PCI DSS förklarat: säkerhetsstandarden som skyddar dina kortuppgifter

Varje gång du betalar med kort litar du på att butiken hanterar dina uppgifter säkert. Men vem ser till att de gör det? Svaret heter PCI DSS, en internationell säkerhetsstandard som alla företag som hanterar kortbetalningar måste följa. Du märker den sällan som konsument, men den är en av de viktigaste anledningarna till att kortbetalningar fungerar så tryggt. Här förklarar vi vad PCI DSS är och varför det spelar roll för dig.

Vad är PCI DSS?

PCI DSS står för Payment Card Industry Data Security Standard. Det är ett gemensamt regelverk som de stora kortnätverken, Visa, Mastercard, American Express och andra, tog fram tillsammans. Standarden anger hur företag som lagrar, bearbetar eller skickar kortuppgifter måste skydda den informationen.

Tanken är att alla led i kedjan, från den lilla webbutiken till den globala betalleverantören, ska följa samma grundkrav. Annars skulle säkerheten vara lika svag som den svagaste länken. Genom en gemensam standard höjs säkerheten i hela ekosystemet.

Vad standarden faktiskt kräver

PCI DSS består av ett antal krav som tillsammans bygger ett skyddande lager runt kortdata. Några av de viktigaste områdena är:

• Krypterad överföring. Kortuppgifter måste krypteras när de skickas över nätverk, så att ingen kan läsa dem på vägen.
• Begränsad lagring. Företag får inte spara känsliga uppgifter som säkerhetskoden längre än nödvändigt, och helst inte alls.
• Åtkomstkontroll. Bara personer som verkligen behöver det får komma åt kortdata, och varje åtkomst loggas.
• Brandväggar och övervakning. Systemen ska skyddas mot intrång och kontinuerligt övervakas för misstänkt aktivitet.
• Regelbundna tester. Säkerheten måste testas löpande för att hitta sårbarheter innan angripare gör det.

Det här är förenklat, den fullständiga standarden är omfattande och innehåller hundratals detaljkrav. Poängen är att den täcker både tekniken och rutinerna hos företaget.

Tokenisering: när butiken slipper se ditt nummer

Ett av de smartaste sätten att uppfylla PCI DSS är att helt undvika att hantera kortnumret. Istället byts numret ut mot en token, ett surrogatvärde utan betydelse för någon utomstående. Det är samma teknik som ligger bakom Apple Pay och virtuella kort.

Genom tokenisering kan en butik erbjuda smidiga återkommande betalningar utan att någonsin lagra ditt riktiga kortnummer. Då minskar både risken för läckor och företagets börda att uppfylla alla krav. Vill du läsa mer om hur tokenisering fungerar i praktiken har vi en guide om virtuella kort och en bredare guide om kreditkortssäkerhet.

Vad betyder PCI DSS för dig som konsument?

I praktiken behöver du inte göra någonting, och det är just det som är poängen. PCI DSS arbetar i bakgrunden för att skydda dina uppgifter oavsett var du handlar. Men det är bra att förstå att standarden finns, så att du kan känna igen när något inte stämmer.

Skulle en butik be dig mejla ditt fullständiga kortnummer eller säkerhetskod, eller spara det i ett vanligt dokument, är det ett tydligt brott mot god säkerhetspraxis. Då bör du avstå. Legitima betalningar sker alltid i en krypterad kassa, ofta med BankID-bekräftelse via 3D Secure.

Om en läcka ändå skulle inträffa är du som kortinnehavare i de flesta fall skyddad mot obehöriga transaktioner, eftersom ansvaret hamnar hos butiken eller banken, inte hos dig. Mer om hur ansvaret fördelas och hur du reklamerar finns i vår guide om kreditkortssäkerhet. Begrepp som token och kryptering förklaras också i vår ordlista.

Sammanfattning

PCI DSS är det osynliga skyddsnät som gör att du kan betala med kort utan att ständigt oroa dig. Det ställer krav på alla som hanterar kortdata, och i kombination med 3D Secure och tokenisering gör det modern kortbetalning mycket säker.

Kom samtidigt ihåg att säkerheten inte påverkar kostnaden för krediten. Att låna kostar pengar, och oavsett hur väl skyddat ett kort är bör du betala av ditt saldo i tid. Vill du jämföra kort och hitta ett som passar dig? Börja i vår kortväljare.