Apa itu lingkungan data pemegang kartu (CDE)?
Cardholder Data Environment (CDE) (Lingkungan data pemegang kartu) adalah sistem komputer atau kelompok sistem TI yang terhubung dalam jaringan yang memproses, menyimpan, atau mengirimkan data pemegang kartu atau data autentikasi pembayaran sensitif. CDE juga mencakup komponen apa pun yang terhubung langsung atau mendukung jaringan ini.
Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) mendefinisikan CDE sebagai “orang, proses, dan teknologi yang menyimpan, memproses, atau mengirimkan data pemegang kartu atau data autentikasi sensitif [SAD].”
Pemegang kartu mengacu pada setiap orang yang menerima kartu pembayaran (kredit atau debit) dari perusahaan penerbit kartu dan berwenang untuk menggunakannya. Data pemegang kartu mengacu pada informasi yang mengidentifikasi pemegang kartu, dicetak pada kartu, dan memungkinkan penerbit melacak akun. Data tersebut mencakup nomor kartu unik yang mengidentifikasi baik penerbit kartu maupun pengguna kartu, serta nama pemegang kartu, tanggal penerbitan kartu, tanggal kedaluwarsa, dan kode layanan (jika disediakan).
Ketika pemegang kartu melakukan pembayaran menggunakan kartu tersebut, banyak entitas yang terlibat dalam memproses kartu untuk memfasilitasi transaksi dan menyelesaikan pembayaran. Beberapa entitas mungkin juga menyimpan data pemegang kartu atau mengirimkannya ke entitas lain.
Bersama-sama, semua entitas ini yang terpapar data pemegang kartu dan terlibat dalam mengautentikasi pemegang kartu melalui informasi “rahasia” — seperti nomor identifikasi pribadi (PIN) atau kode CVV — membentuk CDE. Semakin banyak entitas yang menjadi bagian dari CDE, semakin besar “cakupan” CDE.
PCI DSS menentukan jenis data pemegang kartu yang dapat atau tidak dapat disimpan dalam CDE. Secara umum, data tentang pemegang kartu, termasuk nama dan nomor kartu mereka, dapat disimpan dalam CDE, tetapi SAD seperti nomor PIN atau CVV tidak dapat disimpan.
Tidak menyimpan SAD dalam CDE membatasi risiko penipuan karena mencegah pelaku jahat mengakses informasi autentikasi yang diperlukan untuk menyelesaikan transaksi yang tidak sah.
Contoh entitas dalam lingkungan data pemegang kartu
Contoh entitas yang mungkin menjadi bagian dari CDE tertentu meliputi:
- Sistem point-of-sale (POS). Sistem POS menerima kartu pengguna dan memprosesnya untuk menyelesaikan transaksi. Karena sistem ini membaca data pemegang kartu dan mengautentikasi pemegang kartu, mereka adalah bagian dari CDE.
- Server. Ketika transaksi elektronik diproses, satu atau lebih server selalu menjadi bagian dari CDE. Beberapa mungkin fisik; lainnya mungkin virtual.
- Aplikasi. Server dan aplikasi berjalan beriringan. Aplikasi dihosting di server dan memungkinkan pemrosesan data pemegang kartu.
- Perangkat jaringan. Saat data pemegang kartu mengalir melalui jaringan, data tersebut mungkin melewati banyak perangkat jaringan. Perangkat ini mungkin memeriksa data dan melakukan operasi lain padanya, itulah sebabnya mereka juga menjadi bagian dari CDE.
Kebutuhan untuk melindungi lingkungan data pemegang kartu
Berbagai organisasi mungkin memiliki atau mengoperasikan berbagai entitas yang membentuk lingkungan pemegang kartu. Karena semua entitas ini terlibat dalam memproses data pemegang kartu, mereka semua harus diamankan untuk mencegah data jatuh ke tangan yang salah. Jika seorang penjahat dunia maya dapat mengakses data pemegang kartu yang sensitif, mereka mungkin melakukan transaksi penipuan pada kartu tersebut atau mencuri identitas pemegang kartu.
Untuk menghindari situasi seperti itu, semua organisasi yang mengumpulkan, memproses, atau menyimpan data pemegang kartu dan memiliki entitas yang merupakan bagian dari CDE harus menerapkan langkah-langkah untuk melindungi CDE. Dengan melakukan itu, mereka dapat lebih melindungi pemegang kartu dari penipuan dan pencurian identitas serta mematuhi PCI DSS.
Mengamankan entitas CDE untuk kepatuhan PCI DSS
PCI DSS mencakup persyaratan khusus untuk mengamankan data pembayaran dan autentikasi elektronik yang berada pada semua komponen fisik dan virtual dalam CDE:
- Komponen jaringan, seperti firewall, switch, router, titik akses, peralatan jaringan, dan peralatan keamanan.
- Sistem POS, seperti terminal pembayaran, mesin kasir, pembaca kartu, dan sistem lain yang menerima data kartu pembayaran dari pelanggan pada saat transaksi pembayaran.
- Server, termasuk server web, server aplikasi, server basis data, server autentikasi, server email, server proxy, server protokol waktu jaringan, dan server sistem nama domain.
- Semua aplikasi baik internal maupun eksternal.
- Komponen virtual apa pun, termasuk mesin virtual, switch virtual, router virtual, peralatan virtual, aplikasi virtual, desktop virtual, dan hypervisor.
- Sistem TI pihak ketiga.
Sebagian besar pelanggaran data di sektor ritel melibatkan kompromi CDE. PCI DSS memerlukan berbagai kontrol untuk mengamankan CDE. Ide dari salah satu kontrol tersebut, segmentasi jaringan, adalah bahwa jika ukuran dan cakupan CDE minimal dan diisolasi secara memadai dari bagian lain jaringan menggunakan teknologi dan set aturan, ini akan mengurangi kemungkinan terjadinya pelanggaran data.
Besides segmentation, the PCI DSS requires organizations to implement these measures to protect the CDE:
- Pasang firewall dan pastikan tetap aktif secara terus-menerus.
- Jangan gunakan kata sandi default untuk sistem yang merupakan bagian dari CDE.
- Minimalkan jumlah data pemegang kartu yang disimpan.
- Amankan dengan enkripsi data pemegang kartu jika data dikirim melalui jaringan terbuka/publik.
- Implementasikan dan perbarui secara berkala program antivirus.
- Secara rutin patch semua sistem dan aplikasi untuk menghilangkan kerentanan yang dapat dieksploitasi.
- Batasi akses ke data pemegang kartu hanya berdasarkan kebutuhan yang ketat.
- Batasi akses fisik ke data pemegang kartu.
- Monitor semua akses ke data pemegang kartu dan pertahankan catatan akses yang transparan untuk memungkinkan auditabilitas dan meningkatkan akuntabilitas.
- Uji secara berkala kinerja dan ketahanan semua sistem serta proses keamanan.
- Pertahankan kebijakan keamanan informasi yang selalu diperbarui untuk semua karyawan dan pihak ketiga.