Estándar de software seguro PCI
Guía de usuarioNets Dinamarca A/S:
Estándar de software PCI-Secure
Guía de implementación de proveedores de software
para a terminal Viking 1.02.0
Versión 1.2

Introdución e alcance

1.1 Introdución
O propósito desta Guía de implementación de provedores de software estándar de software PCI-Secure é proporcionar ás partes interesadas unha orientación clara e completa sobre a implementación, configuración e operación seguras do software Viking. A guía instrúe aos comerciantes sobre como implementar a aplicación Viking de Nets no seu contorno de xeito conforme ao estándar de software seguro PCI. Aínda que, non pretende ser unha guía de instalación completa. A aplicación Viking, se se instala segundo as directrices aquí documentadas, debería facilitar e apoiar o cumprimento do PCI do comerciante.
1.2 Marco de seguridade do software (SSF)
O PCI Software Security Framework (SSF) é unha colección de estándares e programas para o deseño e desenvolvemento seguros de software de aplicacións de pago. O SSF substitúe o estándar de seguridade de datos de aplicacións de pago (PA-DSS) por requisitos modernos que admiten unha gama máis ampla de tipos de software de pago, tecnoloxías e metodoloxías de desenvolvemento. Proporciona aos provedores estándares de seguridade como PCI Secure Software Standard para desenvolver e manter o software de pago para que protexa as transaccións de pago e os datos, minimice as vulnerabilidades e se defenda contra ataques.
1.3 Guía de implementación de vendedores de software: distribución e actualizacións
Esta Guía de implementación de provedores de software estándar de software seguro PCI debe difundirse a todos os usuarios de aplicacións relevantes, incluídos os comerciantes. Debe actualizarse polo menos unha vez ao ano e despois de cambios no software. A re anualview e actualización debe incluír novos cambios de software, así como cambios no Estándar de software seguro.
Nets publica información sobre os listados websitio se hai algunha actualización na guía de implementación.
Websitio: https://support.nets.eu/
Para Example: A guía de implementación do vendedor de software estándar de Nets PCI-Secure distribuirase a todos os clientes, revendedores e integradores. Os clientes, revendedores e integradores recibirán unha notificación de reviews e actualizacións. Tamén se poden obter actualizacións da Guía de implementación do vendedor de software estándar de software PCI-Secure contactando directamente con Nets.
Esta guía de implementación do vendedor de software estándar de software PCI-Secure fai referencia tanto ao estándar de software PCI-Secure como aos requisitos PCI. Nesta guía fixo referencia ás seguintes versións.

• PCI-Secure-Software-Standard-v1_1

Aplicación de pago seguro

2.1 Aplicación S/W
As aplicacións de pago Viking non utilizan ningún software ou hardware externo que non pertenza á aplicación integrada Viking. Todos os executables S/W pertencentes á aplicación de pago Viking están asinados dixitalmente co kit de sinatura Tetra proporcionado por Ingenico.

• O terminal comunícase co Nets Host mediante TCP/IP, xa sexa a través de Ethernet, GPRS, Wi-Fi ou a través da PC-LAN que executa a aplicación POS. Ademais, o terminal pode comunicarse co host a través do móbil con conectividade Wi-Fi ou GPRS.

Os terminais Viking xestionan toda a comunicación mediante o compoñente da capa de enlace de Ingenico. Este compoñente é unha aplicación cargada no terminal. A capa de enlace pode xestionar varias comunicacións ao mesmo tempo usando diferentes periféricos (módem e porto serie, por exemplo.ample).
Actualmente admite os seguintes protocolos:

• Físico: RS232, módem interno, módem externo (vía RS232), USB, Ethernet, Wi-Fi, Bluetooth, GSM, GPRS, 3G e 4G.
• Enlace de datos: SDLC, PPP.
• Rede: IP.
• Transporte: TCP.

O terminal sempre toma a iniciativa para establecer a comunicación cara ao Nets Host. Non hai ningún S/W de servidor TCP/IP no terminal e o S/W do terminal nunca responde ás chamadas entrantes.
Cando se integra cunha aplicación POS nun PC, o terminal pódese configurar para comunicarse a través da PC-LAN que executa a aplicación POS mediante RS232, USB ou Bluetooth. Aínda así, todas as funcións da aplicación de pago están en execución no terminal S/W.
O protocolo de aplicación (e o cifrado aplicado) é transparente e independente do tipo de comunicación.
2.1.1 Configuración do parámetro TCP/IP de comunicación do host de pago
2.1.2 Comunicación ECR

• Serie RS232
• Conexión USB
• Configuración de parámetros TCP/IP, tamén coñecida como ECR sobre IP
  
• Opcións de comunicación de host/ECR na aplicación de pago Viking
  

  Tipo COMM de host	Tipo de terminal
  Ethernet	SeIf4000, Move3500, Desk3500, La n e3000
  BT iOS	Link2500, Link2500i
  BT Android	Move3500, Link2500, Link2500i
  vía ECR	SeIf4000, Move3500, Link2500, Link2500i, Desk3500, Carreira 3000
  GPRS	Mover3500
  'Alinear	Move3500, Link2500

  Tipo ECR COMM	Tipo de terminal
  Ethernet IP	SeIf4000, Move3500, Desk3500, Lane3000
  BT iOS	Link2500, Link2500i
  BT Android	Move3500, Link2500, Link2500i
  USB	SeIf4000, Move3500, Link2500, Link2500i, Desk3500, Lane3000
  RS232	SeIf4000, Desk3500, Lane3000
  GPRS	Mover3500
  IP Will	Move3500, Link2500

• Configuración de parámetros de Nets Cloud ECR (Connect Cloud).
  

  Enderezo IP ECR	212.226.157.243
  PORTO de comunicación TCP-IP	6001

2.1.3 Comunicación co host a través de ECR

Enderezo IP do host	91.102.24142
PORTO TCP-IP de comunicación (NORUGA)	9670

Nota: Consulte "2.1.1- Configuración do parámetro TCP/IP de comunicación do host de pago" para os portos TCP/IP específicos do país.
2.2 Hardware(s) de terminal admitido
A aplicación de pago Viking é compatible con varios dispositivos Ingenico validados por PTS (seguridade de transaccións PIN).
A lista do hardware do terminal xunto co seu número de aprobación PTS ofrécese a continuación.

Tipos de terminal Tetra

Terminal hardware	Versión PTS	Número de aprobación PTS	Versión de hardware PTS	Versión de firmware PTS
Carreira 3000	5.x	4-30310	LAN30AN LAN30BA LAN30BN LAN30CA LAN30DA LAN30EA LAN30EN LAN30FA LAN30FN LAN30GA LAN30HA LAN30AA	820547v01.xx 820561v01.xx
Escritorio 3500	5.x	4-20321	DES32BB DES32BC DES32CB DES32DB DES32DC DES35AB DES35BB DES35BC DES35CB DES35DB DES35DC DES32AB	820376v01.xx 820376v02.xx 820549v01.xx 820555v01.xx 820556v01.xx 820565v01.xx 820547v01.xx
Movemento 3500	5.x	4-20320	MOV35AC MOV35AQ MOV35BB MOV35BC MOV35BQ MOV35CB MOV35CC MOV35CQ MOV35DB MOV35DC MOV35DQ MOV35EB MOV35FB MOV35JB MOV35AB	820376v01.xx 820376v02.xx 820547v01.xx 820549v01.xx 820555v01.xx 820556v01.xx 820565v01.xx 820547v01.xx 820565v01.xx
Ligazón 2500	4.x	4-30230	LIN25BA LIN25BB LIN25CA LIN25DA LIN25DB LIN25EA LIN25FA	820555v01.xx 820556v01.xx 820547v01.xx

			LIN25FB LIN25GA LIN25HA LIN25HB LIN25IA LIN25JA LIN25JB LIN25KA LIN25LA LIN25MA LIN25NA LIN25AA
Ligazón 2500	5.x	4-30326	LIN25BA LIN25BB LIN25CA LIN25DA LIN25DB LIN25EA LIN25FA LIN25FB LIN25GA LIN25HA LIN25HB LIN25IA LIN25JA LIN25JB LIN25KA LIN25LA LIN25MA LIN25NA LIN25AA LIN25NA LINXNUMXAA	820547v01.xx
Auto4000	5.x	4-30393	SEL40BA	820547v01.xx

2.3 Políticas de seguridade
A aplicación de pago Viking cumpre con todas as políticas de seguridade aplicables especificadas por Ingenico. Para obter información xeral, estas son as ligazóns ás políticas de seguridade dos distintos terminais Tetra:

Tipo de terminal	Documento de política de seguridade
Ligazón 2500 (v4)	Política de seguranza Link/2500 PCI PTS (pcisecuritystandards.org)
Ligazón 2500 (v5)	Política de seguranza PCI PTS (pcisecuritystandards.org)
Escritorio 3500	https://listings.pcisecuritystandards.org/ptsdocs/4-20321ICO-OPE-04972-EN- V12_PCI_PTS_Security_Policy_Desk_3200_Desk_3500-1650663092.33407.pdf
Mover3500	https://listings.pcisecuritystandards.org/ptsdocs/4-20320ICO-OPE-04848-EN- V11_PCI_PTS_Security_Policy_Move_3500-1647635765.37606.pdf
Carreira 3000	https://listings.pcisecuritystandards.org/ptsdocs/4-30310SP_ICO-OPE-04818-EN- V16_PCI_PTS_Security_Policy_Lane_3000-1648830172.34526.pdf
Auto4000	Política de seguranza Self/4000 PCI PTS (pcisecuritystandards.org)

Actualización de software remota segura

3.1 Aplicabilidade do comerciante

Nets ofrece de forma segura actualizacións das aplicacións de pago Viking de forma remota. Estas actualizacións prodúcense na mesma canle de comunicación que as transaccións de pago seguro e o comerciante non está obrigado a facer ningún cambio nesta vía de comunicación para cumprir.
Para obter información xeral, os comerciantes deben desenvolver unha política de uso aceptable para tecnoloxías críticas orientadas aos empregados, segundo as directrices que se indican a continuación para VPN ou outras conexións de alta velocidade, as actualizacións recíbense a través dun firewall ou un firewall persoal.
3.2 Política de uso aceptable
O comerciante debe desenvolver políticas de uso para tecnoloxías críticas orientadas aos empregados, como módems e dispositivos sen fíos. Estas políticas de uso deben incluír:

• Aprobación explícita da xestión para o seu uso.
• Autenticación para uso.
• Unha lista de todos os dispositivos e persoal con acceso.
• Etiquetar os dispositivos co propietario.
• Información de contacto e finalidade.
• Usos aceptables da tecnoloxía.
• Localizacións de rede aceptables para as tecnoloxías.
• Unha lista de produtos aprobados pola empresa.
• Permitir o uso de módems para provedores só cando sexa necesario e desactivación despois do uso.
• Prohibición de almacenar os datos do titular da tarxeta en medios locais cando se conecta de forma remota.

3.3 Firewall persoal
Calquera conexión "sempre activa" desde un ordenador a unha VPN ou outra conexión de alta velocidade debe protexerse mediante un produto de firewall persoal. O firewall está configurado pola organización para cumprir estándares específicos e non é alterable polo empregado.
3.4 Procedementos de actualización remota
Hai dúas formas de activar o terminal para poñerse en contacto co centro de software de Nets para obter actualizacións:

1. Ou manualmente a través dunha opción de menú no terminal (pase a tarxeta do comerciante, seleccione o menú 8 "Software", 1 "Recuperar software") ou o Host iniciado.
2. Usando o método iniciado por Host; o terminal recibe automaticamente un comando do Host despois de realizar unha transacción financeira. O comando indica ao terminal que se poña en contacto co centro de software de Nets para comprobar se hai actualizacións.

Despois dunha actualización de software exitosa, un terminal cunha impresora incorporada imprimirá un recibo con información sobre a nova versión.
Os integradores de terminais, os socios e/ou o equipo de soporte técnico de Nets terán a responsabilidade de informar aos comerciantes da actualización, incluíndo a ligazón á guía de implementación actualizada e ás notas de versión.
Ademais do recibo despois da actualización do software, a aplicación de pago Viking tamén se pode validar mediante Información do terminal ao premer a tecla "F3" no terminal.

Eliminación segura de datos confidenciais e protección dos datos de titulares de tarxeta almacenados

4.1 Aplicabilidade do comerciante
A aplicación de pago Viking non almacena datos de banda magnética, valores ou códigos de validación de tarxetas, PIN ou datos de bloques de PIN, material de clave criptográfica ou criptogramas das súas versións anteriores.
Para cumprir con PCI, un comerciante debe ter unha política de retención de datos que defina durante canto tempo se conservarán os datos do titular da tarxeta. A aplicación de pago Viking conserva os datos do titular da tarxeta e/ou os datos de autenticación confidenciais da última transacción  e no caso de que se realicen transaccións de autorización sen conexión ou diferidas mentres cumpre ao mesmo tempo o estándar de software PCI-Secure, polo que pode estar exenta de política de retención de datos do titular da tarxeta do comerciante.
4.2 Instrucións de eliminación segura
O terminal non almacena datos de autenticación sensibles; track2 completo, CVC, CVV ou PIN, nin antes nin despois da autorización; excepto para as transaccións de autorización diferida, en cuxo caso os datos de autenticación confidenciais cifrados (datos completos da pista2) almacénanse ata que se faga a autorización. Despois da autorización, os datos elimínanse de forma segura.
Calquera instancia de datos históricos prohibidos que exista nun terminal eliminarase automaticamente de forma segura cando se actualice a aplicación de pago Viking do terminal. A eliminación dos datos históricos prohibidos e dos datos anteriores á política de retención realizarase automaticamente.
4.3 Localizacións dos datos almacenados do titular da tarxeta
Os datos do titular da tarxeta almacénanse no Flash DFS (Data File Sistema) do terminal. Os datos non son accesibles directamente polo comerciante.

Almacén de datos (file, mesa, etc.)	Elementos de datos do titular da tarxeta almacenados (PAN, caducidade, calquera elemento do SAD)	Como se protexe o almacén de datos (por example, cifrado, controis de acceso, truncamento, etc.)
File: transgredir	PAN, data de caducidade, código de servizo	PAN: 3DES-DUKPT cifrado (112 bits)
File: storefwd.rsd	PAN, data de caducidade, código de servizo	PAN: 3DES-DUKPT cifrado (112 bits)
File: transoff.rsd	PAN, data de caducidade, código de servizo	PAN: 3DES-DUKPT cifrado (112 bits)
File: transorr.rsd	PAN truncado	Truncado (6 primeiros, 4 últimos)
File: offlrep.dat	PAN truncado	Truncado (6 primeiros, 4 últimos)
File: defauth.rsd	PAN, data de caducidade, código de servizo	PAN: 3DES-DUKPT cifrado (112 bits)
File: defauth.rsd	Datos completos da pista 2	Datos completos de Track2: 3DES-DUKPT previamente cifrado (112 bits)

4.4 Transacción de autorización diferida
A autorización diferida prodúcese cando un comerciante non pode completar unha autorización no momento da transacción co titular da tarxeta debido a problemas de conectividade, sistemas ou outras limitacións, e despois completa a autorización cando poida facelo.
Isto significa que unha autorización aprazada ocorre cando se realiza unha autorización en liña despois de que a tarxeta xa non está dispoñible. A medida que se atrasa a autorización en liña das transaccións de autorización diferida, as transaccións almacenaranse no terminal ata que se autoricen correctamente máis tarde, cando a rede estea dispoñible. As transaccións almacénanse e envíanse máis tarde ao anfitrión, como se almacenan as transaccións sen conexión a partir de hoxe na aplicación de pago Viking.
O comerciante pode iniciar a transacción como "Autorización diferida" desde a caixa rexistradora electrónica (ECR) ou a través do menú do terminal.
O comerciante pode cargar as transaccións de autorización diferida no servidor de Nets usando as seguintes opcións:

1. ECR - Comando de administración - Enviar sen conexión (0x3138)
2. Terminal - Comerciante -> 2 EOT -> 2 enviado ao host

4.5 Procedementos de resolución de problemas
O soporte de Nets non solicitará autenticación confidencial nin datos do titular da tarxeta para resolver problemas. A aplicación de pago Viking non é capaz de recoller nin solucionar problemas de datos confidenciais en ningún caso.

4.6 Localizacións PAN: mostradas ou impresas
PAN enmascarado:

• Recibos de transacción financeira:
  O PAN enmascarado sempre está impreso no recibo da transacción tanto para o titular da tarxeta como para o comerciante. O PAN enmascarado na maioría dos casos está con * onde os primeiros 6 díxitos e os últimos 4 díxitos están en texto claro.
• Informe da lista de transaccións:
  O informe da lista de transaccións mostra as transaccións realizadas nunha sesión. Os detalles da transacción inclúen o PAN enmascarado, o nome do emisor da tarxeta e o importe da transacción.
• Último recibo de cliente:
  A copia do último recibo do cliente pódese xerar desde o menú de copia do terminal. O recibo do cliente contén o PAN enmascarado como o recibo do cliente orixinal. A función indicada úsase no caso de que o terminal non poida xerar un cliente
  recibo durante a transacción por calquera motivo.

PAN cifrado:

• Recibo de transacción sen conexión:
A versión do recibo de venda polo miúdo da transacción fóra de liña inclúe datos cifrados do titular da tarxeta DUKPT de 112 bits Triple DES (PAN, data de caducidade e código de servizo).

BAX: 71448400-714484
12/08/2022 10:39
Visa
Sen contacto
************3439-0
107A47458AE773F3A84DF977
553E3D93FFFF9876543210E0
15F3
Axuda: A0000000031010
TVR: 0000000000
Código da tenda: 123461
Ref.: 000004 000000 KC3
Resp.: Y1
Sesión: 782
COMPRA
12,00 NOK
APROBADO
COPIA DO COMERCIO
Confirmación:
A aplicación de pago Viking sempre cifra os datos do titular da tarxeta de forma predeterminada para o almacenamento de transaccións fóra de liña, a transmisión ao host de NETS e para imprimir os datos cifrados da tarxeta no recibo do venda polo miúdo para unha transacción sen conexión.
Ademais, para mostrar ou imprimir o PAN da tarxeta, a aplicación de pago Viking sempre enmascara os díxitos PAN cun asterisco "*" cos primeiros 6 + 4 últimos díxitos claros por defecto. O formato de impresión do número de tarxeta está controlado polo sistema de xestión de terminal, onde o formato de impresión se pode cambiar solicitando a través da canle adecuada e presentando unha necesidade comercial lexítima, pero para a aplicación de pago Viking non existe ningún caso.
Example para PAN enmascarado:
PAN: 957852181428133823-2
Información mínima: **************3823-2
Información máxima: 957852********3823-2
4.7 Aviso files
A aplicación de pago Viking non proporciona ningún aviso separado files.
Solicitudes da aplicación de pago Viking para as entradas do titular da tarxeta a través de indicacións de visualización que forman parte do sistema de mensaxería dentro da aplicación de pago Viking asinada.
No terminal móstranse as solicitudes de PIN, importe, etc. e agárdase as entradas do titular da tarxeta. As entradas recibidas do titular da tarxeta non se almacenan.
4.8 Xestión de claves
Para a gama de modelos de terminais Tetra, todas as funcións de seguridade realízanse nunha zona segura dun dispositivo PTS protexido da aplicación de pago.
O cifrado realízase dentro da zona segura mentres que o descifrado dos datos cifrados só pode ser realizado polos sistemas Nets Host. Todo o intercambio de claves entre o host de Nets, a ferramenta Key/Inject (para terminais Tetra) e o PED realízase en forma cifrada.
Nets implementa os procedementos para a xestión de claves segundo un esquema DUKPT mediante o cifrado 3DES.
Todas as claves e compoñentes clave utilizados polos terminais Nets xéranse mediante procesos aleatorios ou pseudoaleatorios aprobados. As claves e os compoñentes clave utilizados polos terminais de Nets son xerados polo sistema de xestión de claves de Nets, que utiliza unidades HSM de escudo Thales Pay aprobadas para xerar claves criptográficas.
A xestión de claves é independente da funcionalidade de pago. Polo tanto, cargar unha nova aplicación non require un cambio na funcionalidade clave. O espazo de chaves do terminal admitirá ao redor de 2,097,152 transaccións.
Cando se esgota o espazo clave, o terminal Viking deixa de funcionar e mostra unha mensaxe de erro e, a continuación, debe substituílo.
4.9 Reinicio "24 HR".
Todos os terminais Viking son PCI-PTS 4.x e superiores e, polo tanto, cumpre o requisito de conformidade de que o terminal PCI-PTS 4.x se reiniciará como mínimo unha vez cada 24 horas para borrar a memoria RAM e evitar que o hardware do terminal se utilice para facerse co pago. datos da tarxeta.
Outro beneficio do ciclo de reinicio de 24 horas é que as fugas de memoria mitiranse e terán menos impacto para o comerciante (non é que debamos aceptar problemas de fugas de memoria.
O comerciante pode configurar o tempo de reinicio desde a opción do menú do terminal a "Hora de reinicio". O tempo de reinicio establécese en función do reloxo "24 horas" e terá o formato HH:MM.
O mecanismo de reinicio está deseñado para garantir un reinicio do terminal polo menos unha vez cada 24 horas de funcionamento. Para cumprir este requisito definiuse unha franxa horaria, denominada “intervalo de reinicio” representada por Temin e Tmax. Este período representa o intervalo de tempo no que se permite o reinicio. Dependendo do caso de negocio, o "intervalo de reinicio" personalízase durante a fase de instalación do terminal. Por deseño, este período non pode ser inferior a 30 minutos. Durante este período, o reinicio prodúcese cada día 5 minutos antes (na T3) como se explica no seguinte diagrama:

4.10 Lista branca
A lista branca é un procedemento para determinar que as PAN listadas como lista branca poden mostrarse en texto claro. Viking utiliza 3 campos para determinar os PAN da lista branca que se len a partir das configuracións descargadas do sistema de xestión de terminal.
Cando se establece unha "bandeira de conformidade" no host de Nets en Y, a información do sistema de xestión do servidor ou do terminal de Nets descárgase ao terminal, cando se inicia o terminal. Esta marca de conformidade utilízase para determinar os PAN da lista branca que se len do conxunto de datos.
"Track2ECR" determina se os datos Track2 poden ser manipulados (enviados/recibidos) polo ECR para un emisor especificado. Dependendo do valor desta bandeira, determínase se os datos da pista2 deben mostrarse en modo local en ECR.
"Campo de formato de impresión" determina como se mostrará o PAN. Todas as tarxetas no ámbito PCI terán o formato de impresión configurado para mostrar o PAN en forma truncada/enmascarada.

Autenticación e controis de acceso

5.1 Control de acceso
A aplicación de pago Viking non ten contas de usuario nin contrasinais correspondentes, polo tanto, a aplicación de pago Viking está exenta deste requisito.

• Configuración integrada de ECR:
  Non é posible acceder a tipos de transaccións como Reembolso, Depósito e Reversión desde o menú do terminal para que estas funcións non se fagan mal uso. Estes son os tipos de transaccións nos que se produce o fluxo de diñeiro desde a conta do comerciante ata a conta do titular da tarxeta. É responsabilidade do comerciante asegurarse de que ECR só o utilicen usuarios autorizados.
• Configuración autónoma:
  O control de acceso á tarxeta de comerciante está activado por defecto para acceder a tipos de transaccións como reembolso, depósito e reversión desde o menú do terminal para que estas funcións non se fagan mal uso.
  O terminal Viking está configurado por defecto para protexer as opcións do menú, para evitar o acceso non autorizado. Os parámetros para configurar a seguridade do menú están en Menú comerciante (accesible cunha tarxeta de comerciante) -> Parámetros -> Seguridade

Protexer menú - Establécese como "Si" por defecto.
O botón de menú do terminal está protexido mediante a configuración do menú Protexer. Só o comerciante pode acceder ao menú mediante unha tarxeta de comerciante.

Protexer a reversión - Establécese como "Si" por defecto.
A reversión dunha transacción só o pode facer o comerciante mediante a tarxeta de comerciante para acceder ao menú de reversión.

Protexer a reconciliación - Establécese como "Si" por defecto
Só o comerciante coa tarxeta de comerciante pode acceder á opción de conciliación cando esta protección está definida como verdadeira.

Protexer o atallo - Establécese como "Si" por defecto
Menú contextual coas opcións para viewA información do terminal e a opción para actualizar os parámetros de Bluetooth estarán dispoñibles para o comerciante só cando pase o dedo na tarxeta do comerciante.

5.2 Controis de contrasinais
A aplicación de pago Viking non ten contas de usuario nin contrasinais correspondentes; polo tanto, a aplicación Viking está exenta deste requisito.

Rexistro

6.1 Aplicabilidade do comerciante
Actualmente, para a aplicación de pago Nets Viking, non hai ningunha configuración de rexistro PCI configurable para o usuario final.
6.2 Configurar a configuración do rexistro
A aplicación de pago Viking non ten contas de usuario, polo que non se aplica o rexistro conforme a PCI. Incluso no rexistro de transaccións máis detallados, a aplicación de pago Viking non rexistra ningún dato de autenticación sensible nin datos do titular da tarxeta.
6.3 Rexistro central
O terminal ten un mecanismo de rexistro xenérico. O mecanismo tamén inclúe o rexistro de creación e eliminación do executable S/W.
As actividades de descarga de S/W rexístranse e pódense transferir ao anfitrión manualmente mediante unha opción de menú no terminal ou a petición do host marcado no tráfico de transaccións ordinarias. Se a activación da descarga de S/W falla debido a sinaturas dixitais non válidas na recepción files, o incidente rexístrase e transfírese ao Host de forma automática e inmediata.
6.3.1 Activar o rexistro de rastrexo no terminal
Para activar o rexistro de rastrexo:

1. Pasa o dedo a tarxeta de comerciante.
2. A continuación, seleccione "9 Menú do sistema" no menú.
3. A continuación, vai ao menú "2 Rexistro do sistema".
4. Escribe o código do técnico, que podes obter chamando ao servizo de asistencia técnica de Nets Merchant Service.
5. Seleccione "8 Parámetros".
6. A continuación, active "Logging" en "Si".

6.3.2 Enviar rexistros de rastrexo ao host
Para enviar rexistros de rastrexo:

1. Preme a tecla Menú no terminal e despois pasa a tarxeta de comerciante.
2. A continuación, no menú principal, seleccione "7 Menú do operador".
3. A continuación, seleccione "5 Enviar rexistros de rastrexo" para enviar rexistros de rastrexo ao host.

6.3.3 Rexistro de rastrexo remoto
Establécese un parámetro no Nets Host (PSP) que activará/desactivará a funcionalidade de rexistro de rastrexo do Terminal de forma remota. Nets Host enviará o parámetro de rexistro de activación/desactivación de rastrexo ao Terminal no conxunto de datos xunto coa hora programada na que Terminal cargará os rexistros de rastrexo. Cando o terminal reciba o parámetro Trace como habilitado, comezaría a capturar rexistros de rastrexo e á hora programada cargará todos os rexistros de rastrexo e desactivará a función de rexistro despois.
6.3.4 Rexistro de erros remoto
Os rexistros de erros sempre están activados no terminal. Do mesmo xeito que o rexistro de rastrexo, establécese un parámetro en Nets Host que activará/desactivará a funcionalidade de rexistro de erros do Terminal de forma remota. Nets Host enviará o parámetro de rexistro de activación/desactivación de rastrexo ao Terminal no conxunto de datos xunto coa hora programada na que Terminal cargará os rexistros de erros. Cando o terminal recibe o parámetro de rexistro de erros como está activado, comezará a capturar rexistros de erros e á hora programada cargará todos os rexistros de erros e desactivará a función de rexistro despois.

Redes sen fíos

7.1 Aplicabilidade do comerciante

Terminal de pago Viking: MOVE 3500 e Link2500 teñen a capacidade de conectarse coa rede wifi. Polo tanto, para que Wireless se implemente de forma segura, débese ter en conta á hora de instalar e configurar a rede sen fíos como se detalla a continuación.
7.2 Configuracións sen fíos recomendadas
Hai moitas consideracións e pasos a seguir ao configurar redes sen fíos que están conectadas á rede interna.
Como mínimo, deben existir os seguintes axustes e configuracións:

• Todas as redes sen fíos deben segmentarse mediante un cortalumes; se se precisan conexións entre a rede sen fíos e o entorno de datos do titular da tarxeta, o acceso debe estar controlado e protexido polo firewall.
• Cambia o SSID predeterminado e desactiva a emisión SSID
• Cambia os contrasinais predeterminados tanto para conexións sen fíos como para puntos de acceso sen fíos, isto inclúe o acceso á consola e as cadeas da comunidade SNMP
• Cambia calquera outro valor predeterminado de seguranza proporcionado ou definido polo vendedor
• Asegúrese de que os puntos de acceso sen fíos estean actualizados ao firmware máis recente
• Use só WPA ou WPA2 con claves seguras, WEP está prohibido e nunca debe usarse
• Cambie as claves WPA/WPA2 durante a instalación, así como de forma regular e sempre que unha persoa con coñecemento das claves abandone a empresa

Segmentación de redes

8.1 Aplicabilidade do comerciante
A aplicación de pago Viking non é unha aplicación de pago baseada nun servidor e reside nun terminal. Por este motivo, a solicitude de pagamento non precisa ningún axuste para cumprir este requisito.
Para o coñecemento xeral do comerciante, os datos da tarxeta de crédito non se poden almacenar en sistemas conectados directamente a Internet. Por example, web os servidores e os servidores de bases de datos non deben instalarse no mesmo servidor. Debe configurarse unha zona desmilitarizada (DMZ) para segmentar a rede para que só as máquinas da DMZ sexan accesibles por Internet.

Acceso remoto

9.1 Aplicabilidade do comerciante
Non se pode acceder á aplicación de pago Viking de forma remota. A asistencia remota só se produce entre un membro do persoal de asistencia de Nets e o comerciante por teléfono ou mediante Nets directamente no lugar co comerciante.

Transmisión de datos sensibles

10.1 Transmisión de datos sensibles
A aplicación de pago Viking protexe os datos confidenciais e/ou os datos do titular da tarxeta en tránsito mediante o cifrado de mensaxes mediante 3DES-DUKPT (112 bits) para todas as transmisións (incluídas as redes públicas). Non se requiren protocolos de seguridade para as comunicacións IP desde a aplicación Viking ao anfitrión xa que o cifrado a nivel de mensaxes se implementa mediante 3DES-DUKPT (112 bits) como se describe anteriormente. Este esquema de cifrado garante que aínda que as transaccións sexan interceptadas, non se poidan modificar nin comprometer de ningún xeito se 3DES-DUKPT (112 bits) segue a considerarse un cifrado forte. Segundo o esquema de xestión de claves DUKPT, a clave 3DES utilizada é única para cada transacción.
10.2 Compartir datos confidenciais con outro software
A aplicación de pago Viking non fornece ningunha interface ou API lóxicas que permitan compartir os datos da conta de texto en claro directamente con outro software. Non se comparten datos confidenciais nin datos de conta de texto en claro con outro software a través das API expostas.

10.3 Correo electrónico e datos sensibles
A aplicación de pago Viking non admite de forma nativa o envío de correo electrónico.
10.4 Acceso administrativo non da consola
Viking non admite o acceso administrativo que non sexa da consola.
Non obstante, para o coñecemento xeral do comerciante, o acceso administrativo que non sexa da consola debe utilizar SSH, VPN ou TLS para o cifrado de todos os accesos administrativos que non sexan da consola aos servidores do entorno de datos do titular da tarxeta. Non se deben utilizar Telnet ou outros métodos de acceso non cifrados.

Metodoloxía Viking Versioning

A metodoloxía de versión de Nets consiste nun número de versión S/W de tres partes: a.bb.c
onde se incrementará "a" cando se fagan cambios de gran impacto segundo o estándar de software PCI-Secure.
a - versión principal (1 díxitos)
'bb' incrementarase cando se fagan cambios planificados de baixo impacto segundo o estándar de software PCI-Secure.
bb - versión menor (2 díxitos)
'c' incrementarase cando se realicen cambios de parche de baixo impacto segundo o estándar de software PCI-Secure.
c – versión menor (1 díxito)
O número de versión S/W da aplicación de pago Viking móstrase así na pantalla do terminal cando o terminal está acendido: 'abbc'

• Unha actualización de, por exemplo, 1.00.0 a 2.00.0 é unha actualización funcional significativa. Pode incluír cambios que afecten á seguridade ou aos requisitos do estándar PCI Secure Software.
• Unha actualización de, por exemplo, 1.00.0 a 1.01.0 é unha actualización funcional non significativa. É posible que non inclúa cambios que afecten á seguridade ou aos requisitos do estándar PCI Secure Software.
• Unha actualización de, por exemplo, 1.00.0 a 1.00.1 é unha actualización funcional non significativa. É posible que non inclúa cambios que afecten á seguridade ou aos requisitos do estándar PCI Secure Software.

Todos os cambios represéntanse en orde numérica secuencial.

Instrucións sobre a instalación segura de parches e actualizacións.

Nets ofrece actualizacións de aplicacións de pago remotos de forma segura. Estas actualizacións prodúcense na mesma canle de comunicación que as transaccións de pago seguro e o comerciante non está obrigado a facer ningún cambio nesta vía de comunicación para cumprir.
Cando haxa un parche, Nets actualizará a versión do parche en Nets Host. O comerciante obtería os parches mediante a solicitude de descarga automática de S/W ou o comerciante tamén pode iniciar unha descarga de software desde o menú do terminal.
Para obter información xeral, os comerciantes deben desenvolver unha política de uso aceptable para tecnoloxías críticas orientadas aos empregados, segundo as directrices que se indican a continuación para VPN ou outras conexións de alta velocidade, as actualizacións recíbense a través dun firewall ou un firewall de persoal.
O servidor de Nets está dispoñible a través de Internet mediante acceso seguro ou a través dunha rede pechada. Coa rede pechada, o fornecedor de rede ten unha conexión directa co noso entorno host ofrecido polo seu fornecedor de rede. Os terminais son xestionados a través dos servizos de xestión de terminais de Nets. O servizo de xestión de terminales define por example a rexión á que pertence o terminal e o adquirente en uso. A xestión do terminal tamén se encarga de actualizar o software do terminal de forma remota a través da rede. Nets asegura que o software cargado no terminal cumpriu as certificacións requiridas.
Nets recomenda puntos de verificación a todos os seus clientes para garantir pagos seguros como se indica a continuación:

1. Mantén unha lista de todos os terminais de pago operativos e fai fotos de todas as dimensións para que saibas como deben ser.
2. Busca sinais evidentes de tampcomo selos rotos sobre as placas de cobertura ou parafusos de acceso, cableado impar ou diferente ou un dispositivo de hardware novo que non pode recoñecer.
3. Protexa os seus terminais do alcance dos clientes cando non estean en uso. Inspecciona a diario os teus terminais de pago e outros dispositivos que poden ler tarxetas de pago.
4. Debe comprobar a identidade do persoal de reparación se está a esperar que se realicen reparacións no terminal de pago.
5. Chama inmediatamente a Nets ou ao teu banco se sospeitas de algunha actividade non obvia.
6. Se cres que o teu dispositivo de punto de venda é vulnerable ao roubo, hai bases de servizo e arneses e ataduras seguras dispoñibles para mercar comercialmente. Pode valer a pena considerar o seu uso.

Actualizacións do lanzamento de Viking

O software Viking lánzase nos seguintes ciclos de lanzamento (suxeito a cambios):

• 2 lanzamentos importantes ao ano
• 2 lanzamentos menores ao ano
• Parches de software, cando sexa necesario, (por exemplo, debido a calquera problema crítico de erro/vulnerabilidade). Se unha versión está operativa no campo e se informa dalgúns problemas críticos, espérase que no prazo dun mes se publique un parche de software coa corrección.

Os comerciantes recibirían unha notificación sobre os lanzamentos (principais/menores/parches) mediante correos electrónicos que se enviarían directamente aos seus respectivos enderezos de correo electrónico. O correo electrónico tamén conterá os principais aspectos destacados da versión e das notas de publicación.
Os comerciantes tamén poden acceder ás notas de versión que se cargarán en: Notas de versión de software (nets.eu)
As versións de Viking Software asinanse mediante a ferramenta de canto de Ingenico para terminais Tetra. Só se pode cargar no terminal software asinado.

Requisitos non aplicables

Esta sección contén unha lista de requisitos no estándar de software PCI-Secure que foi avaliado como "Non aplicable" á aplicación de pago Viking e a xustificación para iso.

PCI Secure Software Standard CO	Actividade	Xustificación de ser "non aplicable"
5.3	Os métodos de autenticación (incluídas as credenciais de sesión) son suficientemente fortes e robustos para protexer as credenciais de autenticación de que sexan falsificadas, suplantadas, filtradas, adiviñadas ou eludidas.	A aplicación de pago Viking execútase nun dispositivo PTS POI aprobado por PCI. A aplicación de pago Viking non ofrece acceso local, non de consola ou remoto, nin nivel de privilexios, polo que non hai credenciais de autenticación no dispositivo PTS POI. A solicitude de pago vikingo non ofrece configuracións para xestionar ou xerar ID de usuario e non ofrece ningún acceso local, non consolado ou remoto a activos críticos (incluso con fins de depuración).
5.4	De forma predeterminada, todo o acceso aos activos críticos está restrinxido só a aquelas contas e servizos que requiren tal acceso.	A aplicación de pago Viking execútase nun dispositivo PTS POI aprobado por PCI. A aplicación de pago Viking non ofrece opcións de configuración para xestionar ou xerar contas ou servizos.
7.3	Todos os números aleatorios utilizados polo software xéranse usando só algoritmos ou bibliotecas de xeración de números aleatorios (RNG) aprobados. Os algoritmos ou bibliotecas RNG aprobados son aqueles que cumpren os estándares da industria para unha imprevisibilidade suficiente (por exemplo, a publicación especial NIST 800-22).	A aplicación de pago Viking non usa ningún RNG (xerador de números aleatorios) para as súas funcións de cifrado. A aplicación de pago Viking non xera nin usa ningún número aleatorio para funcións criptográficas.
7.4	Os valores aleatorios teñen entropía que cumpre os requisitos mínimos de forza efectiva das primitivas criptográficas e claves que dependen deles.	A aplicación de pago Viking non usa ningún RNG (xerador de números aleatorios) para as súas funcións de cifrado. A aplicación de pago Viking non xera nin usa ningún número aleatorio para funcións criptográficas.
8.1	Todos os intentos de acceso e uso de activos críticos son rastrexados e rastrexables a un individuo único.	A aplicación de pago Viking execútase en dispositivos PTS POI aprobados por PCI, onde se realiza o manexo de activos críticos, e o firmware PTS POI garante a confidencialidade e a integridade dos datos confidenciais mentres se almacenan no dispositivo PTS POI. A confidencialidade, a integridade e a resistencia da función sensible da aplicación de pago Viking están protexidas e proporcionadas polo firmware PTS POI. O firmware PTS POI impide calquera acceso a activos críticos fóra do terminal e depende do anti-tampcaracterísticas existentes. A aplicación de pago Viking non ofrece acceso local, non de consola ou remoto, nin nivel de privilexios, polo que non hai persoa nin outros sistemas con acceso a activos críticos, só a aplicación de pago Viking é capaz de xestionar activos críticos.
8.2	Toda a actividade recóllese co detalle suficiente e necesario para describir con precisión que actividades específicas se realizaron, quen as realizou, o momento en que se realizaron e cales son os activos críticos afectados.	A aplicación de pago Viking execútase en dispositivos PTS POI aprobados por PCI. A aplicación de pago Viking non ofrece acceso local, non de consola ou remoto, nin nivel de privilexios, polo que non hai ningunha persoa nin outros sistemas con acceso a activos críticos, só a aplicación de pago Viking é capaz de xestionar activos críticos. • A aplicación de pago Viking non ofrece modos de funcionamento privilexiados. • Non hai funcións para desactivar o cifrado de datos confidenciais • Non hai funcións para o descifrado de datos sensibles • Non hai funcións para exportar datos sensibles a outros sistemas ou procesos • Non hai funcións de autenticación compatibles. Os controis de seguranza e as funcións de seguranza non se poden desactivar nin eliminar.
8.3	O software admite a retención segura de detalles actividade rexistros.	A aplicación de pago Viking execútase en dispositivos PTS POI aprobados por PCI. A aplicación de pago Viking non ofrece acceso local, non de consola ou remoto, nin nivel de privilexios, polo que non hai ningunha persoa nin outros sistemas con acceso a activos críticos, só a aplicación de pago Viking é capaz de xestionar activos críticos. • A aplicación de pago Viking non ofrece modos de funcionamento privilexiados. • Non hai funcións para desactivar o cifrado de datos confidenciais • Non hai funcións para o descifrado de datos sensibles • Non hai funcións para exportar datos sensibles a outros sistemas ou procesos • Non hai funcións de autenticación compatibles. Os controis de seguranza e as funcións de seguranza non se poden desactivar nin eliminar.
8.4	O software xestiona fallos nos mecanismos de seguimento da actividade de forma que se preserva a integridade dos rexistros de actividade existentes.	A aplicación de pago Viking execútase en dispositivos PTS POI aprobados por PCI. A aplicación de pago Viking non ofrece acceso local, non de consola ou remoto, nin nivel de privilexios, polo que non hai persoa nin outros sistemas con acceso a activos críticos, só a aplicación Viking é capaz de xestionar activos críticos. • A aplicación de pago Viking non ofrece modos de funcionamento privilexiados. • Non hai funcións para desactivar o cifrado de datos confidenciais • Non hai funcións para o descifrado de datos sensibles | • Non hai funcións para exportar datos sensibles a outros sistemas ou procesos • Non se admiten funcións de autenticación • Os controis de seguranza e a funcionalidade de seguranza non se poden desactivar nin eliminar.
B.1.3	O provedor do software mantén a documentación que describe todas as opcións configurables que poden afectar á seguridade dos datos sensibles.	A aplicación de pago Viking execútase en dispositivos PTS POI aprobados por PCI. A aplicación de pago Viking non ofrece ningún dos seguintes elementos aos usuarios finais: • opción configurable para acceder a datos confidenciais • opción configurable para modificar mecanismos para protexer datos sensibles • acceso remoto á aplicación • actualizacións remotas da aplicación • opción configurable para modificar a configuración predeterminada da aplicación
B.2.4	O software usa só o número aleatorio función(s) de xeración incluídas no pago avaliación do dispositivo PTS do terminal para todos os criptográficos operacións que impliquen datos confidenciais ou funcións sensibles nas que se ​​requiran valores aleatorios e non implementa os seus propios función(s) de xeración de números aleatorios.	Viking non usa ningún RNG (xerador de números aleatorios) para as súas funcións de cifrado. A aplicación Viking non xera nin usa ningún número aleatorio para funcións criptográficas.
B.2.9	A integridade do aviso de software files está protexido de acordo co Obxectivo de Control B.2.8.	Todas as indicacións que aparecen no terminal Viking están codificadas na aplicación e ningunha indicación files están presentes fóra da aplicación. Sen aviso files fóra da aplicación de pago Viking, toda a información necesaria é xerada pola aplicación.
B.5.1.5	As orientacións de implementación inclúen instrucións para que as partes interesadas asinen criptográficamente todas as solicitudes files.	Todas as indicacións que se amosan no terminal Viking están codificadas na aplicación e ningunha indicación files están presentes fóra da aplicación. Sen aviso files fóra da aplicación de pago Viking, toda a información necesaria é xerada pola aplicación

Referencia de requisitos estándar de software seguro PCI

Capítulos deste documento	Requisitos estándar de software seguro PCI	Requisitos PCI DSS
2. Aplicación de pago seguro	B.2.1 6.1 12.1 12.1.b	2.2.3
3. Actualizacións de software remotas seguras	11.1 11.2 12.1	1&12.3.9 2, 8 e 10
4. Eliminación segura de datos sensibles e protección dos datos de titulares de tarxeta almacenados	3.2 3.4 3.5 A.2.1 A.2.3 B.1.2a	3.2 3.2 3.1 3.3 3.4 3.5 3.6
Autenticación e controis de acceso	5.1 5.2 5.3 5.4	8.1 e 8.2 8.1 e 8.2
Rexistro	3.6 8.1 8.3	10.1 10.5.3
Rede sen fíos	4.1	1.2.3 e 2.1.1 4.1.1 1.2.3, 2.1.1,4.1.1
Segmentación de redes	4.1c	1.3.7
Acceso remoto	B.1.3	8.3
Transmisión de datos do titular da tarxeta	A.2.1 A.2.3	4.1 4.2 2.3 8.3
Metodoloxía Viking Versioning	11.2 12.1.b
Instrucións para os clientes sobre a instalación segura de parches e actualizacións.	11.1 11.2 12.1

Glosario de termos

TERMO	DEFINICIÓN
Datos do titular da tarxeta	Banda magnética completa ou o PAN máis calquera dos seguintes elementos: · Nome do titular da tarxeta ·  Data de caducidade · Código de servizo
DUKPT	Chave única derivada por transacción (DUKPT) é un esquema de xestión de claves no que para cada transacción utilízase unha clave única que se deriva dunha clave fixa. Polo tanto, se unha clave derivada se ve comprometida, os datos de transaccións futuras e pasadas seguen protexidos, xa que non se poden determinar facilmente as claves seguintes ou anteriores.
3DES	En criptografía, Triple DES (3DES ou TDES), oficialmente o Triple Data Encryption Algorithm (TDEA ou Triple DEA), é un cifrado de bloque de clave simétrica, que aplica o algoritmo de cifrado DES tres veces a cada bloque de datos.
Comerciante	O usuario final e comprador do produto Viking.
SSF	O PCI Software Security Framework (SSF) é unha colección de estándares e programas para o deseño e desenvolvemento seguro de software de pago. A seguridade do software de pago é unha parte crucial do fluxo de transaccións de pago e é esencial para facilitar transaccións de pago fiables e precisas.
PA-QSA	Solicitude de pagamento Avaliadores de seguridade cualificados. Empresa QSA que ofrece servizos aos provedores de aplicacións de pago para validar as aplicacións de pago dos provedores.
TRISTE (Datos de autenticación sensibles)	Información relacionada coa seguridade (códigos/valores de validación de tarxetas, datos de pista completos, PIN e bloques de PIN) que se usa para autenticar os titulares de tarxetas, que aparece en texto plano ou en forma non protexida. A divulgación, modificación ou destrución desta información podería comprometer a seguridade dun dispositivo criptográfico, sistema de información ou información do titular da tarxeta ou podería utilizarse nunha transacción fraudulenta. Nunca se deben almacenar os datos de autenticación confidenciais cando se remate unha transacción.
viquingo	A plataforma de software utilizada por Nets para o desenvolvemento de aplicacións para o mercado europeo.
HSM	Módulo de seguridade de hardware

Control de documentos

Autor do documento, Reviewers e Aprobadores

Descrición	Función	Nome
PA-QSA	Reviewer	Claudio Adamic / Flavio Bonfiglio Shorans
Desenvolvemento	Autor	Aruna entrou en pánico
Xestor de cumprimento	Reviewer & Aprobador	Arno Edstrom
Arquitecto de sistemas	Reviewer & Aprobador	Shamsher Singh
QA	Reviewer & Aprobador	Varun Shukla
Propietario do produto	Reviewer & Aprobador	Cecilia Jensen Tyldum / Arti Kangas
Xefe de Produto	Reviewer & Aprobador	May-Britt Dens tad Sanderson
Xefe de enxeñaría	Xerente	Tamely Vallone

Resumo de Cambios

Versión Número	Versión Data	Natureza do cambio	Cambiar Autor	Reviewer	Revisión Tag	Data de aprobación
1.0	03-08-2022	Primeira versión para PCI-Secure Estándar de software	Aruna entrou en pánico	Shamsher Singh		18-08-22
1.0	15-09-2022	Actualizouse o artigo 14 cos obxectivos de control non aplicables cos seus xustificación	Aruna entrou en pánico	Shamsher Singh		29-09-22
1.1	20-12-2022	Seccións actualizadas 2.1.2 e 2.2 con Self4000. Eliminouse Link2500 (PTS versión 4.x) da lista de terminales compatibles	Aruna entrou en pánico	Shamsher Singh		23-12-22
1.1	05-01-2023	Actualizouse a sección 2.2 con Link2500 (pts v4) para continuar co soporte para este tipo de terminal.	Aruna entrou en pánico	Shamsher Singh		05-01-23
1.2	20-03-2023	Sección 2.1.1 actualizada con letón e lituano terminal profiles. E 2.1.2 con soporte de tipo de comunicación BT-iOS	Aruna entrou en pánico	Shamsher Singh

Lista de distribución

Nome	Función
Departamento de Terminal	Desenvolvemento, Test, Xestión de Proxectos, Conformidade
Xestión de produtos	Equipo de xestión de produtos de terminal, xestor de conformidade - produto

Aprobación de documentos

Nome	Función
Cecilia Jensen Tyldum	Propietario do produto
Arti Kangas	Propietario do produto

Documento Review Plans
Este documento será reviewmodificado e actualizado, se é necesario, segundo se define a continuación:

• Segundo sexa necesario para corrixir ou mellorar o contido da información
• Tras calquera modificación ou reestruturación organizativa
• Tras unha re anualview
• Tras a explotación dunha vulnerabilidade
• Seguindo novas informacións/requisitos sobre vulnerabilidades relevantes

Documentos/Recursos

	Estándar de software seguro PCI de Nets [pdfGuía do usuario Estándar de software seguro PCI, estándar de software seguro, estándar de software, estándar
	Estándar de software seguro PCI de Nets [pdfGuía do usuario Estándar de software seguro PCI, estándar de software seguro, estándar de software, estándar

Referencias

• Manual de usuario