Besplatna konsultacija

Pojmovnik · Plaćanja

PCI DSS

PCI DSS je međunarodni sigurnosni standard za sve firme koje primaju, obrađuju, čuvaju ili prenose podatke o platnim karticama, uključujući web shopove.

Sadržaj stranice
  1. Zašto je PCI DSS važan za firmu u BiH?
  2. Primjer iz BiH
  3. Najčešće greške
  4. Povezani pojmovi
  5. Česta pitanja o PCI DSS-u

Zašto je PCI DSS važan za firmu u BiH?

Banka i procesor u ugovoru za internet prodajno mjesto traže usklađenost s PCI DSS-om. Kod curenja podataka o karticama trgovac može snositi troškove istrage, kazne kartičnih kuća i gubitak prava na primanje kartica. Najlakši način da se obaveze smanje je da podaci o kartici uopšte ne dođu na vaš server.

Zato shopovi u BiH karticu unose na stranici procesora ili u njegovom iFrame polju. Takav trgovac obično popunjava samoprocjenu SAQ A. Od 31. 3. 2025. upitnik traži i potvrdu da stranica s koje kupac ide na plaćanje nije izložena napadima ubačenim skriptama (PCI SSC biblioteka dokumenata). Koji upitnik vam treba, potvrđuje vaša banka ili procesor.

Primjer iz BiH

Primjer: web shop za kućne aparate iz Zenice integriše Monri s preusmjeravanjem na stranicu procesora. Shop nikad ne vidi broj kartice, nego samo potvrdu transakcije. Vlasnik godišnje popuni SAQ A, a mi pratimo koje skripte se učitavaju na stranici naplate, da neki zaboravljeni dodatak za praćenje ne otvori rupu.

Najčešće greške

  • Broj kartice se traži kroz običnu formu ili e-mail „za rezervaciju“, čime firma preuzima puni obim standarda.
  • Na stranici naplate se učitava desetak marketinških skripti koje niko ne prati.
  • Zastarjeli dodaci i teme ostanu na shopu koji prima kartice.
  • Samoprocjena se popuni jednom i zaboravi, iako se obnavlja godišnje.

Povezani pojmovi

  • Payment gateway: kad kartica ide direktno procesoru, obim PCI DSS-a se smanjuje.
  • 3D Secure: dodatna potvrda vlasnika kartice.
  • SSL certifikat: šifrovan prenos je osnovni zahtjev standarda.

Integracije radimo tako da podaci o kartici ne prolaze kroz vaš server, kroz uslugu integracije plaćanja karticama, a sigurnost shopa nakon predaje pratimo kroz održavanje. Ovo nije pravni savjet. Konačne zahtjeve određuju banka i procesor.

Česta pitanja o PCI DSS-u

Da li mali web shop mora biti PCI DSS usklađen?

Da, svaki trgovac koji prima kartice. Obim obaveza zavisi od načina integracije i broja transakcija. Mali shop s preusmjeravanjem na procesor obično popunjava kratki upitnik SAQ A.

Šta je SAQ A?

SAQ A je upitnik za samoprocjenu namijenjen trgovcima koji su cijelu obradu kartica prepustili certificiranom procesoru. Ima znatno manje zahtjeva od punog standarda. Od 2025. uključuje i potvrdu o zaštiti stranice plaćanja od zlonamjernih skripti.

Smijem li čuvati brojeve kartica kupaca?

Ne biste trebali. Čuvanje broja kartice prebacuje vas na najzahtjevniji nivo standarda. Za ponovnu kupovinu koristite tokene koje čuva procesor.

Ko provjerava usklađenost?

Kod malih trgovaca to je najčešće samoprocjena koju traži banka. Veliki trgovci prolaze provjeru kod ovlaštenog ocjenjivača. Banka ili procesor vam kažu koji nivo važi za vas.

Šta se promijenilo s verzijom 4.0.1?

Verzija 4.0 je zamijenila 3.2.1, a 4.0.1 iz 2024. donosi pojašnjenja. Od 31. 3. 2025. primjenjuju se i zahtjevi koji su ranije bili samo preporuka, među njima i zaštita stranica plaćanja od izmijenjenih skripti. Upitnik SAQ A je u januaru 2025. dodatno izmijenjen.