Information omkring PCI DSS og PA-DSS

Alle handlende der håndterer internationale debit-/kredit-kort pålægges gennem indløsningsaftalen (f.eks. med PBS) at opfylde de krav der er beskrevet i PCI DSS.

PCI står for_ Payment Card Industry - d.v.s. MasterCard, Visa m.fl. DSS står for: Data Security Standard – det er en specifikation der stiller krav til håndteringen af kortdata for at minimere svindel.

Anvendelse af produkter og løsninger der indeholder en PA-DSS godkendt betalingsapplikation vil gøre det enklere for den samlede løsning at overholde disse PCI DSS krav.

PA-DSS står for: Payment Application – Data Security Standard - en terminal applikation der overholder alle PCI DSS krav omkring håndtering af kortdata.

For at få udbytte af en PA-DSS godkendt applikation, skal den integreres og anvendes efter de forskrifter som leverandøren angiver i PCI DSS Implementation Guide, der kan hentes ved at følge links herunder.

Stand-alone

For stand-alone terminaler er det vigtigt at sikre, at terminalens software er opdateret til en godkendt PA-DSS version og at netværket er beskyttet med en fire-wall, som angivet af PBS og PCI DSS kravene der er gengivet i PCI DSS Implementation Guide.

Integrations-løsninger

Ved anvendelse af applikationerne i integrerede løsninger skal integrator følge anvisningerne i PCI DSS Implementation Guide.

Informationer om de godkendte produkter og deres anvendelse findes ved at klikke videre herunder.

BBS Denmark leverer flere godkendte produkter:

• Produkter fra det tidligere Sagem Denmark A/S 
• Produkter fra BBS LDB (tidligere LD Betalingssystemer A/S)

PA-DSS godkendte Applikationer (ex-Sagem)

BBS Denmark A/S leverer to typer af godkendte PA-DSS applikationer der tidligere blev leveret af Sagem Denmark A/S.

 ”Sagem PS” der fungerer med en PSAM fra PBS.

 ”Sagem GPA” der er en generisk applikation der anvendes i løsninger der kører uden PSAM.

Download PCI DSS Implementation Guide-RB.pdf  der gælder for begge ovennævnte applikationer. 

Listen herunder viser de godkendte applikationer, med revisionsnummer og MD5 checksum. Applikationerne hentes af terminalen (ved stand-alone terminaler) eller af integrator fra BBS Denmarks ftp-host.

Bemærk at integratorer der selv henter applikationerne via ftp skal beregne en MD5 checksum på applikations-filen og kontrollere at denne checksum svarer til den der er angivet i listen herover.

Dette skal sikre at applikations-filen er identisk med den BBS Denmark har frigivet. Dette check er krævet for at overholde PCI DSS.

Download et tool der kan generere en MD5 checksum

Information omkring versions-angivelser

Versionsnumre på applikationerne har fire cifre:

Første ciffer angiver PA-DSS versionen. Den første godkendte version hedder 2. Hvis applikationen godkendes igen, f.eks. på grund af ændringer vil dette ciffer tælle op.

Andet ciffer viser versionen af applikationes EMV level 2 godkendelse, d.v.s. godkendelsen af chip-kort håndteringen. Dette vil tælle op når der opnås nye godkendelser omkring EMV.

De sidste 2 cifre angiver major og minor ændringer i applikationen der ikke berører forhold omkring EMV og PA-DSS.

PA-DSS godkendt Applikation (ex- LD Betalingssystemer)

BBS Denmark har udviklet en PA-DSS godkendt applikation til de terminaler der tidligere blev leveret af LD Betalingssystemer. Applikationen funger på alle attended terminaler der har installeret en PSAM fra PBS.

Applikationen har fået navnet ”PA-DSS V 4.1.1”, et navn som vil blive udskrevet på Terminal Rapporten, en rapport som kan udskrives direkte af terminalen eller det tilhørende kasseapparat.

Hvordan Terminal Rapporten udskrives, er forskellig fra terminaltype til terminaltype. Find mere info i terminalmanualen, som kan downloades fra:

http://www.bbs.dk/Support/?tabID=2

For at forretningerne kan leve op til alle PCI DSS kravene, skal følgende være opfyldt:

• Godkendt PA DSS applikation i terminalen.

• Godkendt PA DSS PSAM i terminalen (PSAM er et SIM kort som leveres af PBS).

Disse krav gælder kun forretninger der modtager nye terminaler, der er leveret af BBS Denmark efter den 1. juli 2010. PBS har endnu ikke taget en endelig beslutning om, hvornår de eksisterende terminalløsninger skal overholde PA DSS kravene. Når dette sker, vil vi naturligvis informere om dette.

PA-DSS Implementation Guide: Information for Integrators