PCI DSS nima va u toʻlov loyihasiga nima uchun kerak

PCI DSS nima va u kimga tegishli

PCI DSS (Payment Card Industry Data Security Standard) — bu tashkilot toʻlov kartalari maʼlumotlarini qanday saqlashi, qayta ishlashi va uzatishi kerakligini belgilovchi xavfsizlik standarti. Uni Visa, Mastercard, American Express, Discover va JCB tomonidan tuzilgan PCI SSC kengashi qoʻllab-quvvatlaydi. Bu qonun emas, balki shartnomaviy talab: agar siz kartalarni qabul qilmoqchi boʻlsangiz, ekvayer bank va toʻlov tizimlari sizdan standartga muvofiqlikni talab qiladi.

Oʻzbekistonda koʻplab loyihalar Uzcard va Humo bilan ishlagani uchun PCI DSS ularga tegishli emas deb oʻylaydi. Biroq siz xalqaro Visa yoki Mastercard kartalarini toʻgʻridan-toʻgʻri qabul qila boshlasangiz — oʻz toʻlov formasi, mobil ilova yoki server integratsiyasi orqali — standart taʼsir doirasiga tushasiz. Ekvayer bank muvofiqlik tasdigʻisiz sizni ulamaydi.

Merchant darajalari: siz qayerga tushasiz

Talablar hajmi yiliga amalga oshiriladigan karta tranzaksiyalari soniga bogʻliq. Toʻlov tizimlari merchantlarni toʻrt darajaga ajratadi:

• 1-daraja — yiliga 6 mln dan ortiq tranzaksiya. Eng qatʼiy: tashqi QSA auditori tomonidan yillik joyida tekshiruv va ROC hisoboti.
• 2-daraja — 1 dan 6 mln gacha tranzaksiya. Odatda SAQ oʻz-oʻzini baholash soʻrovnomasi, baʼzan QSA ishtirokida.
• 3-daraja — 20 mingdan 1 mln gacha onlayn tranzaksiya. SAQ va tashqi perimetrning choraklik ASV skanerlashi.
• 4-daraja — 20 mingdan kam onlayn yoki 1 mln gacha barcha tranzaksiya. Koʻpincha SAQ va skanerlash.

Oʻzbekistondagi startaplar va oʻrta loyihalarning aksariyati — bu 3 yoki 4-daraja. Bu yaxshi xabar: sizga, ehtimol, qimmat joyida audit kerak emas, toʻgʻri toʻldirilgan SAQ va muntazam skanerlash yetarli.

Standartning 12 ta talabi

PCI DSS olti maqsadga guruhlangan 12 ta talabga keladi. Aslida bu sogʻlom muhandislik gigiyenasi:

• Tarmoq himoyasi: firewalllar, segmentatsiya, ochiq segmentda maʼlumot saqlash taqiqi.
• Zavod parollari va xavfli standart sozlamalardan voz kechish.
• Saqlanadigan karta maʼlumotlarini himoyalash: shifrlash, maskalash, CVV ni umuman saqlamaslik.
• Ochiq tarmoqlarda maʼlumot uzatishni shifrlash (TLS).
• Antivirus himoyasi va zaifliklarni boshqarish.
• Xavfsiz dasturlash va koddagi zaifliklarni muntazam yopish.
• Maʼlumotga kirishni minimal imtiyozlar tamoyili boʻyicha cheklash.
• Tizimlarga kirish huquqiga ega har bir shaxsni noyob identifikatsiyalash.
• Uskuna va tashuvchilarni jismoniy himoyalash.
• Maʼlumotga barcha murojaatlarni jurnalga yozish va monitoring.
• Xavfsizlik tizimlarini muntazam sinovdan oʻtkazish (skan, pentest).
• Axborot xavfsizligi siyosatini yuritish.

Standartning amaldagi versiyasi — PCI DSS 4.0.1. 4.0 tarmogʻidagi bir qator yangi talablar 2025-yil martdan keyin majburiy boʻldi: kuchaytirilgan autentifikatsiya, toʻlov sahifalaridagi skriptlarni nazorat qilish, kirish huquqlarini tez-tez tekshirish. Hozir loyiha boshlayotgan boʻlsangiz — eskirgan 3.2.1 emas, darhol 4.0.1 ni rejalashtiring.

Tokenizatsiya: yukni qanday kamaytirish

Tokenizatsiya — bu karta raqamini buzgʻunchi uchun maʼnosiz tokenga almashtirish. Haqiqiy PAN provayderning himoyalangan omborida saqlanadi, sizning bazangizda esa kartani tiklab boʻlmaydigan havola yotadi. Bu serverlaringizni audit doirasidan chiqarishning asosiy usuli.

Amalda bu shuni anglatadi: allaqachon sertifikatsiyadan oʻtgan provayderning hosted-formalari, redirect-toʻlov yoki iframe’dan foydalaning. Shunda karta hech qachon backend orqali oʻtmaydi. Lokal PSP orqali integratsiya qiladigan koʻpchilik oʻzbek loyihalari uchun bu ishlaydigan model — karta maʼlumotlari infratuzilmangizga jismonan tushmaydi.

Qanday tayyorlanish va qanday muddat rejalashtirish

Muvofiqlikka tayyorgarlik tushunarli yoʻl boʻyicha boradi:

• Scope’ni aniqlash: karta maʼlumoti qayerda paydo boʻladi, saqlanadi va uzatiladi. Data-flow diagramma chiziladi.
• Tokenizatsiya va tarmoq segmentatsiyasi orqali scope’ni qisqartirish.
• Arxitekturangizga mos toʻgʻri SAQ turini tanlash.
• Texnik kamchiliklarni yopish: TLS, jurnal, MFA, kirishni boshqarish, patching.
• Tashqi perimetrning ASV skanerlashini oʻtkazish (3-4 darajalar uchun choraklik).
• SAQ va AOC ni toʻldirish, zarur boʻlsa QSA bilan ROC dan oʻtish.

Real muddatlar: agar arxitektura dastlab tokenizatsiya va hosted-toʻlov bilan loyihalangan boʻlsa, tayyorgarlik bir necha haftadan bir-ikki oygacha vaqt oladi. Agar loyiha allaqachon kartalarni saqlasa va uni qayta qurish kerak boʻlsa — uch-olti oy, plyus birinchi skanerlashdan keyingi kamchiliklarni tuzatish vaqti. Sertifikatsiya bir martalik emas: SAQ har yili, ASV skanlari har chorakda yangilanadi, shuning uchun muvofiqlikni yiliga bir marta shoshilinch ish emas, jarayonlarga singdirgan maʼqul.