Standar yang berlaku bahkan tanpa regulator mewajibkannya
Berbeda dari UU PDP atau ketentuan OJK, PCI DSS bukan produk hukum pemerintah. Ia adalah standar keamanan yang dibuat oleh jaringan kartu pembayaran global seperti Visa dan Mastercard. Meski begitu, dampaknya bagi bisnis Indonesia yang menerima kartu sama nyatanya dengan regulasi, karena kepatuhan menjadi syarat untuk bisa terus memproses pembayaran kartu, dan pelanggaran bisa berujung denda serta pemutusan layanan.
Semakin banyak bisnis Indonesia yang menerima pembayaran kartu, baik langsung maupun melalui platform daring, semakin luas pula yang tersentuh standar ini. Tulisan ini menjelaskan siapa yang wajib, apa yang diminta, dan bagaimana memenuhinya tanpa membuat prosesnya lebih rumit dari yang seharusnya.
Siapa yang wajib mematuhi PCI DSS
Aturan dasarnya sederhana. Jika organisasi Anda menyimpan, memproses, atau mengirimkan data pemegang kartu, PCI DSS berlaku untuk Anda. Ini mencakup lebih banyak pihak daripada yang sering dikira.
Merchant, yaitu bisnis yang menjual barang atau jasa dan menerima kartu, jelas termasuk. Penyedia layanan yang menangani data kartu atas nama pihak lain, seperti payment gateway dan penyedia hosting tertentu, juga termasuk. Bahkan bisnis yang menyerahkan seluruh pemrosesan pembayaran ke pihak ketiga tetap memiliki kewajiban, meskipun cakupannya jauh lebih ringan, karena mereka tetap bertanggung jawab memastikan mitra yang dipilih patuh.
Keyakinan bahwa "kami terlalu kecil untuk diperhatikan" adalah salah satu asumsi paling berisiko, karena penyerang justru sering menargetkan bisnis kecil yang penjagaannya lemah namun tetap memegang data kartu.
Empat tingkat merchant
PCI DSS tidak menuntut hal yang sama dari setiap organisasi. Beban kepatuhan disesuaikan dengan volume transaksi kartu per tahun, yang dibagi menjadi empat tingkat.
| Tingkat | Perkiraan volume transaksi kartu per tahun | Cara pembuktian umum |
|---|---|---|
| 1 | Sangat besar, jutaan transaksi | Audit tahunan oleh penilai bersertifikat (QSA) |
| 2 | Besar | Kuesioner mandiri dan pemindaian, terkadang audit |
| 3 | Menengah | Kuesioner penilaian mandiri dan pemindaian rutin |
| 4 | Kecil | Kuesioner penilaian mandiri dan pemindaian rutin |
Sebagian besar bisnis kecil dan menengah di Indonesia berada di tingkat tiga atau empat, sehingga cukup membuktikan kepatuhan melalui kuesioner penilaian mandiri yang sesuai dengan cara mereka memproses pembayaran. Organisasi besar dan penyedia layanan dengan volume tinggi umumnya wajib menjalani audit tahunan oleh qualified security assessor.
Dua belas persyaratan inti
Di balik istilah teknisnya, PCI DSS berdiri di atas dua belas persyaratan yang bila diringkas sebenarnya mencerminkan kebersihan keamanan yang wajar. Persyaratan ini mencakup pembangunan dan pemeliharaan jaringan yang aman, perlindungan data pemegang kartu yang tersimpan, pengelolaan celah keamanan, pembatasan akses hanya kepada yang berkepentingan, pemantauan dan pengujian jaringan secara berkala, serta pemeliharaan kebijakan keamanan informasi.
Yang perlu digarisbawahi, hampir semua persyaratan ini bertumpang tindih dengan praktik keamanan yang baik secara umum. Enkripsi data, pembatasan akses, pencatatan log, dan pengujian berkala bukan sesuatu yang eksklusif untuk PCI DSS. Organisasi yang sudah membangun fondasi keamanan yang sehat biasanya menemukan bahwa mereka sudah memenuhi sebagian besar persyaratan tanpa menyadarinya.
Mengurangi cakupan adalah strategi terpenting
Kesalahan paling mahal dalam perjalanan menuju kepatuhan PCI DSS adalah mencoba mengamankan seluruh organisasi secara merata, padahal yang diatur hanyalah bagian yang menyentuh data kartu. Semakin banyak tempat data kartu disimpan dan mengalir, semakin luas cakupan yang harus dibuktikan patuh, dan semakin besar biayanya.
Strategi paling efektif justru kebalikannya, yaitu mengurangi cakupan. Ini dilakukan dengan membatasi tempat data kartu berada, memisahkan jaringan yang menangani pembayaran dari sistem lain, dan sedapat mungkin menyerahkan penanganan data kartu ke penyedia pembayaran tepercaya sehingga data sensitif tidak pernah menyentuh sistem Anda secara langsung. Semakin kecil area yang menyentuh data kartu, semakin sederhana dan murah pula proses pembuktiannya.
Menjaga kepatuhan sepanjang tahun
Kesalahpahaman yang umum adalah menganggap PCI DSS sebagai proyek yang selesai setelah sertifikat atau kuesioner terpenuhi. Kenyataannya, kepatuhan adalah kondisi yang harus dijaga terus-menerus. Konfigurasi berubah, sistem baru ditambahkan, dan celah baru ditemukan setiap saat.
Menjaga status kepatuhan menuntut pemindaian kerentanan berkala, pengujian penetrasi secara periodik, pemantauan sistem yang berkelanjutan, dan peninjauan kebijakan yang teratur. Ritme ini mirip dengan yang dibutuhkan kerangka kepatuhan lain seperti ISO 27001, yang kami bahas dalam panduan tentang sertifikasi ISO 27001 di Indonesia. Organisasi yang memandang kepatuhan sebagai kebiasaan, bukan peristiwa, akan jauh lebih siap ketika penilaian berikutnya tiba.
Langkah awal menuju kepatuhan
Bagi bisnis yang baru mulai menata kepatuhan PCI DSS, urutan yang masuk akal adalah memetakan lebih dulu di mana data kartu masuk, tersimpan, dan mengalir, karena tanpa peta ini mustahil menentukan cakupan. Setelah itu, tentukan tingkat merchant Anda, kurangi cakupan sedapat mungkin, lalu tutup selisih antara kondisi saat ini dan persyaratan yang berlaku.
Layanan kepatuhan dan tata kelola kami membantu bisnis Indonesia memetakan kewajiban PCI DSS ke kondisi nyata di lapangan, mengurangi cakupan, dan menyiapkan bukti yang dibutuhkan, dengan pendekatan yang juga selaras dengan kewajiban UU PDP dan ketentuan OJK yang mungkin berlaku bersamaan. Titik awal terbaik adalah pertanyaan sederhana, yaitu di titik mana saja bisnis Anda benar-benar menyentuh data kartu pembayaran.