Sudenkuopat, riskit ja viralliset lähteet
PCI DSS pk-yritykselle: mitä korttitietojen turvallisuusstandardi vaatii pieneltä kauppiaalta
Mikä PCI DSS on, miksi se koskee pientäkin kauppiasta, mikä itsearviointilomake (SAQ) sopii myymälälle ja verkkokaupalle ja mitä laiminlyönti voi maksaa.
PCI DSS (Payment Card Industry Data Security Standard) on korttiyhtiöiden yhteisen PCI Security Standards Councilin ylläpitämä tietoturvastandardi, jota jokaisen korttimaksuja vastaanottavan kauppiaan edellytetään noudattavan korttiyhtiöiden sääntöjen ja maksunvälityssopimuksen perusteella. Se ei ole laki, mutta sopimus sitoo siihen. Pk-yritys osoittaa noudattamisen yleensä itsearviointilomakkeella (SAQ), jonka laajuus riippuu siitä, miten korttimaksut otetaan vastaan. Mitä vähemmän korttitietoja kulkee yrityksen omien järjestelmien kautta, sitä kevyempi arviointi. Voimassa oleva versio on PCI DSS v4.0.1. Tämä opas on yleiskuvaus; tarkat vaatimukset ja lomakkeet löytyvät standardin ylläpitäjältä.
Kuka on vastuussa mistäkin
| Osapuoli | Vastuu |
|---|---|
| Kauppias | Omat järjestelmät, henkilöstö, laitteet ja tapa ottaa korttimaksuja vastaan |
| Maksunvälittäjä | Kauppiaiden PCI-noudattamisen seuranta ja omat järjestelmät |
| Maksupääte- ja maksusivupalvelu | Omien palvelujensa sertifiointi |
| Korttiyhtiöt | Vaatimustasot ja seuraamukset |
Kauppias ei voi ulkoistaa vastuuta kokonaan, mutta se voi pienentää vaatimusten laajuutta valitsemalla ratkaisun, jossa korttitiedot eivät kulje sen omissa järjestelmissä. Pyydä palveluntarjoajalta todistus sen omasta PCI DSS -noudattamisesta (Attestation of Compliance, AOC).
Itsearviointilomakkeet tyypillisille pk-yrityksille
| Lomake | Tyypillinen tilanne | Laajuus |
|---|---|---|
| SAQ A | Verkkokauppa, jonka maksusivu on kokonaan ulkoistettu (uudelleenohjaus tai upotettu maksusivu) | Kevein |
| SAQ A-EP | Verkkokauppa, jonka oma sivu vaikuttaa maksutapahtumaan, vaikka korttitiedot käsittelee palveluntarjoaja | Laajempi |
| SAQ B | Erilliset päätteet puhelinlinjalla, ei sähköistä korttitietojen tallennusta | Kevyt |
| SAQ B-IP | Erilliset, PCI-hyväksytyt päätteet IP-yhteydellä | Kohtalainen |
| SAQ C-VT | Korttitiedot syötetään käsin selaimen virtuaalipäätteeseen | Kohtalainen |
| SAQ P2PE | Sertifioitu point-to-point-salausratkaisu | Kevyt |
| SAQ D | Kaikki muut, esimerkiksi omat järjestelmät tallentavat korttitietoja | Laajin |
Oikean lomakkeen valinta tehdään yhdessä maksunvälittäjän kanssa, ja lomakkeiden kelpoisuusehdot on luettava itse lomakkeesta. Ehtoja on tarkennettu: tammikuussa 2025 julkaistussa, 31.3.2025 alkaen käytettävässä SAQ A -lomakkeessa kauppiaan on vahvistettava, ettei sen oma sivusto ole altis skriptihyökkäyksille, jotka voisivat vaikuttaa verkkokaupan järjestelmiin. Tarkista ajantasainen lomake PCI Security Standards Councilin sivuilta.
Mitä noudattaminen käytännössä vaatii pieneltä myymälältä
- Päätteiden tarkistus: tarkista päätteet säännöllisesti manipuloinnin varalta, pidä luettelo laitteista ja sarjanumeroista ja kouluta henkilöstö tunnistamaan epäilyttävät huoltokäynnit.
- Verkko: jos pääte on samassa verkossa kuin muut laitteet, erota se esimerkiksi omaan verkkoonsa. Vaihda laitteiden oletussalasanat.
- Käyttöoikeudet: vain tarvittavat henkilöt pääsevät maksuportaaliin, jokaisella omat tunnukset.
- Kuitit: korttikuitissa näkyy vain osa kortin numerosta.
- Tietoturvapolitiikka: lyhyt kirjallinen ohje henkilöstölle siitä, miten korttimaksuja käsitellään.
- Vuosittainen arviointi: täytä SAQ ja toimita se maksunvälittäjälle pyydettäessä; joissain tilanteissa vaaditaan myös haavoittuvuusskannaus.
Mitä laiminlyönti voi maksaa
Maksunvälittäjä voi periä PCI-noudattamattomuusmaksun (non-compliance fee), jos kauppias ei toimita itsearviointia. Havainnollisesti maksu voi olla kymmeniä euroja kuukaudessa, mikä on 12 kuukauden aikana enemmän kuin moni pienen kaupan prosenttiero. Vakavampi riski on tietomurto: korttiyhtiöt voivat määrätä kauppiaalle seuraamuksia välittäjän kautta, ja kauppias voi joutua vastaamaan petosmenetyksistä, tutkintakuluista ja korvaavien korttien kustannuksista. Lisäksi tietomurto voi olla tietosuoja-asetuksen mukainen henkilötietojen tietoturvaloukkaus.
Havainnollinen laskelma: jos noudattamattomuusmaksu on 25 €/kk, se on 300 € vuodessa. Kahvilalle, jonka korttimyynti on 15 000 €/kk, tämä vastaa 300 ÷ 180 000 ≈ 0,17 prosenttiyksikön lisäkulua. Itsearvioinnin tekemiseen menee pienessä myymälässä usein muutama tunti.
Miten pienennät PCI-taakkaa
- Valitse ratkaisu, jossa korttitiedot eivät kulje omissa järjestelmissäsi: ulkoistettu maksusivu verkkokauppaan, sertifioidut päätteet ja P2PE-ratkaisu myymälään.
- Vältä virtuaalipäätettä ja käsin syötettyjä korttitietoja, jos voit; käytä esimerkiksi maksulinkkiä puhelintilauksissa.
- Kysy välittäjältä apua: moni välittäjä tarjoaa portaalin, jossa SAQ täytetään ohjatusti.
- Kirjaa kuka vastaa PCI-asioista yrityksessäsi ja milloin arviointi on seuraavan kerran tehtävä.
PCI DSS on yksi tarjousten vertailun kohdista; katso vertailulista. Kokonaiskuva riskeistä on oppaassa korttimaksujen sudenkuopat, ja verkkomaksujen tunnistamisesta kerrotaan oppaassa maksutiedot, GDPR ja vahva tunnistaminen.
Esimerkkitilanteet: mikä arviointi sopii
Kolme havainnollista pk-yritystä ja niiden todennäköinen lähtökohta. Lopullinen lomake sovitaan aina maksunvälittäjän kanssa.
Kampaamo, jolla on yksi mobiilipääte: pääte on palveluntarjoajan toimittama ja sertifioitu, eikä yritys tallenna korttitietoja. Lähtökohta on kevyt itsearviointi, esimerkiksi päätteen yhteystavan mukainen SAQ B tai B-IP, tai P2PE, jos ratkaisu on sertifioitu point-to-point-salaus. Työ: päätteen tarkistus, henkilöstön ohje ja vuosittainen lomake.
Verkkokauppa, joka ohjaa asiakkaan maksunvälittäjän maksusivulle: korttitiedot syötetään välittäjän sivulle, eikä kauppa käsittele niitä. Lähtökohta on SAQ A, mutta kelpoisuusehdot edellyttävät, että kauppias vahvistaa, ettei sen oma sivusto ole altis verkkokaupan järjestelmiin vaikuttaville skriptihyökkäyksille. Työ: verkkokauppa-alustan päivitykset, ylläpitotunnusten suojaus ja lomakkeen ehtojen läpikäynti.
Verkkokauppa, jonka oma sivu lataa maksulomakkeen skriptit: kun oma sivu vaikuttaa siihen, miten korttitiedot kerätään, lähtökohta on usein laajempi SAQ A-EP. Työ: sivuston haavoittuvuuksien hallinta, skriptien valvonta ja mahdolliset skannaukset.
Esimerkeistä näkyy, että teknisen ratkaisun valinta tarjousvaiheessa ratkaisee, kuinka paljon PCI-työtä myöhemmin tulee. Kysy tarjoajalta, mikä SAQ sen ratkaisuun tyypillisesti sopii.
Usein kysyttyä
Onko PCI DSS laki?
Ei. Se on korttiyhtiöiden standardi, jota kauppias on sitoutunut noudattamaan maksunvälityssopimuksessa. Henkilötietojen suojaa koskevat lisäksi tietosuoja-asetus ja kansallinen tietosuojalaki.
Koskeeko PCI DSS myös puhelinta maksupäätteenä käyttävää yrittäjää?
Kyllä, mutta laajuus riippuu ratkaisusta. Palveluntarjoaja kertoo, mikä itsearviointi sopii sen ratkaisuun.
Mitä versio 4.0.1 muutti?
Versio 4.0 korvasi version 3.2.1, ja versio 4.0.1 on tarkennettu versio. Osa uusista vaatimuksista tuli pakollisiksi 31.3.2025. Tarkista oman lomakkeesi vaatimukset ajantasaisesta versiosta.
Mitä teen, jos maksunvälittäjä ei ole koskaan pyytänyt itsearviointia?
Kysy välittäjältä, mitä se edellyttää yritykseltäsi ja peritäänkö noudattamattomuusmaksua. Monilla välittäjillä on portaali, jossa arviointi tehdään, tai ne kattavat pienten kauppiaiden vaatimukset osana palvelua. Tarkista myös viimeisimmät laskut: jos niissä on PCI-aiheinen maksu, itsearvioinnin tekeminen voi poistaa sen. Kirjaa vastaukset ja päivämäärät myöhempää tarvetta varten.
Lähteet
- PCI Security Standards Council – PCI DSS -standardi, SAQ-lomakkeet ja ohjeet
- Tietosuojavaltuutetun toimisto – henkilötietojen tietoturvaloukkaukset
- Kyberturvallisuuskeskus – pk-yritysten tietoturvaohjeet
- Finanssivalvonta – maksupalveluntarjoajien riskienhallinta
