PCI DSS Nedir? PCI DSS Taraması Ne İşe Yarar?

PCI DSS Nedir?

PCI DSS, "Payment Card Industry Data Security Standard" ifadesinin kısaltmasıdır. Türkçe'ye "Ödeme Kartı Endüstrisi Veri Güvenliği Standardı" olarak çevrilir. Visa, Mastercard, American Express, Discover ve JCB gibi büyük ödeme kartı şirketleri tarafından oluşturulan PCI Security Standards Council (PCI SSC) tarafından yönetilen bu standart, kart sahiplerinin verilerinin güvenli biçimde işlenmesi, saklanması ve iletilmesi için bir dizi gereklilik tanımlar.

PCI DSS Kimler İçin Zorunludur?

Online veya fiziki ortamda kredi/banka kartı kabul eden tüm işletmeler PCI DSS kapsamına girer:

• E-ticaret siteleri (online ödeme alan her platform)
• Perakende mağazalar (POS cihazı kullanan işyerleri)
• Ödeme aracı kuruluşları
• Bankalar ve finansal kuruluşlar
• Hosting sağlayıcıları (kart verisi barındıranlar)

PCI DSS'in 6 Temel Gereksinim Kategorisi

#	Kategori	Açıklama
1	Güvenli Ağ ve Sistemler	Güvenlik duvarı kurulumu, varsayılan parolaların değiştirilmesi
2	Kart Sahibi Veri Koruması	Depolanan ve iletilen verilerin şifrelenmesi
3	Açık Yönetimi	Sistemlerin düzenli güncellenmesi, antivirüs kullanımı
4	Erişim Kontrolü	Kart verilerine erişimin sınırlandırılması
5	İzleme ve Test	Ağ trafiğinin izlenmesi, güvenlik testleri
6	Bilgi Güvenliği Politikası	Personel eğitimi, güvenlik politikalarının oluşturulması

PCI DSS Taraması (Ağ Taraması) Ne İşe Yarar?

PCI DSS uyumu kapsamında düzenli ağ güvenlik taramaları yapılması zorunludur. Bu taramalar:

• Sistemlerdeki güvenlik açıklarını (CVE'leri) tespit eder
• Açık ve savunmasız portları raporlar
• Güvenli olmayan protokolleri belirler
• Yetkisiz erişim noktalarını ortaya çıkarır

Tarama işlemi 4 aşamadan oluşur: Ağ taraması → Veri analizi → Güvenlik düzeltmeleri → Yeniden tarama (doğrulama)

PCI DSS Uyum Seviyeleri

İşlem hacmine göre dört farklı uyum seviyesi mevcuttur:

• Seviye 1: Yıllık 6 milyondan fazla kart işlemi — Harici denetim zorunludur
• Seviye 2: 1-6 milyon işlem — Yıllık öz değerlendirme anketi
• Seviye 3: 20.000 - 1 milyon e-ticaret işlemi
• Seviye 4: 20.000'den az e-ticaret işlemi — Temel öz değerlendirme

Küçük işletmeler genellikle Seviye 3 veya 4 kapsamına girer ve öz değerlendirme anketi (SAQ) doldurmaları yeterlidir.