跳到主要内容

概述​

Oceanpayment作为全球化的支付服务提供商，始终将安全与合规视为核心基石。其对PCI DSS（Payment Card Industry Data Security Standard）的持续合规承诺，是其为客户构建安全、可信支付环境的关键。下面将为您全面介绍Oceanpayment的PCI DSS合规实践。

PCI DSS简介​

PCI DSS是由PCI安全标准委员会（PCI SSC） 制定，由包括Visa、Mastercard、American Express、Discover、JCB在内的五大卡组织共同维护的全球性安全标准。它旨在保护持卡人数据在整个支付生态系统中（包括存储、处理和传输环节）的安全，减少数据泄露和支付欺诈风险。 任何存储、处理或传输支付卡数据的组织都需要遵守PCI DSS。该标准包含6大控制目标、12项核心要求和300多项安全控制措施。

Oceanpayment PCI DSS合规承诺​

Oceanpayment自成立之初就高度重视支付安全，连续多年通过并保持PCI DSS最高级别——LEVEl 1认证。这意味着Oceanpayment的支付系统、网络架构、数据处理流程和安全策略均接受了由PCI SSC授权的合格安全评估员（QSA）进行的严格年度审核，符合全球支付行业最严格的安全要求。

Oceanpayment PCI DSS核心认证信息​

认证项目详细信息
认证级别PCI DSS LEVEl 1 (最高级别)
认证状态持续合规，每年通过年度复审
认证历史自2014年成立伊始即获得该认证，并持续保持
最新版本PCI DSS v4.0 (2024年3月31日起v3.2.1已停用)

合规实践与安全控制​

PCI DSS v4.0版本于2024年4月1日正式取代v3.2.1，其目标是为账户数据提供充分保护，并使组织更清楚自身在保护账户数据中的责任，旨在“应对新兴威胁和技术，并采用创新方法应对新威胁”。Oceanpayment积极跟进新标准，其安全控制措施主要涵盖以下方面：

构建并维护安全的网络与系统​

  • 防火墙配置：安装和维护防火墙配置，以保护持卡人数据环境（CDE）。
  • 系统安全参数：避免使用供应商提供的默认系统密码和其他安全参数，并配置系统安全参数以防止误操作。

保护持卡人数据​

  • 数据加密：在开放的公共网络上传输持卡人数据时，使用强大的加密技术进行加密。采用更优的加密和密钥管理策略，例如使用强加密密钥、用于存储主账号（PAN）的密钥哈希等。
  • 数据存储保护：保护存储的持卡人数据。

维护漏洞管理程序​

  • 防恶意软件：保护所有系统免受恶意软件的侵害，并定期更新防病毒软件。
  • 安全系统与应用程序：开发和维护安全的系统和应用程序。这包括在系统投入生产前，从系统组件中删除测试数据和测试账户。

实施严格的访问控制措施​

  • 访问限制：根据业务知悉需要（Need-to-Know）限制对持卡人数据的访问。
  • 唯一身份标识：为每位具有计算机访问权限的人员分配唯一的ID。
  • 多因素认证（MFA）：v4.0版本强化了MFA要求，任何对持卡人数据环境（CDE）的访问都需要MFA，而不仅仅是管理访问。
  • 物理访问控制：限制对持卡人数据的物理访问。

定期监控和测试网络​

  • 跟踪与监控：跟踪和监控对网络资源和持卡人数据的所有访问。v4.0要求增强日志记录和监控，更全面地记录跨环境的活动、访问和警报，并实现日志审查自动化。
  • 安全测试：定期测试安全系统和流程，包括定期进行外部和内部渗透测试，并修复可利用的漏洞和安全弱点。

维护信息安全政策​

  • 信息安全政策：维护一项解决所有人员信息安全问题的政策。

Oceanpayment合规价值​

对于使用Oceanpayment服务的商户而言，Oceanpayment的PCI DSS Level 1合规性带来了多重重要价值：

  • 大幅降低合规负担：通过使用Oceanpayment已认证的支付接口，商户可以显著减少自身系统需要接受的PCI合规评估范围。通常，商户可以适用更简单的自我评估问卷（SAQ），如SAQ A或SAQ A-EP，从而简化合规流程。
  • 增强客户信任与品牌声誉：PCI DSS合规性向您的客户表明您高度重视其支付数据的安全，有助于提升客户信任度和品牌形象。
  • 降低风险与潜在损失：遵循PCI DSS标准能有效降低数据泄露和欺诈风险，避免因安全事件导致的巨额罚款、业务中断及声誉损失。
  • 支持全球业务拓展：PCI DSS是全球公认的安全标准，合规性有助于商户满足不同市场的安全要求，助力业务全球化。