Аудит соответствия PCI DSS — это проверка того, насколько ваши процессы, инфраструктура и документация готовы к безопасной обработке данных банковских карт и к прохождению сертификационного аудита. На выходе вы получаете карту пробелов относительно требований стандарта и приоритизированный план приведения в соответствие, чтобы снизить риск штрафов и блокировки платёжного функционала.
Кому нужна услуга
Интернет-магазины и сервисы, принимающие оплату картами и впервые выходящие на требования PCI DSS.
Компании, у которых платёжный функционал есть, но документация и процессы безопасности не систематизированы.
Бизнес, получивший требования от банка-эквайера или платёжного провайдера и не понимающий объём работ.
Компании перед сертификационным аудитом: нужно заранее закрыть пробелы, а не получить отчёт с критичными замечаниями.
Организации после инцидента или подозрения на утечку платёжных данных — требуется независимая оценка состояния.
Руководители, которым нужно обосновать бюджет и план работ по безопасности перед собственниками или советом директоров.
Что нужно от вас на входе
Описание платёжного контура: какие системы, сервисы и подрядчики участвуют в обработке, передаче и хранении данных карт. Определить границы аудита (CDE) и не проверять лишнее, не пропустив критичное
Схема потоков платёжных данных между системами и внешними сторонами. Понять, где данные карт реально появляются, движутся и хранятся
Действующие политики, регламенты и инструкции по информационной безопасности. Сопоставить их с требованиями стандарта и выявить документарные пробелы
Доступ к ответственным за ИБ, разработку, эксплуатацию и работу с платёжными системами. Провести интервью и подтвердить, что процессы работают, а не только описаны на бумаге
Сведения о ранее пройденных проверках, аудитах и известных инцидентах. Учесть уже выявленные слабые места и не начинать с нуля
Требования банка-эквайера или платёжного провайдера, если они есть. Учесть дополнительные условия, помимо базового стандарта
Комплект документов, который вы получаете
Описание услуги — наш стандарт качества: заранее видно, какие документы вы получите и зачем нужен каждый.
Документ | Формат | Для чего нужен |
|---|---|---|
Отчёт о текущем уровне соответствия PCI DSS | документ с оценкой по требованиям стандарта | Зафиксировать фактическое состояние и обосновать приоритеты |
Карта пробелов (gap-анализ) | таблица: требование — текущее состояние — разрыв — критичность | Показать, что именно не соответствует стандарту и насколько это критично |
Схема потоков платёжных данных и границ CDE | схема (BPMN или блок-схема) | Единое понимание, где и как обрабатываются данные карт |
План приведения в соответствие | реестр мероприятий с приоритетами и ответственными | Дать управляемый маршрут к сертификационному аудиту |
Перечень документов и регламентов, которые нужно разработать или обновить | чек-лист с краткими требованиями к содержанию | Закрыть документарную часть стандарта без пропусков |
Итоговая презентация для руководства | слайды | Объяснить риски, объём работ и решения на управленческом уровне |
Рекомендации по организации регулярного контроля соответствия | краткая методика | Поддерживать соответствие после сдачи, а не только на момент аудита |
План выполнения услуги
Этап | Что делаем | Результат этапа |
|---|---|---|
1. Бриф и согласование границ | Уточняем цели, состав платёжного контура, участников и ожидания от аудита | Согласованные границы аудита и план работ |
2. Сбор исходных данных | Запрашиваем документы, схемы, доступы и контактных лиц по направлениям | Комплект материалов для анализа |
3. Моделирование потоков платёжных данных | Описываем и согласуем схему движения данных карт и границы CDE | Утверждённая схема потоков и границ |
4. Анализ документации и процессов | Сопоставляем политики, регламенты и фактические практики с требованиями стандарта | Первичный перечень несоответствий |
5. Интервью и проверка на месте | Общаемся с ответственными, уточняем, как процессы работают в реальности | Подтверждённые факты и уточнённые пробелы |
6. Формирование карты пробелов | Сводим результаты в единый реестр с оценкой критичности | Карта пробелов (gap-анализ) |
7. Разработка плана приведения в соответствие | Приоритизируем мероприятия, определяем ответственных и последовательность | План мероприятий с приоритетами |
8. Презентация результатов | Представляем выводы и план руководству, отвечаем на вопросы | Согласованное понимание объёма и приоритетов |
9. Передача материалов и рекомендаций | Передаём комплект документов и рекомендации по регулярному контролю | Готовность к самостоятельной реализации плана |
Чек-лист качества
Перед сдачей исполнитель проверяет результат по этому списку:
Границы аудита и состав CDE согласованы и зафиксированы письменно
Схема потоков платёжных данных подтверждена ответственными
Каждое требование стандарта сопоставлено с фактическим состоянием
По каждому пробелу указана критичность и обоснование
План мероприятий покрывает все выявленные пробелы
У мероприятий есть приоритеты и ответственные
Итоговые документы проверены на внутреннюю согласованность
Выводы не содержат неподтверждённых предположений
Материалы переданы в согласованном формате и доступны команде
Критерии приёмки работ
Работа считается выполненной, когда выполнены все пункты. Критерии фиксируем вместе с расчётом — до начала работ.
Полнота охвата требований. Проверяется, что все применимые требования стандарта рассмотрены и по каждому есть вывод
Подтверждённость выводов. Каждый пробел опирается на документ, интервью или наблюдение, а не на предположение
Практичность плана. Заказчик может начать выполнять мероприятия без дополнительной расшифровки
Понятность для руководства. Презентация объясняет риски и приоритеты без специального жаргона
Согласованность материалов. Отчёт, карта пробелов и план не противоречат друг другу
Готовность к следующему шагу. У команды есть понимание, что делать перед сертификационным аудитом
На проверку результата — 3 рабочих дня. Замечания в рамках согласованного объёма устраняются без доплаты.
После сдачи: результат остаётся рабочим инструментом
Все материалы остаются в вашем пространстве OrgDevTools — их можно дорабатывать без исполнителя:
Процессы (BPMN). Схема потоков платёжных данных и процессов обработки переносится в BPMN-модели, чтобы их можно было развивать и согласовывать с изменениями
База знаний и регламенты. Политики, инструкции и чек-листы по PCI DSS хранятся в единой базе знаний с версионностью и доступом для ответственных
Проекты и задачи. План приведения в соответствие превращается в проект с задачами, ответственными и статусами, что делает выполнение контролируемым
Автоматизация. Регулярные проверки соответствия и напоминания по срокам актуализации документов настраиваются как автоматические сценарии
AI-советник OrgDevTools. AI-советник OrgDevTools помогает команде после сдачи: подсказывает, какой регламент или раздел базы знаний относится к конкретному требованию, и напоминает о плановых проверках и актуализации документов.
Чем эта услуга не является
Услуга не является сертификационным аудитом и не выдаёт сертификат соответствия PCI DSS
Не включает внедрение технических средств защиты и настройку инфраструктуры
Не включает разработку отсутствующих политик и регламентов «под ключ»
Не является юридической консультацией по ответственности за нарушения стандарта
Стоимость и сроки
Стоимость рассчитывается после брифа: зависит от масштаба компании, числа подразделений и глубины проработки. Расчёт и состав работ фиксируем до начала — без сюрпризов в конце.
Частые вопросы об услуге «Аудит соответствия требованиям PCI DSS»
Чем этот аудит отличается от сертификационного?
Это подготовительный аудит: мы оцениваем готовность и показываем пробелы, чтобы перед официальным сертификационным аудитом вы закрыли критичные замечания и понимали объём работ.
Сколько это стоит и сколько занимает?
Стоимость рассчитывается после брифа: она зависит от размера платёжного контура, числа систем и подрядчиков. Сроки ориентировочно определяются там же, после согласования границ.
Что нужно от нас на старте?
Описание платёжного контура, схемы потоков данных, действующие документы по ИБ, доступ к ответственным за ИБ, разработку и эксплуатацию, а также требования эквайера, если они есть.
Мы небольшая компания, нам это нужно?
Если вы принимаете оплату картами, требования стандарта применимы, а банк-эквайер может запросить подтверждение соответствия. Аудит помогает понять, что закрыть в первую очередь.
Вы гарантируете прохождение сертификации после аудита?
Нет. Мы даём объективную картину состояния и план мероприятий. Результат зависит от того, как полно и в какие сроки план будет реализован.
Что мы получим на выходе?
Отчёт об уровне соответствия, карту пробелов, схему потоков данных, план приведения в соответствие и презентацию для руководства.
Заказать услугу
Опишите задачу в заявке ниже — уточним детали, пришлём расчёт и план работ.