Veilig betaalverkeer - PCI DSS en EMV uitgelegd

Sint-Denijs-Westrem, 1 december 2020

De levensduur van een betaalterminal wordt bepaald door een aantal factoren zoals slijtage en de diensten die de payment provider biedt. Maar de belangrijkste factor is de veiligheid van het betaalverkeer.

PCI Certificering

Elke betaalterminal krijgt een PCI certificaat dat een beperkt aantal jaren geldig is. Dit vanwege de steeds strengere veiligheidseisen, het gevolg van hackers die steeds inventiever worden in het hacken van systemen.

In 2006 werd PCI opgericht door de belangrijkste uitgevers van kredietkaarten zoals American Express, MasterCard en Visa. Samen stellen zij tot op vandaag de regels op die het betaalverkeer moeten beveiligen. Het gaat hier met name om de beveiliging van alle bij een betaling vereiste data zoals kaartinformatie, persoonsgegevens en dergelijke.

Elke organisatie die kaartinformatie verwerkt, bewaart of verstuurt moet aan deze PCI DSS voldoen. De gegevens van de kaarthouder moeten beschermd worden vanaf het moment dat de kaart geswiped wordt. De verplichting tot naleving van deze standaard is niet beperkt tot de handelaar, maar geldt evenzeer voor elke derde partij die de betaaltransactie (of gedeeltes daarvan) verwerkt.

De EMV chip

Naarmate het gebruik van bankkaarten wereldwijd steeds meer toenam, werden ook oplichters steeds meer bedreven en verfijnden hun skimming technieken.

Dit bracht de betaalkaartsystemen tot het ontwikkelen van veiligere betaalkaarten, door het integreren van de chip of geïntegreerde schakeling (integrated circuit). Bij elk gebruik van de kaart controleert de chip de ingevoerde pincode, en creëert een unieke, eenmalig gebruikte authentificatiecode om de transactie te voltooien.

EMV staat voor Europay MasterCard Visa, de drie betaalkaartsystemen die oorspronkelijk samen het kader hebben opgesteld voor het ontwikkelen en het wereldwijd compatibel maken van chipbetaalkaarten en chipbetaalterminals.
De migratie van magneetstrip naar chip, in 2005 begonnen, is complex aangezien alle geldautomaten en betaalautomaten in bijna alle landen van de wereld omgebouwd dienen te worden.

Hoe verhouden PCI DSS en EMV zich ten opzichte van mekaar?

Wanneer een betaalkaart wordt gebruikt aan een betaalterminal, zal de EMV chip een authentificatielaag toevoegen, waardoor het niveau van veiligheid van de data verhoogd wordt, en de mogelijkheid van fraude gevoelig afneemt. Wanneer echter de kaartgegevens in het POS systeem van de verkoper terechtkomen en zich over zijn netwerk verplaatsen, zijn ze opnieuw kwetsbaar. Indien kaartgegevens doorgegeven of gestockeerd worden zonder enige vorm van encryptie, kunnen confidentiële data gestolen worden. Hiervoor biedt PCI DSS de oplossing. De PCI standaard vormt een extra beschermlaag gedurende het gehele transactieproces. Het omvat zowel de beveiliging van de betaalterminal zelf, als additionele controles doorheen het hele transactie proces en over alle betaalkanalen heen.