Cos’è PCI-DSS:
I cinque principali brand (VISA, MasterCard, American Express, JCB e Discovery) hanno deciso di unire le forze per definire uno standard di sicurezza.  Hanno così fondato un consorzio lo Payment Card Industry Security Standard Councyl (PCI –SSC) e pubblicato il primo PCI Data Security Standard (PCI-DSS) che detta le linee guida internazionali e i requisiti  applicabili a qualsiasi azienda che tratti i PAN delle carte, sia per gestire direttamente i pagamenti dei propri clienti sia per fornire servizi a chi li gestisce.

A chi interessa:
PCI-DSS interessa qualunque soggetto tratti una ben precisa informazione: il numero della carta di pagamento (tecnicamente noto come PAN) emessa dai brand Visa, Mastercard, American Express, JCB o Discovery. Quindi tutte le attività commerciali (negozi, alberghi, operatori di e-commerce), le banche, i service provider (fornitori di hosting i tenutari, nel database, dei dati delle carte di credito)

Soggetti coinvolti e loro interazione:
I soggetti che sono normalmente coinvolti nei flussi di informazioni inerenti le carte di credito sono ben identificati nel seguente schema:

A questo schema si possono aggiungere diverse terze parti che possono essere coinvolte, e tutte rientrano sotto il nome di Service Provider

Quali sono i requisiti:
Le normative PCI stabiliscono 12 requisiti di conformità che devono essere garantiti da tutti i commercianti e fornitori di servizi che accettano carte di credito :

Realizzare e garantire una rete sicura
1. Installare e garantire una configurazione del firewall per proteggere i dati dei titolari di carte di credito.
2. Non utilizzare i valori predefiniti ottenuti dai fornitori per le password di sistema e altri parametri di sicurezza.
Proteggere i dati relativi ai titolari delle carte di credito
3. Non archiviare dati superflui sulla carta o sulla transazione, come il numero completo della carta, i dati della banda magnetica, il codice di verifica della carta (CVV2) o il PIN.
4. Crittografare i dati relativi ai titolari della carta e altre informazioni riservate durante la trasmissione su reti aperte e pubbliche.
Introdurre un programma di gestione delle vulnerabilità
5. Utilizzare e aggiornare regolarmente software anti-virus.
6. Sviluppare e gestire sistemi e applicazioni di sicurezza.
Implementare solide misure di controllo degli accessi
7. Concedere l'accesso ai dati relativi ai titolari delle carte di credito solo alle persone autorizzate.
8. Assegnare un ID univoco a ogni persona che sia autorizzata all'accesso tramite computer.
9. Limitare l'accessibilità fisica dei dati relativi ai titolari delle carte di credito.
Monitorare e testare regolarmente le reti
10. Monitorare tutti gli accessi alle risorse di rete e ai dati relativi ai titolari delle carte di credito.
11. Testare regolarmente i sistemi e i processi di sicurezza.
Implementare una politica di sicurezza delle informazioni
12. Implementare una politica che garantisca la sicurezza delle informazioni.

I livelli della certificazione
La conformità è uguale per tutti: i diversi livelli influenzano soltanto il modo con cui si deve dimostrare di essere conformi.  Questo meccanismo è stato introdotto per differenziare le aziende che gestiscono milioni di transazioni da quelle che ne gestiscono solo migliaia.