สำหรับธุรกิจใดๆ ที่ดำเนินการธุรกรรมบัตรเครดิตหรือบัตรชำระเงินอื่นๆ การทำความเข้าใจเกี่ยวกับการปฏิบัติตามข้อกำหนด PCI เป็นสิ่งสำคัญในการรักษาสภาพแวดล้อมที่ปลอดภัยซึ่งไม่เพียงแต่ปกป้องลูกค้าเท่านั้น แต่ยังรวมถึงการดำเนินงานทั้งหมดอีกด้วย
สรุปสั้นๆ คือ การปฏิบัติตามข้อกำหนด PCI กำหนดให้ธุรกิจต่างๆ ปกป้องข้อมูลผู้ถือบัตรโดยปฏิบัติตามรายการตรวจสอบข้อควรระวังด้านความปลอดภัยทางเทคนิคและการดำเนินงาน ไม่ว่า ธุรกิจจะจัดตั้งขึ้นแล้วหรือเพิ่งเริ่มต้น พื้นฐานของการ ปฏิบัติตามข้อกำหนด PCI ก็ไม่ได้ซับซ้อนอย่างที่คิด
คู่มือที่เข้าใจง่ายนี้จะนำเสนอภาพรวมของการปฏิบัติตามข้อกำหนด PCI ผู้ที่จำเป็นต้องปฏิบัติตาม และวิธีรักษาความปลอดภัยในการสื่อสารทางอีเมลที่มีข้อมูลผู้ถือบัตร
การปฏิบัติตามข้อกำหนด PCI คืออะไร?
PCI ย่อมาจาก Payment Card Industry และ PCI DSS ย่อมาจาก Payment Card Industry Data Security Standard
PCI DSS คือชุดมาตรฐานความปลอดภัยระดับโลกที่สร้างขึ้นเพื่อให้แน่ใจว่าบริษัททั้งหมดที่ยอมรับ ประมวลผล จัดเก็บ หรือส่งข้อมูลบัตรเครดิต จะรักษาข้อมูลนั้นไว้อย่างปลอดภัย
มาตรฐานเหล่านี้ได้รับการดูแลโดย PCI Security Standards Council — ซึ่งเป็นกลุ่มที่ก่อตั้งโดย American Express, Discover Financial Services, JCB International, MasterCard Worldwide และ Visa Inc.
แม้ว่าการปฏิบัติตามข้อกำหนด PCI จะไม่ใช่กฎหมาย แต่ก็เป็นข้อกำหนดบังคับที่บังคับใช้โดยบริษัทบัตรเครดิตรายใหญ่ในสัญญาที่ทำกับร้านค้า
ทำไมการปฏิบัติตามข้อกำหนด PCI จึงมีความสำคัญ?
การปฏิบัติตามข้อกำหนด PCI มีความสำคัญอย่างยิ่งในการปกป้องธุรกิจและลูกค้าจากการละเมิดข้อมูลและการฉ้อโกง การไม่ปฏิบัติตามข้อกำหนดอาจนำไปสู่บทลงโทษที่รุนแรง ผลกระทบทางกฎหมาย และการสูญเสียความไว้วางใจจากลูกค้า
การสร้างความมั่นใจว่าปฏิบัติตามข้อกำหนด PCI DSS จะช่วยปกป้องข้อมูลที่ละเอียดอ่อนและยกระดับชื่อเสียงในฐานะองค์กรที่เชื่อถือได้
ใครบ้างที่ต้องปฏิบัติตามข้อกำหนด PCI?
ธุรกิจใดๆ ทั่วโลกที่ดำเนินการธุรกรรมบัตรชำระเงินจำเป็นต้องปฏิบัติตามข้อกำหนด PCI ซึ่งรวมถึงผู้ค้าปลีกออนไลน์ ร้านค้าที่มีหน้าร้านจริง และองค์กรใดๆ ที่ประมวลผลการชำระเงินด้วยบัตรเครดิต หากธุรกิจยอมรับ ส่ง หรือจัดเก็บข้อมูลผู้ถือบัตรใดๆ จะต้องปฏิบัติตาม ข้อกำหนด PCI DSS(หน้าต่างใหม่)
ธุรกิจขนาดเล็กจำเป็นต้องปฏิบัติตามข้อกำหนด PCI ด้วยตนเอง — แม้ว่าจะใช้ผู้ให้บริการประมวลผลการชำระเงินอย่าง Stripe ก็ตาม แม้ว่าการใช้ผู้ให้บริการประมวลผลการชำระเงินที่สอดคล้องกับ PCI จะช่วยตอบสนองข้อกำหนดบางประการได้ แต่ธุรกิจต่างๆ ยังคงมีหน้าที่รับผิดชอบในการตรวจสอบให้แน่ใจว่าระบบและการปฏิบัติงานของตนเป็นไปตามมาตรฐาน PCI DSS
รายการตรวจสอบการปฏิบัติตามข้อกำหนด PCI
ในการปฏิบัติตามข้อกำหนด PCI ธุรกิจต่างๆ จะต้องปฏิบัติตามข้อกำหนด 12 ประการที่กำหนดโดย PCI DS(หน้าต่างใหม่)S(หน้าต่างใหม่)
- ติดตั้งและดูแลรักษาไฟร์วอลล์เพื่อปกป้องข้อมูลผู้ถือบัตร
- ห้ามใช้ค่าเริ่มต้นที่ผู้ผลิตจัดหาให้สำหรับรหัสผ่านระบบและพารามิเตอร์ความปลอดภัยอื่นๆ
- ปกป้องข้อมูลผู้ถือบัตรที่จัดเก็บด้วยการเข้ารหัสลับและวิธีการจัดเก็บที่ปลอดภัย
- เข้ารหัสการส่งข้อมูลผู้ถือบัตรผ่านเครือข่ายสาธารณะแบบเปิด
- ปกป้องระบบทั้งหมดจากมัลแวร์และอัปเดตซอฟต์แวร์หรือโปรแกรมป้องกันไวรัสอย่างสม่ำเสมอ
- พัฒนาและดูแลรักษาระบบและแอปพลิเคชั่นที่ปลอดภัย
- จำกัดการเข้าถึงข้อมูลผู้ถือบัตรตามความจำเป็นที่ต้องทราบของธุรกิจ
- ระบุและยืนยันตัวตนการเข้าถึงส่วนประกอบของระบบ
- จำกัดการเข้าถึงทางกายภาพต่อข้อมูลผู้ถือบัตร
- ติดตามและตรวจสอบการเข้าถึงทรัพยากรเครือข่ายและข้อมูลผู้ถือบัตรทั้งหมด
- ทดสอบระบบและกระบวนการรักษาความปลอดภัยอย่างสม่ำเสมอ.
- ใช้นโยบายที่ครอบคลุมความปลอดภัยของข้อมูลสำหรับบุคลากรทั้งหมด
อย่างไรก็ตาม สิ่งสำคัญคือต้องทราบว่าข้อกำหนดแต่ละข้อเหล่านี้ยังถูกแบ่งย่อยออกเป็นข้อกำหนดเพิ่มเติมต่างๆ อีก การปฏิบัติตามข้อกำหนดแต่ละข้อเป็นสิ่งจำเป็นอย่างยิ่ง
แม้ว่าจะไม่มีการกล่าวถึงความปลอดภัยของอีเมลอย่างชัดเจน แต่มาตรฐานดังกล่าวกำหนดให้มีการเข้ารหัสลับข้อมูลผู้ถือบัตรในระหว่างการส่งผ่านเครือข่ายสาธารณะ ซึ่งรวมถึงอีเมลด้วย
อีเมลที่ปลอดภัยเป็นสิ่งสำคัญอย่างยิ่งสำหรับการปฏิบัติตามข้อกำหนด PCI
แง่มุมที่สำคัญประการหนึ่งของการปฏิบัติตามข้อกำหนด PCI คือการดูแลให้การสื่อสารทางอีเมลที่มีข้อมูลบัตรเครดิตของลูกค้าได้รับการเข้ารหัสและได้รับการปกป้องอย่างเหมาะสม ความล้มเหลวในการรักษาความปลอดภัยของข้อมูลที่มีค่านี้อาจนำไปสู่การละเมิดข้อมูล ซึ่งไม่เพียงแต่ทำลายชื่อเสียงของธุรกิจเท่านั้น แต่ยังนำไปสู่การสูญเสียทางการเงินอย่างมหาศาลอีกด้วย
ขั้นตอนต่อไปนี้สามารถช่วยให้การสื่อสารทางอีเมลปลอดภัยได้:
ใช้การเข้ารหัสลับจากต้นทางถึงปลายทาง
การเข้ารหัสลับจากต้นทางถึงปลายทางช่วยให้มั่นใจได้ว่าข้อมูลจะถูกเข้ารหัสบนอุปกรณ์ของผู้ส่ง และถอดรหัสบนอุปกรณ์ของผู้รับเท่านั้น Proton Mail มอบความปลอดภัยในระดับนี้ โดยรับประกันว่าแม้แต่ Proton ก็ไม่สามารถเข้าถึงเนื้อหาในอีเมลได้
ใช้การยืนยันตัวตนแบบหลายปัจจัย
การยืนยันตัวตนแบบหลายปัจจัย เช่น การยืนยันตัวตนผ่านสองขั้นตอน (2FA) จะเพิ่มระดับความปลอดภัยอีกชั้นหนึ่งนอกเหนือจากรหัสผ่าน และสามารถเพิ่มการป้องกันการเข้าถึงที่ไม่ได้รับอนุญาตได้อย่างมาก ด้วยแผน Proton For Business สามารถกำหนดให้องค์กรต้องใช้ 2FA เพื่อเสริมสร้างและรับประกันความปลอดภัยได้
การตรวจสอบความปลอดภัยอย่างสม่ำเสมอ
ดำเนินการตรวจสอบความปลอดภัยอย่างสม่ำเสมอเพื่อให้แน่ใจว่าการสื่อสารทางอีเมลและระบบอื่นๆ เป็นไปตามข้อกำหนด PCI DSS การตรวจสอบเหล่านี้สามารถเปิดเผยช่องโหว่ในการกำหนดค่าไฟร์วอลล์ที่ล้าสมัยและการควบคุมการเข้าถึงที่ไม่เหมาะสม ซึ่งช่วยในการระบุและจัดการกับช่องโหว่ที่อาจเกิดขึ้นก่อนที่จะถูกนำไปใช้ประโยชน์
ปฏิบัติตามข้อกำหนด PCI อยู่เสมอด้วย Proton
เมื่อใช้ Proton ข้อมูลธุรกิจจะได้รับการปกป้องเพื่อไม่ให้ใคร แม้แต่ Proton สามารถเข้าถึงได้ คีย์สำหรับข้อมูลที่มีค่าที่สุดจะยังคงอยู่ในการครอบครองตลอดเวลา ความมุ่งมั่นในความเป็นส่วนตัวและความปลอดภัยนี้ทำให้ Proton เป็นโซลูชันที่เหมาะสมที่สุดสำหรับธุรกิจที่มุ่งมั่นที่จะบรรลุและรักษาการปฏิบัติตามข้อกำหนด PCI
Proton เริ่มต้นจากการเป็นโครงการที่นำโดยนักวิทยาศาสตร์ที่พบกันที่ CERN (องค์การวิจัยนิวเคลียร์แห่งยุโรป) เป้าหมายคือการปรับเปลี่ยนอินเทอร์เน็ตเพื่อให้ผู้คนและองค์กรต่างๆ สามารถควบคุมข้อมูลของตนเองได้
การเปลี่ยนมาใช้ Proton Mail นั้นง่ายดายด้วยคุณสมบัติ Easy Switch ซึ่งช่วยให้โอนย้ายอีเมล ผู้ติดต่อ และปฏิทินขององค์กรทั้งหมดจากบริการอื่นได้อย่างราบรื่นโดยไม่ต้องมีการฝึกอบรมใดๆ สำหรับทีมงาน ฝ่ายสนับสนุนพร้อมให้บริการตลอด 24/7 เพื่อช่วยเหลือแบบสดหากต้องการความช่วยเหลือเพิ่มเติม Proton Mail ซึ่งเป็นอีเมลที่เข้ารหัสลับจากต้นทางถึงปลายทาง และ Proton Drive ซึ่งเป็นบริการ พื้นที่จัดเก็บข้อมูลบนคลาวด์ ที่เข้ารหัสลับจากต้นทางถึงปลายทาง ช่วยให้การปฏิบัติตามข้อกำหนดด้านการคุ้มครองข้อมูลและความเป็นส่วนตัวเป็นเรื่องง่าย
การใช้งาน Proton for Business มอบประโยชน์เพิ่มเติมดังนี้:
- Proton Mail: ปกป้องการสื่อสารทางธุรกิจด้วยอีเมลที่เข้ารหัสลับจากต้นทางถึงปลายทาง เพื่อให้มั่นใจว่ามีเพียงผู้รับที่กำหนดเท่านั้นที่สามารถอ่านข้อความได้
- Proton VPN: รักษาความปลอดภัยในการเชื่อมต่ออินเทอร์เน็ตและปกป้องกิจกรรมออนไลน์ด้วยการเข้าถึง VPN ความเร็วสูง
- Proton Calendar: จัดการตารางเวลาด้วยปฏิทินที่เข้ารหัสซึ่งจะช่วยรักษากิจกรรมทางธุรกิจให้เป็นส่วนตัว
- Proton Pass: จัดเก็บและจัดการรหัสผ่านอย่างปลอดภัยด้วยโปรแกรมจัดการรหัสผ่านที่เข้ารหัส
- Proton Drive: จัดเก็บและ แชร์ไฟล์ อย่างปลอดภัยด้วยการเข้ารหัสลับจากต้นทางถึงปลายทาง เพื่อให้มั่นใจว่าข้อมูลจะยังคงเป็นส่วนตัวและได้รับการปกป้อง
ค้นพบวิธีที่ Proton สามารถทำให้การปฏิบัติตามข้อกำหนดเป็นเรื่องง่ายสำหรับองค์กรได้โดย ลงทะเบียนใช้งาน Proton for Business หรือ ติดต่อทีมงานฝ่ายขายเพื่อรับโซลูชันที่ตรงกับความต้องการมากขึ้น
เมื่อย้ายธุรกิจเข้าสู่ระบบนิเวศของ Proton จะเป็นการปกป้องตนเองและข้อมูลของลูกค้าไปพร้อมๆ กัน ตลอดจนการปฏิบัติตามข้อกำหนด และช่วยสร้างอนาคตที่ความเป็นส่วนตัวคือค่าเริ่มต้น
