PCI Compliance Essentials (UK) Eğitimi

Eğitim Hakkında

PCI DSS'in temellerini ve UK bağlamında uyum sürecini öğreten giriş eğitimi

PCI Compliance Essentials (UK) Eğitimi, ödeme kartı verisini işleyen kuruluşların PCI DSS uyumunun temellerini kavramasına odaklanır. Katılımcılar kart sahibi verisini (CHD), kart verisi ortamını (CDE), tüccar (merchant) seviyelerini ve 12 PCI DSS gereksinimini öğrenir. Öz değerlendirme anketleri (SAQ), QSA ve ASV rolleri, kapsam azaltma ve ağ bölümleme, tokenizasyon, UK ödeme ekosistemi bağlamı ve uyumun sürdürülmesi temel düzeyde ve uygulamalı örneklerle işlenir.

Süre ve Format

3 Gün. İlk gün PCI DSS temelleri ve kart verisi, ikinci gün 12 gereksinim, üçüncü gün SAQ, kapsam azaltma ve uyum sürdürme işlenir.

Seviye

Temel Seviye — PCI DSS temelleri, kart sahibi verisi, 12 gereksinim, SAQ ve kapsam azaltma odaklı

Öğrenme Metodu

Her konu örnek bir tüccar senaryosu üzerinde kapsam belirleme, SAQ seçimi ve gereksinim eşleme çalışmalarıyla temel düzeyde işlenir.

Neden Bu Eğitim?

💳Kart verisini anlama

Kart sahibi verisinin ne olduğunu, nerede saklandığını ve PCI DSS'in bu veriyi neden koruduğunu temelden öğrenirsiniz.

📋Doğru SAQ seçimi

İşletmenizin ödeme kabul biçimine göre hangi öz değerlendirme anketini (SAQ) dolduracağınızı doğru belirlersiniz.

🔒Kapsamı daraltma

Ağ bölümleme ve tokenizasyonla PCI kapsamını daraltarak uyum yükünü ve riski azaltmanın yollarını öğrenirsiniz.

Anahtar Konular

pci dss eğitimipci compliance eğitimikart verisi güvenliğisaqödeme güvenliğipci dss 12 gereksinimtokenizasyonkapsam azaltmapci uyum uködeme kartı uyumu

“Kart verisini korumak yalnızca bir uyum zorunluluğu değil, müşterinin güvenini kazanmanın ve itibarı korumanın temelidir.”

Ön Koşullar

Eğitimden en iyi verimi almak için faydalı olacak bilgi ve ortam gereksinimleri

1

Temel BT bilgisi

Ağ, sunucu ve uygulama kavramlarına temel aşinalık gereksinimleri anlamayı kolaylaştırır ancak uzmanlık gerekmez.

2

Ödeme süreci bilgisi

İşletmenin kartla ödemeyi nasıl kabul ettiğine dair temel farkındalık SAQ ve kapsam konularında yardımcı olur.

3

Güvenlik farkındalığı

Parola, erişim ve veri koruma gibi temel güvenlik kavramlarına aşinalık konuların takibini kolaylaştırır.

4

Kurum bağlamı

Kendi işletmenizin ödeme akışını düşünerek katılmak öğrenilenleri doğrudan uygulamaya taşımanızı sağlar.

Eğitim İçeriği

Programın gün gün akışı aşağıdadır. Bir güne tıklayarak o günün modüllerini ve içeriklerini görebilirsiniz.

Günün hedefiKatılımcılar PCI DSS'in amacını kavrar, kart sahibi verisini ve kart verisi ortamını tanır, tüccar seviyelerini ve uyumun aktörlerini öğrenir.

Modül 1

PCI DSS'in Amacı ve Yapısı

PCI DSS standardının amacı ve kart dolandırıcılığını azaltma hedefi
PCI SSC (güvenlik standartları konseyi) ve kart markalarının rolü
Standardın bir yasa değil sözleşmesel yükümlülük olması
UK bağlamında kart markaları ve edinen banka (acquirer) ilişkisi
Uyumsuzluğun ceza, ücret ve itibar açısından sonuçları
PCI DSS'in güncel sürüm yaklaşımı ve değişen gereksinimler

Modül 2

Kart Sahibi Verisi

Kart sahibi verisi (CHD): PAN, kart sahibi adı ve son kullanma
Hassas kimlik doğrulama verisi (SAD): CVV, manyetik şerit, PIN
SAD'nin yetkilendirme sonrası asla saklanamayacağı kuralı
PAN'ın saklanırken okunamaz (unreadable) hale getirilmesi
Maskeleme ile PAN'ın ekranda kısıtlı gösterilmesi
Kart verisinin akışının (data flow) uçtan uca haritalanması

Modül 3

Kart Verisi Ortamı ve Kapsam

Kart verisi ortamının (CDE) tanımı ve sınırlarının belirlenmesi
CHD'yi işleyen, saklayan veya ileten sistemlerin kapsama girmesi
Bağlı (connected-to) ve güvenliği etkileyen sistemlerin kapsamı
Kapsamın (scope) yıllık doğrulanması gerekliliği
Kapsamın geniş kalmasının uyum yükünü artırması
İlk kapsam çalışmasının örnek tüccar üzerinde yapılması

Modül 4

Tüccar Seviyeleri ve Aktörler

Yıllık işlem hacmine göre tüccar (merchant) seviyelerinin tanımı
Seviyeye göre SAQ veya tam denetim yükümlülüğünün değişmesi
Hizmet sağlayıcı (service provider) rolü ve sorumluluğu
QSA (yetkili güvenlik denetçisi) rolünün anlaşılması
ASV (onaylı tarama sağlayıcısı) ile dış tarama ilişkisi
Edinen banka ve kart markalarına uyum raporlama akışı

Günün hedefiKatılımcılar PCI DSS'in altı kontrol hedefi altındaki 12 gereksinimini temel düzeyde kavrar ve her birini somut uygulama örnekleriyle ilişkilendirir.

Modül 1

Güvenli Ağ ve Sistemler

Gereksinim 1: ağ güvenlik kontrolleri ve güvenlik duvarı yapılandırması
Gereksinim 2: varsayılan parola ve ayarların güvenli hale getirilmesi
Sistem bileşenlerinin güvenli yapılandırma standartlarına uyumu
Gereksiz servis, port ve protokollerin kapatılması
Yönetici erişiminin şifreli kanallar üzerinden yapılması
Ağ diyagramı ve veri akış diyagramının güncel tutulması

Modül 2

Kart Verisinin Korunması

Gereksinim 3: saklanan kart verisinin korunması ve en aza indirilmesi
PAN'ın güçlü kriptografi ile okunamaz hale getirilmesi
Şifreleme anahtarlarının güvenli yönetimi ve rotasyonu
Gereksinim 4: açık ağlarda iletilen kart verisinin şifrelenmesi
TLS gibi güçlü protokollerle veri aktarımının korunması
Saklama gereksiniminin iş gerekçesiyle sınırlandırılması

Modül 3

Erişim Kontrolü ve Zafiyet Yönetimi

Gereksinim 5: kötü amaçlı yazılıma karşı koruma ve güncellik
Gereksinim 6: güvenli yazılım geliştirme ve yama yönetimi
Gereksinim 7: bilme gereği (need-to-know) ile erişimin kısıtlanması
Gereksinim 8: kullanıcı kimliği ve çok faktörlü kimlik doğrulama
Gereksinim 9: kart verisine fiziksel erişimin kısıtlanması
En az ayrıcalık ilkesinin erişim yönetimine uygulanması

Modül 4

İzleme, Test ve Politika

Gereksinim 10: tüm erişimin loglanması ve günlüklerin izlenmesi
Gereksinim 11: ağ ve sistemlerin düzenli güvenlik testi ve taraması
Dış ASV taraması ve iç/dış sızma testinin yeri
Gereksinim 12: bilgi güvenliği politikası ve farkındalığın sürdürülmesi
Olay müdahale planının hazırlanması ve test edilmesi
Gereksinimlerin örnek tüccar süreçleriyle eşlenmesi

Günün hedefiKatılımcılar doğru SAQ türünü seçer, kapsam azaltma yöntemlerini uygular ve uyumu yıllık bir süreç olarak sürdürmeyi öğrenir.

Modül 1

Öz Değerlendirme Anketleri (SAQ)

Öz değerlendirme anketinin (SAQ) amacı ve uyum beyanı rolü
SAQ A ve A-EP'nin e-ticaret senaryolarına uygunluğu
SAQ B ve B-IP'nin ödeme terminali senaryoları
SAQ C ve C-VT ile ödeme uygulaması durumları
SAQ D'nin en kapsamlı anket olarak kullanıldığı durumlar
İşletmenin ödeme kabul biçimine göre doğru SAQ seçimi

Modül 2

Kapsam Azaltma ve Tokenizasyon

Ağ bölümleme (segmentation) ile CDE'nin yalıtılması
Bölümlemenin kapsamı daraltarak uyum yükünü azaltması
Tokenizasyon ile gerçek PAN'ın belirteçle değiştirilmesi
Noktadan noktaya şifreleme (P2PE) çözümlerinin etkisi
Barındırılan ödeme sayfası ve yönlendirmenin kapsama etkisi
Kart verisini hiç saklamama (outsourcing) yaklaşımının avantajı

Modül 3

Doğrulama ve Raporlama

Uyum beyanı (AOC) belgesinin hazırlanması ve sunulması
Tam denetimde uyum raporunun (ROC) yeri
Düzenli ASV taramalarının planlanması ve bulguların kapatılması
Edinen bankaya uyum durumunun raporlanma akışı
Bulguların ve telafi edici kontrollerin (compensating) belgelenmesi
UK edinen banka beklentilerine göre raporlamanın düzenlenmesi

Modül 4

Uyumu Sürdürme (BAU)

PCI uyumunun yıllık değil sürekli (business as usual) olması
Günlük, üç aylık ve yıllık kontrol takviminin oluşturulması
Yeni sistem ve değişikliklerin kapsama etkisinin izlenmesi
Personel farkındalık eğitiminin düzenli tekrarlanması
Uyum sorumlusunun ve kontrol sahiplerinin atanması
Uyum durumunun yıllık yeniden doğrulamaya hazır tutulması

Eğitim Kazanımları

Program sonunda katılımcılar:

✅

PCI DSS temeli

PCI DSS'in amacını, aktörlerini ve UK ödeme ekosistemindeki yükümlülük akışını temel düzeyde kavrarsınız.

✅

Kart verisi tanıma

Kart sahibi verisi ile hassas kimlik doğrulama verisini ayırt eder ve saklama kurallarını doğru uygularsınız.

✅

Kapsam belirleme

Kart verisi ortamını ve kapsama giren sistemleri belirleyerek uyum çalışmanızın sınırlarını netleştirirsiniz.

✅

12 gereksinim

PCI DSS'in altı hedef altındaki 12 gereksinimini kavrar ve somut uygulama örnekleriyle ilişkilendirirsiniz.

✅

Doğru SAQ

İşletmenizin ödeme kabul biçimine uygun öz değerlendirme anketini (SAQ) doğru seçip doldurursunuz.

✅

Kapsam azaltma

Ağ bölümleme, tokenizasyon ve P2PE ile PCI kapsamını daraltarak uyum yükünü ve riski azaltırsınız.

✅

Doğrulama ve raporlama

Uyum beyanı, ASV taramaları ve edinen bankaya raporlama akışını doğru biçimde yürütürsünüz.

✅

Uyumu sürdürme

PCI uyumunu yıllık bir süreç olarak günlük, üç aylık ve yıllık kontrol takvimiyle sürekli sürdürürsünüz.

Kimler İçin Uygundur?

Ödeme kartı verisiyle çalışan işletmelerde PCI uyumuna yeni başlayan BT ve güvenlik çalışanları
e-ticaret ve perakende ekipleri
uyum
finans sorumluları ile kart verisi süreçlerinden sorumlu yöneticiler için uygundur

Sıkça Sorulan Sorular

Bu eğitim kimler için uygundur?

Ödeme kartı verisiyle çalışan işletmelerde PCI uyumuna yeni başlayan BT ve güvenlik çalışanları, e-ticaret ve perakende ekipleri, uyum ve finans sorumluları ile kart verisi süreçlerinden sorumlu yöneticiler için uygundur. Temel seviyede olduğu için önceden PCI deneyimi gerekmez.

Eğitim için ön koşul var mı?

Ağ, sunucu ve uygulama kavramlarına temel aşinalık ile parola ve erişim gibi temel güvenlik farkındalığı yeterlidir. İşletmenin kartla ödemeyi nasıl kabul ettiğine dair farkındalık SAQ konusunda yardımcı olur. İleri düzey teknik veya uyum deneyimi gerekmez.

Bu eğitim 'UK' olması neyi değiştirir?

PCI DSS küresel bir standarttır; gereksinimler her yerde aynıdır. UK bağlamı, edinen banka ilişkisi, kart markalarıyla raporlama akışı ve yerel ödeme ekosistemi örneklerinin UK pazarına göre ele alınması anlamına gelir. Standardın özü değişmez, uygulama bağlamı yerelleştirilir.

Eğitim online mı yüz yüze mi verilir?

Eğitim hem yüz yüze hem de online formatta verilebilir ve kurumun ihtiyacına göre uyarlanır. Kapsam belirleme ve SAQ seçimi gibi uygulamalar örnek bir tüccar senaryosu üzerinde yürütülür. İçerik işletmenin ödeme kabul biçimine göre düzenlenebilir.

Eğitim sonunda sertifika veriliyor mu?

Program tamamlayan katılımcılar Digital Vizyon Akademi Katılım ve Başarı Sertifikası alır. Bu sertifika resmi bir PCI uyum belgesi değildir; kuruluşun uyumu uyum beyanı (AOC) ve gerekli durumlarda QSA denetimiyle doğrulanır. Eğitim PCI DSS temel yetkinliği kazandırır.

Sertifikalandırma

Bu eğitim Digital Vizyon Akademi Başarı Sertifikası ile tamamlanır.

Eğitim başında “Ön Test”, bitiminde “Son Test” uygulanarak gelişim ölçümlenir. Değerlendirme formunu dolduran katılımcılar sertifikalarını alır. Sertifikanızın geçerliliğini Sertifika Sorgulama sayfasından doğrulayabilirsiniz.

Örnek Sertifika