Wat is PCI compliance? veilig betalingen verwerken

Als je een webshop runt en online betalingen verwerkt, kom je vroeg of laat de term PCI compliance tegen. Het is een van de belangrijkste veiligheidseisen voor iedereen die creditcardgegevens opslaat, verwerkt of verstuurt. In dit artikel leggen we uit wat PCI DSS precies is, waarom het verplicht is en hoe je compliant wordt.

Wat is PCI DSS?

PCI DSS staat voor Payment Card Industry Data Security Standard. Dit is een set beveiligingsstandaarden die zijn ontwikkeld door de grote creditcardmaatschappijen zoals Visa, Mastercard, American Express, Discover en JCB. Het doel is simpel: de veiligheid van creditcardgegevens waarborgen en fraude voorkomen.

De standaard bestaat uit 12 hoofdvereisten die verschillende aspecten van gegevensbeveiliging dekken. Deze variëren van het opzetten van firewalls tot het regelmatig testen van beveiligingssystemen. Elke organisatie die creditcardgegevens verwerkt, moet aan deze eisen voldoen, ongeacht de omvang van het bedrijf.

Waarom is PCI compliance verplicht?

PCI compliance is geen vrijblijvende richtlijn, maar een contractuele verplichting. Wanneer je als handelaar creditcardbetalingen accepteert, ga je akkoord met de regels van de creditcardmaatschappijen. Niet-naleving kan ernstige gevolgen hebben:

Je kunt te maken krijgen met boetes die kunnen oplopen tot €100.000 per maand. Daarnaast loop je het risico dat je het recht verliest om creditcardbetalingen te accepteren, wat voor veel webshops een ramp zou betekenen. In het ergste geval ben je persoonlijk aansprakelijk voor schade die ontstaat door een datalek.

Maar het gaat niet alleen om het vermijden van straffen. PCI compliance beschermt je klanten tegen identiteitsdiefstal en fraude. Het verhoogt ook het vertrouwen van je klanten in je webshop en beschermt je bedrijfsreputatie. Een datalek kan immers desastreus zijn voor je imago.

De 12 vereisten van PCI DSS

De PCI DSS standaard is opgebouwd uit 12 kernvereisten, verdeeld over 6 hoofddoelen:

Bouw en onderhoud een beveiligd netwerk:

• Installeer en onderhoud firewallconfiguratie om kaarthoudergegevens te beschermen
• Gebruik geen standaard wachtwoorden en beveiligingsparameters van leveranciers

Bescherm kaarthoudergegevens:

• Bescherm opgeslagen kaarthoudergegevens
• Versleutel transmissie van kaarthoudergegevens over open, publieke netwerken

Onderhoud een programma voor kwetsbaarheidsbeheer:

• Bescherm alle systemen tegen malware en update antivirussoftware regelmatig
• Ontwikkel en onderhoud veilige systemen en applicaties

Implementeer sterke toegangscontrole:

• Beperk toegang tot kaarthoudergegevens op basis van zakelijke noodzaak
• Identificeer en authenticeer toegang tot systeemcomponenten
• Beperk fysieke toegang tot kaarthoudergegevens

Bewaak en test netwerken regelmatig:

• Volg en bewaak alle toegang tot netwerkbronnen en kaarthoudergegevens
• Test regelmatig beveiligingssystemen en -processen

Onderhoud een informatiebeveiligingsbeleid:

• Onderhoud een beleid dat informatiebeveiliging voor alle medewerkers regelt

Compliance levels: welk niveau geldt voor jou?

PCI DSS kent vier compliance levels, gebaseerd op het aantal transacties dat je jaarlijks verwerkt:

Level 1: Meer dan 6 miljoen transacties per jaar. Dit vereist een jaarlijkse on-site audit door een gekwalificeerde beveiligingsbeoordelaar (QSA).

Level 2: 1 tot 6 miljoen transacties per jaar. Hier is een jaarlijkse zelfbeoordeling (SAQ) en een kwartaalnetwerkscan vereist.

Level 3: 20.000 tot 1 miljoen e-commerce transacties per jaar. Ook hier volstaat een SAQ en kwartaalnetwerkscan.

Level 4: Minder dan 20.000 e-commerce transacties of minder dan 1 miljoen totale transacties per jaar. De minst strenge eisen, maar compliance blijft verplicht.

Hoe word je PCI compliant?

Voor de meeste kleinere webshops is de eenvoudigste weg naar compliance het gebruik van een betalingsprovider die de betalingsverwerking volledig uit handen neemt. Denk aan providers zoals Mollie, Stripe of Adyen. Deze bedrijven zijn zelf PCI compliant en zorgen ervoor dat creditcardgegevens nooit je eigen servers raken.

Als je wel zelf betalingsgegevens verwerkt, zijn dit de stappen:

Begin met het bepalen van je compliance level op basis van je transactievolume. Voer vervolgens een grondige beveiligingsaudit uit van je systemen en infrastructuur. Implementeer alle benodigde beveiligingsmaatregelen volgens de PCI DSS vereisten.

Vul de juiste Self-Assessment Questionnaire (SAQ) in voor jouw situatie. Laat kwartaalnetworkscans uitvoeren door een Approved Scanning Vendor (ASV). En tot slot: onderteken een Attestation of Compliance (AOC) en bewaar alle documentatie.

De rol van je hostingprovider

Je hostingprovider speelt een cruciale rol in je PCI compliance. Een goede hostingprovider biedt PCI-compliant hosting met gespecialiseerde beveiligingsmaatregelen. Ze voeren regelmatig beveiligingsupdates en patches uit, bieden SSL-certificaten en versleutelde verbindingen, en hebben fysieke beveiliging van datacenters op orde.

Sommige hostingproviders zijn zelfs PCI DSS Level 1 gecertificeerd, wat betekent dat hun infrastructuur al aan de hoogste eisen voldoet. Dit maakt jouw complianceproces een stuk eenvoudiger.

Veelvoorkomende valkuilen

Veel webshops maken dezelfde fouten als het gaat om PCI compliance. Ze denken dat ze te klein zijn om zich zorgen te maken, maar ook kleine webshops moeten compliant zijn. Of ze gaan ervan uit dat hun hostingprovider alle verantwoordelijkheid draagt, terwijl jij als handelaar altijd eindverantwoordelijk blijft.

Een andere veelgemaakte fout is creditcardgegevens opslaan zonder strikte noodzaak. De regel is simpel: als je het niet nodig hebt, sla het niet op. Ook het negeren van regelmatige beveiligingsupdates en scans is een risico. Compliance is niet iets eenmaligs, maar een doorlopend proces.

Praktische tips voor webshops

Gebruik bij voorkeur een externe betalingsprovider die PCI compliance voor je regelt. Dit is veruit de eenvoudigste en veiligste optie. Sla nooit onnodige kaarthoudergegevens op. Als je toch gegevens moet opslaan, versleutel dan alles en implementeer sterke toegangscontroles.

Zorg voor regelmatige beveiligingstraining van je personeel. Veel datalekken ontstaan door menselijke fouten. Documenteer alle beveiligingsmaatregelen en procedures zorgvuldig. En houd je software, plugins en systemen altijd up-to-date.

Monitor je systemen continu op verdachte activiteit en maak regelmatig backups. Voer penetratietests uit om zwakke plekken op te sporen voordat hackers dat doen.

Kosten van PCI compliance

De kosten van PCI compliance variëren sterk afhankelijk van je situatie. Voor Level 4 handelaren die gebruik maken van een externe betalingsprovider, kunnen de kosten beperkt blijven tot €50-200 per jaar voor scans en certificering.

Voor grotere webshops die zelf betalingen verwerken, kunnen de kosten oplopen tot duizenden euro's per jaar voor audits, scans, beveiligingsmaatregelen en gecertificeerde hosting. Maar vergeet niet: de kosten van niet-compliance zijn vele malen hoger. Een datalek kan je miljoenen kosten aan boetes, schadeclaims en reputatieschade.

Toekomst van PCI DSS

De PCI DSS standaard wordt regelmatig bijgewerkt om gelijke tred te houden met nieuwe beveiligingsrisico's en technologieën. De nieuwste versie, PCI DSS 4.0, werd gelanceerd in 2022 en brengt nieuwe eisen met zich mee rond authenticatie, encryptie en risicobeoordelingen.

De standaard evolueert ook naar een meer risicogebaseerde benadering, waarbij organisaties meer flexibiliteit krijgen in hoe ze aan de eisen voldoen, zolang ze maar kunnen aantonen dat de risico's adequaat worden beheerst.

Meer informatie: WordPress.org documentatie

Veelgestelde vragen

Wat kost webhosting gemiddeld?

Webhosting kost gemiddeld tussen de €3 en €15 per maand voor shared hosting. VPS hosting begint rond €10-€20 per maand, en dedicated servers vanaf €50 per maand.

Kan ik later upgraden naar een ander pakket?

Ja, bij de meeste hosting providers kun je eenvoudig upgraden naar een groter pakket wanneer je website groeit. Dit kan meestal zonder downtime.

Is Nederlandse hosting beter dan buitenlandse?

Voor Nederlandse bezoekers is Nederlandse hosting vaak sneller door de kortere afstand. Daarnaast is communicatie met support makkelijker en voldoe je aan de AVG/GDPR wetgeving.