Ödeme Güvenliğinde PCI-DSS Uyumluluğunun Önemi

PCI-DSS, kart verisiyle temas eden herkesi bağlayan bir güvenlik standardıdır. Adı teknik ve caydırıcı gelir; oysa çoğu e-ticaret işletmesi için pratik sonucu tek bir cümleye iner: kart verisini hiç görmeyin. Bu yazıda standardın kimi kapsadığını, en pratik uyum yolunu ve yine de sizde kalan sorumlulukları anlatıyoruz.

Kimi kapsıyor?

Kart verisini işleyen, ileten ya da saklayan her işletme kapsam içindedir. Bu tanım sanılandan geniştir: yalnız kart numarasını veritabanında tutanlar değil, ödeme formunu kendi sayfasında barındıranlar da kapsama girer.

İşlem hacmine göre farklı seviyeler ve farklı doğrulama yükümlülükleri vardır. Küçük işletmeler için genelde bir öz değerlendirme yeterliyken, hacim büyüdükçe bağımsız denetim gerekebilir.

En pratik yaklaşım: kart verisini hiç görmemek

Uyum yükünü en aza indirmenin yolu, kart verisinin sizin sisteminize hiç uğramamasıdır. Bunu sağlayan iki yaygın yöntem vardır:

• Yönlendirmeli ödeme: müşteri, ödeme kuruluşunun sayfasına yönlendirilir, orada öder ve geri döner.
• Gömülü form (iframe/hosted fields): ödeme formu sizin sayfanızda görünür ama alanlar ödeme kuruluşunun alan adından yüklenir; veri sizin sunucunuza hiç gelmez.

İkincisi kullanıcı deneyimi açısından daha iyidir: müşteri siteden ayrılmaz. İkisinde de kart verisi sizden geçmediği için uyum yükü büyük ölçüde ödeme kuruluşuna geçer.

Kart verisi saklamanın maliyeti

"Müşteri tekrar girmesin diye kartı saklayalım" fikri cazip görünür. Gerçek maliyeti şudur: şifreleme, anahtar yönetimi, erişim kontrolü, günlük tutma, düzenli sızma testi ve denetim.

Bu maliyetin altına girmenin gereği yoktur. Kayıtlı kart özelliğini ödeme kuruluşunun tokenizasyon hizmetiyle sunabilirsiniz: sizde kart numarası değil, yalnız o kartı temsil eden anlamsız bir belirteç durur. Müşteri deneyimi aynıdır, risk sizde değildir.

Yine de sizde kalan sorumluluklar

Kart verisini hiç görmemek uyum yükünü azaltır ama sıfırlamaz. Sizde kalanlar:

• Ödeme sayfasının bütünlüğü: sayfanıza enjekte edilen kötü niyetli bir betik, gömülü formdan veri sızdırabilir. Üçüncü taraf betikleri denetleyin.
• Erişim yönetimi: panel kullanıcıları, güçlü parolalar, çok adımlı doğrulama, ayrılan çalışanın erişiminin kapatılması.
• Güncel yazılım: güncellenmemiş eklenti ve kütüphaneler en yaygın sızma yoludur.
• Günlük ve izleme: kimin neye eriştiğinin kaydı.
• Tedarikçi denetimi: çalıştığınız ödeme kuruluşunun uyumlu olduğunu doğrulayın.

Ödeme kuruluşu seçerken nelere bakmalı?

Uyum yükünün büyük kısmını devrettiğiniz için, ödeme kuruluşu seçimi bir güvenlik kararıdır. Fiyat karşılaştırmasının ötesinde bakılması gerekenler:

• Uyum belgesi: kuruluşun PCI-DSS uyumluluğunu belgeleyebiliyor olması ve bunun güncel olması.
• Entegrasyon biçimi: gömülü form sunuyor mu, yoksa yalnız yönlendirme mi? İkincisi dönüşümü düşürebilir.
• Tokenizasyon: kayıtlı kart özelliğini sizde veri tutmadan sunabiliyor mu?
• Sahtecilik araçları: kural tanımlama, risk skorlama ve manuel inceleme kuyruğu var mı?
• Raporlama ve mutabakat: işlem bazında döküm alabiliyor musunuz? Alamıyorsanız hatalı kesintileri fark edemezsiniz.
• Destek: sorun çıktığında kime, ne kadar sürede ulaşıyorsunuz?

Bu altı maddeyi sözleşme öncesinde sorun; sonrasında değiştirmek hem teknik hem ticari olarak maliyetlidir.

Küçük işletme için gerçekçi bir yol

Standardın tamamını okumak ve kendi başına uygulamaya çalışmak, küçük bir ekip için ne gerekli ne mümkündür. Gerçekçi sıra şudur:

1. Kart verisini sisteminizden tamamen çıkarın. Bu tek karar, yükün büyük kısmını ortadan kaldırır.
2. Erişimleri düzenleyin. Panel kullanıcılarını gözden geçirin, çok adımlı doğrulamayı açın, ayrılan çalışanların erişimini kapatın.
3. Güncellemeleri rutine bağlayın. Ayda bir eklenti ve sistem güncellemesi kontrolü.
4. Üçüncü taraf betikleri sayın. Ödeme sayfasında ne kadar az yabancı kod varsa o kadar iyi.
5. Öz değerlendirme formunu doldurun. Hangi formun size uygun olduğunu ödeme kuruluşunuz söyler.

Beş adımın hiçbiri büyük bütçe gerektirmez; hepsi karar ve disiplin gerektirir. Sitenizin genel teknik sağlığını site analizi aracıyla düzenli kontrol edebilirsiniz.

3D Secure ile ilişkisi

3D Secure ile PCI-DSS farklı şeylerdir ve biri diğerinin yerine geçmez. 3D Secure, işlemin kart sahibi tarafından yapıldığını doğrulayan bir kimlik doğrulama katmanıdır; PCI-DSS ise kart verisinin nasıl korunacağını tanımlayan bir standarttır.

Pratik faydası şudur: 3D Secure kullanıldığında, sahtecilik durumunda sorumluluk büyük ölçüde bankaya geçer. Kullanılmadığında ise ters ibraz riski satıcıda kalır. Dönüşüm tarafında küçük bir sürtünme yaratır ama yüksek sepet tutarlarında bu, ödenmesi gereken bir bedeldir.

Sahtecilik (fraud) yönetimi

PCI-DSS veriyi korur; sahteciliği engellemez. İkisi ayrı ayrı ele alınmalıdır.

Pratik sahtecilik önlemleri: aynı karttan kısa sürede çok sayıda deneme yapılmasını sınırlamak, fatura ve teslimat adresi uyuşmazlığını işaretlemek, olağan dışı yüksek tutarlı ilk siparişleri manuel incelemeye almak ve riskli işlemlerde 3D Secure zorunlu kılmak.

Dengeyi kurarken dikkat edin: aşırı sıkı kurallar, gerçek müşterileri de engeller. Reddedilen meşru işlem oranını da ölçün — çünkü o da bir kayıptır.

Sözleşmelerinizi kontrol edin

Ödeme kuruluşuyla yaptığınız sözleşme, sorumluluğun nerede olduğunu tanımlar. Bakılması gerekenler: ters ibraz durumunda kim sorumlu, sahtecilik durumunda hangi koşullarda koruma var, veri ihlali hâlinde bildirim yükümlülükleri ne?

Bu maddeler sorun çıkmadan okunmalıdır. Sorun çıktıktan sonra okunan sözleşme, çoğu zaman beklenenden farklı çıkar.

Bir ihlal durumunda ne olur?

Kart verisi sızıntısının maliyeti yalnız teknik değildir. Kart kuruluşlarının uyguladığı yaptırımlar, kişisel veri mevzuatı kapsamındaki yükümlülükler, müşterilere bildirim zorunluluğu ve itibar kaybı bir arada gelir.

Bu yüzden hazırlık, olay yönetimi planını da kapsamalıdır: kimin haberdar edileceği, hangi sırayla, hangi süre içinde. Kişisel veri tarafındaki yükümlülükleri KVKK uyumluluğu yazısında ele aldık.

Müşteri tarafı: güven de bir çıktıdır

Uyum bir yükümlülüktür ama aynı zamanda bir satış argümanıdır. Ödeme adımında lisanslı altyapı kullandığınızı ve kart bilgisinin sizde saklanmadığını açıkça söylemek, tereddütü doğrudan azaltır.

Ancak bunu abartmayın: yan yana dizilmiş sekiz güvenlik rozeti, güven vermek yerine şüphe uyandırır. Bir net cümle, sekiz rozetten iyidir. Güven sinyallerinin tamamını online ödemede güven sinyalleri yazısında topladık.

Sık sorulan sorular

Kart bilgilerini kendi sistemimde saklamalı mıyım?

Neredeyse hiçbir durumda hayır. Kart verisi saklamak, kapsamı ve maliyeti çok yüksek bir uyum yükü doğurur: şifreleme, erişim kontrolü, düzenli sızma testi ve denetim. Lisanslı bir ödeme kuruluşunun saklama hizmetini kullanmak hem daha güvenli hem karşılaştırılamayacak kadar ucuzdur.

Ödeme kuruluşu seçerken neye bakmalıyım?

Lisans durumu, uyum belgeleri, desteklediği yöntemler ve komisyon yapısı ilk bakılacaklardır. Bunların yanında sözleşmedeki sorumluluk paylaşımını, itiraz süreçlerinin nasıl işlediğini ve teknik desteğin ulaşılabilirliğini de kontrol edin — sorun çıktığında belirleyici olan bu maddelerdir.

Küçük bir işletme için gerçekçi yol nedir?

Kart verisine hiç dokunmayan bir kurulum: ödeme adımını lisanslı kuruluşun altyapısına devredin, kendi tarafınızda yalnız sipariş verisini tutun. Ardından sizde kalan temel sorumlulukları düzenli işletin — yönetici erişimlerini sınırlamak, yazılımları güncel tutmak ve günlükleri izlemek.

Özet

PCI-DSS uyumunun en pratik yolu, kart verisini hiç görmemektir: yönlendirmeli ya da gömülü ödeme formu kullanın, kayıtlı kart özelliğini tokenizasyonla sunun. Yine de ödeme sayfasının bütünlüğü, erişim yönetimi ve güncel yazılım sizin sorumluluğunuzdadır. 3D Secure ile PCI-DSS'i karıştırmayın; biri kimlik doğrular, diğeri veriyi korur. Sözleşmenizdeki sorumluluk maddelerini sorun çıkmadan okuyun.