту накапливаются новые несоответствия.
Что делаем
Выстраиваем процесс контроля изменений и регулярных сканирований между аудитами.
Этапы работы
Последовательность шагов от GAP-анализа до успешного аудита.
Рассчитать проект
Готовы начать подготовку к PCI DSS — оставьте контакт.
Вопросы и ответы
Кому обязателен PCI DSS?
Всем организациям, которые хранят, обрабатывают или передают данные платёжных карт. Уровень требований зависит от объёма транзакций в год.
Чем PCI DSS v4.0 отличается от v3.2.1?
Версия 4.0 вводит более гибкий подход, усиленные требования к MFA, аутентификации и мониторингу скриптов. Новые требования, отмеченные как рекомендательные до апреля 2025 года, стали обязательными.
Нужен ли QSA-аудитор для прохождения PCI DSS?
Зависит от уровня: организации с наибольшим объёмом транзакций требуют ежегодного аудита QSA. Меньшие уровни могут использовать анкету самооценки со сканированием ASV.
Сколько времени занимает подготовка к первой сертификации?
При наличии серьёзных несоответствий — от 6 до 18 месяцев в зависимости от объёма инфраструктуры и сложности устранения. GAP-анализ позволяет точно оценить сроки в начале проекта.
Мария Гурькова Ведущий специалист технической поддержки