- PCI DSS, kart verisini işleyen, saklayan veya ileten her kurumun uyması gereken küresel güvenlik standardıdır; güncel sürüm v4.0.1’dir.
- Uyum seviyesi yıllık kart işlem sayısına göre belirlenir; Level 1’de bağımsız denetçi raporu (ROC), alt seviyelerde çoğunlukla öz değerlendirme (SAQ) istenir.
- Ödeme sayfasını PCI DSS Level 1 bir altyapıya bırakmak, kart verisinin sisteminize hiç gelmemesini sağlar ve uyum kapsamınızı belirgin biçimde daraltır.
İnternet ve teknolojinin hızla gelişmesiyle birlikte sanal dolandırıcılık ve veri ihlalleri işletmeler için en büyük risklerden biri haline geldi. Bu noktada PCI DSS (Payment Card Industry Data Security Standard), yani Kartlı Ödeme Endüstrisi Veri Güvenlik Standardı, kartla yapılan işlemlerde kart bilgilerinin korunmasını sağlayan küresel güvenlik standardı olarak öne çıkıyor.
Visa, Mastercard, American Express, Discover ve JCB’nin kurduğu PCI Güvenlik Standartları Konseyi (PCI SSC) tarafından yayımlanan bu standart, kart bilgilerinin saklanması, iletimi ve işlenmesi süreçlerinde uygulanması gereken güvenlik önlemlerini belirler. Güncel sürüm PCI DSS v4.0.1’dir.
PCI DSS Sertifikası ve Uyumluluğu Neden Önemlidir?
PCI DSS uyumluluğu yalnızca kartla ödeme alan işletmeler için değil, kart sahiplerinin bilgilerini saklayan veya ileten tüm kurumlar için kritik öneme sahiptir:
- Kart sahiplerinin verilerinin korunmasını sağlar.
- Ödeme güvenliğini artırır, dolandırıcılık riskini azaltır.
- Standartlara uymayan işletmeler kart kabul imkânını kaybetme riskiyle karşılaşabilir.
- Müşteri güveni artar, marka itibarı güçlenir.
Kısacası PCI DSS, e-ticaret şirketlerinden bankalara, sanal POS kullanan KOBİ’lere kadar ödeme ekosistemindeki her işletme için bir gerekliliktir.
PCI DSS Uyumluluk Süreci Nasıl İşler?
- 1
Analiz
İşletmenin ödeme süreçleri, kart verisinin nasıl işlendiği ve saklandığı incelenir; veri akışındaki zayıf noktalar ve güvenlik açıkları tespit edilir.
- 2
İyileştirme
Güvenlik açıkları kapatılır, riskler giderilir. Kart verisinin mümkün olduğunca saklanmaması sağlanır; güvenli veri aktarımı için TLS/SSL şifreleme kurulur.
- 3
Belgeleme
Standardın 6 hedef ve 12 temel gereklilik başlığı doğrultusunda raporlama yapılır; işletme, belirlenen güvenlik standartlarını karşıladığını kanıtlar.
PCI DSS İçin SSL Sertifikası
PCI DSS uyumluluğunun temel parçalarından biri, kart verisinin ağ üzerinde şifreli taşınmasıdır. Halk arasında hâlâ SSL sertifikası denen bu yapı bugün TLS protokolüyle çalışır ve müşteri ile işletme arasındaki iletişimi şifreleyerek kart bilgilerinin ele geçirilmesini engeller.
Kart verisini taşıyan bir bağlantı güncel TLS ile şifrelenmiyorsa PCI DSS uyumu mümkün değildir. Bu nedenle tüm e-ticaret sitelerinin ve ödeme altyapılarının şifreli bağlantı kullanması zorunludur.
PCI DSS Zorunlu mu?
Evet. Kartla ödeme alan her işletme için PCI DSS uyumu zorunludur; bu zorunluluk kart kuruluşlarının kurallarından ve banka ya da ödeme kuruluşuyla yapılan üye işyeri sözleşmelerinden gelir.
- Küçük ölçekli bir e-ticaret sitesi bile olsanız, kart verisine dokunuyorsanız PCI DSS’ye uymanız gerekir.
- Uyumluluk yalnızca büyük kurumlar için değil, KOBİ’ler ve sanal POS kullanan firmalar için de geçerlidir.
- Uyumsuzluk durumunda işletmeler cezai yaptırımlarla karşılaşabilir, hatta kart kabul hizmeti sonlandırılabilir.
PCI DSS Seviyeleri Nelerdir?
Üye işyerleri için PCI DSS seviyesi, kart kuruluşlarının tanımına göre yıllık kart işlem sayısıyla belirlenir:
- Level 1: Yılda 6 milyondan fazla işlem yapan işletmeler.
- Level 2: Yılda 1–6 milyon arası işlem yapan işletmeler.
- Level 3: Yılda 20 bin – 1 milyon arası e-ticaret işlemi yapan işletmeler.
- Level 4: Yılda 20 binden az e-ticaret işlemi ya da 1 milyona kadar toplam işlem yapan işletmeler.
Her seviyede farklı doğrulama ve raporlama yöntemleri vardır. Tahsildar gibi ödeme altyapısı sunan servis sağlayıcılar ise kendi sınıflarında en üst seviye olan Level 1 denetimine tabidir.
PCI Raporu Nedir?
PCI DSS uyum süreci sonunda işletmeler uyumluluğunu belgeler. Seviyeye göre iki temel belge vardır:
- ROC (Report on Compliance): Bağımsız denetçi (QSA) tarafından yerinde denetimle hazırlanan rapordur; Level 1 işletmeler ve servis sağlayıcılar için istenir. Alınan güvenlik önlemlerini, kapatılan açıkları ve ödeme süreçlerinin güvenliğini ayrıntılı olarak içerir.
- SAQ (Self-Assessment Questionnaire): Alt seviyelerdeki işletmelerin doldurduğu öz değerlendirme formudur. Kart verisine ne kadar dokunduğunuza göre farklı SAQ türleri vardır.
İki belgeye de genellikle bir uyum beyanı (AOC) eşlik eder ve işletmenin PCI DSS standartlarına uygun çalıştığını resmileştirir.
PCI DSS Uyum Sürecinde Siz Hangi Seviyedesiniz?
Her işletme, işlem hacmine göre farklı bir seviyede yer alır. Kendi seviyenizi belirlemek için:
- Yıllık kart işlem sayınızı gözden geçirin.
- PCI DSS seviye tablosuyla karşılaştırın.
- Bankanıza ya da ödeme kuruluşunuza danışın; gerekirse bağımsız bir PCI danışmanından destek alın.
Bu adım, doğru uyum sürecini yürütmek ve gereksiz maliyetlerden kaçınmak için önemlidir.
PCI DSS Sertifikasını Bir Kere Almak Yeterli mi?
Hayır. PCI DSS uyumu sürekli korunması gereken bir durumdur:
- Uyum tek seferlik değildir; düzenli taramalar ve denetimlerle korunur.
- İşletmelerin her yıl uyum belgelerini yenilemesi gerekir.
- Tehditler değiştikçe standart güncellenir; v4.0 ile gelen gereklilikler 2025’ten itibaren zorunlu hale geldi.
Dolayısıyla PCI DSS “aldım, bitti” değildir; sürekli bir güvenlik yolculuğudur.
Tahsildar çözümüSertifikalarımızTahsildar’ın PCI DSS v4.0.1 Level 1 sertifikası ve kesintisiz tahsilat için yedekli altyapısı.PCI DSS Uyumunu En Kolay Nasıl Sağlarsınız?
En etkili yol, kart verisinin sisteminize hiç gelmemesini sağlamaktır. Kart bilgisini kendi sunucunuzda toplamak, saklamak veya iletmek yerine PCI DSS Level 1 bir altyapının ödeme sayfasını kullandığınızda uyum kapsamınız belirgin biçimde daralır; çoğu durumda en kısa öz değerlendirme formu yeterli olur. Kesin kapsamı bankanız ya da ödeme kuruluşunuz belirler.
- Barındırılan ödeme sayfası ya da iframe kullanın: Tahsildar’ın web servis ve API altyapısında ödeme ekranı sizin sitenizde görünür, kart verisi ise Tahsildar’ın PCI DSS altyapısında işlenir.
- Ödeme linkiyle tahsilat yapın: Online Ödeme Alma ile gönderilen linklerde ödeme sayfası Tahsildar’da çalışır; kendi sitenizde kart formu bulunmaz.
- Kart verisini asla gereksiz yere saklamayın: Kart numarası, son kullanma tarihi ve CVV’yi e-posta, Excel ya da çağrı kaydında tutmayın.
- Gerekirse danışmanlık alın: Kendi kart altyapısını işleten firmalar için PCI DSS danışmanlığı süreci hızlandırır.
PCI DSS, günümüz dijital dünyasında kartlı ödeme güvenliği için küresel standarttır. Tahsildar’ın Sanal POS ve Ödeme Geçidi çözümleri PCI DSS Level 1 altyapıda çalışır; ödemeler 3D Secure ile doğrulanır, ERP / CRM entegrasyonu ile tahsilat ERP’nize işlenir.
Sıkça Sorulan Sorular
Evet, kart kabul eden her işletme PCI DSS kapsamındadır. Ancak kart verisi sizin sitenizde değil, sanal POS sağlayıcısının PCI DSS Level 1 ödeme sayfasında işleniyorsa sorumluluğunuz çoğunlukla kısa bir öz değerlendirme formuyla sınırlı kalır.
PCI DSS, kart verisini işleyen sistemlerin uyması gereken güvenlik standardıdır. 3D Secure ise ödeme anında kart sahibinin kimliğini bankasının doğruladığı bir protokoldür. Güvenli bir tahsilat altyapısında ikisi birlikte çalışır.
ROC, bağımsız denetçinin yerinde denetimle hazırladığı uyum raporudur; Level 1 işletmeler ve servis sağlayıcılar için istenir. SAQ, alt seviyelerdeki işletmelerin kendi doldurduğu öz değerlendirme formudur.
Tahsildar, PCI DSS v4.0.1 Level 1 altyapıda çalışır. Ayrıntılar Sertifikalarımız sayfasındadır.
Ödeme ekranı sitenizde görünsün, kart verisi PCI DSS Level 1 altyapıda işlensin; uyum yükünüz hafiflesin, ödeme deneyiminiz bozulmasın.
