Güncel PCI-DSS (Payment Card Industry – Data Security Standard)

PCI-DSS, ödeme kartı (Visa, MasterCard, American Express vb.) ile ilgili kart sahibi verilerini korumak amacıyla oluşturulmuş küresel bir güvenlik standardıdır.

Kim tarafından hazırlanır?​

PCI DSS, Payment Card Industry Security Standards Council (PCI SSC) tarafından yönetilir. Bu konseyin üyeleri şunlardır:

• Visa
• MasterCard
• American Express
• Discover
• JCB

Amacı:​

Kart sahibi bilgilerinin yetkisiz erişim, hırsızlık ve kötüye kullanım risklerini en aza indirmek.

PCI-DSS Gereklilikleri (12 Temel Madde):​

1. Güvenli bir ağ oluşturmak (Güvenlik duvarları, router konfigürasyonu)
2. Parolaların ve sistem ayarlarının güvenli hale getirilmesi
3. Kart sahibi bilgilerini korumak (şifreleme)
4. Şifreleme ile veri transferi
5. Antivirüs yazılımlarının kullanımı
6. Güvenli sistemlerin ve uygulamaların geliştirilmesi
7. Erişim kontrolü (Yetkilendirme)
8. Her kullanıcı için benzersiz kimlik
9. Fiziksel erişimin kısıtlanması
10. Ağ erişimlerinin ve aktivitelerin izlenmesi (log)
11. Güvenlik sistemlerinin düzenli test edilmesi
12. Güvenlik politikası oluşturulması ve sürdürülmesi

Kimler Uymak Zorundadır?​

• Kredi kartı işlemi yapan tüm şirketler (POS cihazı olan marketten bankalara kadar)
• E-ticaret siteleri
• Kart saklama ya da işleme yapan yazılım firmaları

---

2. ISO/IEC 27001 (Bilgi Güvenliği Yönetim Sistemi - BGYS)​

Tanım:​

ISO/IEC 27001, bir kuruluşun bilgi varlıklarını sistematik şekilde yönetmesini sağlayan uluslararası bir bilgi güvenliği standardıdır.

Kim Hazırladı?​

ISO (International Organization for Standardization) ve IEC (International Electrotechnical Commission) iş birliğiyle hazırlanmıştır.

Amacı:​

Kuruluşun bilgi güvenliği risklerini yönetebilmesi ve bu risklere karşı uygun kontrolleri uygulaması.

ISO 27001’in Temel Bileşenleri:​

• BGYS Politikası: Kurumun bilgi güvenliğine yaklaşımı.
• Risk Değerlendirmesi: Bilgi varlıklarına yönelik tehdit ve açıkların belirlenmesi.
• Risk Tedavi Planı: Tespit edilen risklere karşı alınacak önlemler.
• Kontrollerin Uygulanması: Teknik, idari ve fiziksel önlemler.
• İzleme ve İç Denetim: Süreçlerin sürekli iyileştirilmesi ve kontrolü.
• Yönetim Gözden Geçirmesi: Üst yönetimin sistem üzerindeki denetimi.

Kimler Uygular?​

• Bankalar
• Kamu kurumları
• Yazılım firmaları
• Sağlık kuruluşları
• Üniversiteler
• Savunma sanayi şirketleri

ISO 27001 Sertifikası Ne İşe Yarar?​

• Kurumsal güvenilirlik sağlar
• Regülasyon uyumluluğu gösterir (özellikle Avrupa ve ABD’de zorunludur)
• Uluslararası iş birliğinde avantaj sunar
• Veri ihlallerine karşı hazırlıklı olunduğunu kanıtlar

---

PCI-DSS vs ISO 27001 Karşılaştırması​

---

Sonuç​

PCI-DSS, özellikle ödeme sistemleri ve kart verisi ile ilgili işlemler için teknik ve operasyonel güvenlik kontrollerini zorunlu kılar.
ISO/IEC 27001 ise tüm bilgi güvenliği süreçlerini kapsayan, kurumsal çapta bir güvenlik yönetim sistemidir.