PCI Secure Software Standard
Gabay sa GumagamitNets Denmark A/S:
PCI-Secure Software Standard
Gabay sa Pagpapatupad ng Software Vendor
para sa Viking terminal 1.02.0
Bersyon 1.2

Panimula at Saklaw

1.1 Panimula
Ang layunin ng PCI-Secure Software Standard Software Vendor Implementation Guide na ito ay magbigay sa mga stakeholder ng malinaw at masusing patnubay sa secure na pagpapatupad, pagsasaayos, at pagpapatakbo ng Viking software. Ang gabay ay nagtuturo sa mga Merchant kung paano ipatupad ang Nets' Viking application sa kanilang kapaligiran sa paraang sumusunod sa PCI Secure Software Standard. Bagaman, hindi ito nilayon na maging kumpletong gabay sa pag-install. Ang Viking application, kung naka-install ayon sa mga alituntuning nakadokumento dito, ay dapat na mapadali, at suportahan ang pagsunod sa PCI ng isang merchant.
1.2 Software Security Framework (SSF)
Ang PCI Software Security Framework (SSF) ay isang koleksyon ng mga pamantayan at programa para sa secure na disenyo at pagbuo ng software ng application ng pagbabayad. Pinapalitan ng SSF ang Payment Application Data Security Standard (PA-DSS) ng mga modernong kinakailangan na sumusuporta sa mas malawak na hanay ng mga uri ng software ng pagbabayad, teknolohiya, at mga pamamaraan ng pag-unlad. Nagbibigay ito sa mga vendor ng mga pamantayan sa seguridad tulad ng PCI Secure Software Standard para sa pagbuo at pagpapanatili ng software sa pagbabayad upang maprotektahan nito ang mga transaksyon sa pagbabayad at data, mabawasan ang mga kahinaan, at ipagtanggol laban sa mga pag-atake.
1.3 Gabay sa Pagpapatupad ng Software Vendor – Pamamahagi at Mga Update
Ang PCI Secure Software Standard Software Vendor Implementation Guide na ito ay dapat ipakalat sa lahat ng may-katuturang user ng application kabilang ang mga merchant. Dapat itong i-update nang hindi bababa sa bawat taon at pagkatapos ng mga pagbabago sa software. Ang taunang mulingview at ang pag-update ay dapat magsama ng mga bagong pagbabago sa software pati na rin ang mga pagbabago sa Secure Software Standard.
Naglalathala ang Nets ng impormasyon sa nakalista website kung mayroong anumang mga update sa gabay sa pagpapatupad.
Website: https://support.nets.eu/
Para kay Example: Ang Nets PCI-Secure Software Standard Software Vendor Implementation Guide ay ipapamahagi sa lahat ng customer, reseller, at integrator. Ang mga customer, Resellers, at Integrator ay aabisuhan mula sa reviews at mga update. Ang mga update sa PCI-Secure Software Standard Software Vendor Implementation Guide ay maaaring makuha sa pamamagitan ng direktang pakikipag-ugnayan din sa Nets.
Ang PCI-Secure Software Standard Software Vendor Implementation Guide na ito ay tumutukoy sa PCI-Secure Software Standard at PCI na kinakailangan. Ang mga sumusunod na bersyon ay isinangguni sa gabay na ito.

• PCI-Secure-Software-Standard-v1_1

Aplikasyon sa Secure na Pagbabayad

2.1 Application S/W
Ang mga application sa pagbabayad ng Viking ay hindi gumagamit ng anumang panlabas na software o hardware na hindi kabilang sa Viking na naka-embed na application. Lahat ng S/W executable na kabilang sa Viking payment application ay digital na nilagdaan gamit ang Tetra signing kit na ibinigay ng Ingenico.

• Nakikipag-ugnayan ang terminal sa Nets Host gamit ang TCP/IP, alinman sa pamamagitan ng Ethernet, GPRS, Wi-Fi, o sa pamamagitan ng PC-LAN na nagpapatakbo ng POS application. Gayundin, maaaring makipag-ugnayan ang terminal sa host sa pamamagitan ng mobile na may koneksyon sa Wi-Fi o GPRS.

Pinamamahalaan ng mga Viking terminal ang lahat ng komunikasyon gamit ang bahagi ng layer ng link ng Ingenico. Ang bahaging ito ay isang application na na-load sa terminal. Ang Link Layer ay maaaring pamahalaan ang ilang mga komunikasyon sa parehong oras gamit ang iba't ibang mga peripheral (modem at serial port para sa example).
Kasalukuyang sinusuportahan nito ang mga sumusunod na protocol:

• Pisikal: RS232, panloob na modem, panlabas na modem (sa pamamagitan ng RS232), USB, Ethernet, Wi-Fi, Bluetooth, GSM, GPRS, 3G at 4G.
• Link ng Data: SDLC, PPP.
• Network: IP.
• Transportasyon: TCP.

Palaging ginagawa ng terminal ang inisyatiba para sa pagtatatag ng komunikasyon patungo sa Nets Host. Walang TCP/IP server na S/W sa terminal, at ang terminal na S/W ay hindi kailanman tumutugon sa mga papasok na tawag.
Kapag isinama sa isang POS application sa isang PC, maaaring i-set up ang terminal upang makipag-usap sa pamamagitan ng PC-LAN na nagpapatakbo ng POS application gamit ang RS232, USB, o Bluetooth. Ang lahat ng functionality ng application ng pagbabayad ay tumatakbo sa terminal S/W.
Ang application protocol (at inilapat na pag-encrypt) ay transparent at independiyente sa uri ng komunikasyon.
2.1.1 Pag-set up ng parameter ng TCP/IP na komunikasyon ng Payment Host
2.1.2 ECR komunikasyon

• Serial ng RS232
• Koneksyon sa USB
• Pag-setup ng parameter ng TCP/IP, na kilala rin bilang ECR over IP
  
• Mga opsyon sa komunikasyon ng host/ECR sa Viking Payment Application
  

  Uri ng Host COMM	Uri ng Terminal
  Ethernet	SeIf4000, Move3500, Desk3500, La n e3000
  BT iOS	Link2500, Link2500i
  BT Android	Move3500, Link2500, Link2500i
  sa pamamagitan ng ECR	SeIf4000, Move3500, Link2500, Link2500i, Desk3500, Lane3000
  GPRS	Gumalaw3500
  'I-align	Move3500, Link2500

  Uri ng ECR COMM	Uri ng Terminal
  IP Ethernet	SeIf4000, Move3500, Desk3500, Lane3000
  BT iOS	Link2500, Link2500i
  BT Android	Move3500, Link2500, Link2500i
  USB	SeIf4000, Move3500, Link2500, Link2500i, Desk3500, Lane3000
  RS232	SeIf4000, Desk3500, Lane3000
  GPRS	Gumalaw3500
  IP Will	Move3500, Link2500

• Configuration ng mga parameter ng Nets Cloud ECR (Connect Cloud).
  

  ECR IP address	212.226.157.243
  Komunikasyon TCP-IP PORT	6001

2.1.3 Komunikasyon sa host sa pamamagitan ng ECR

IP address ng host	91.102.24142
Komunikasyon TCP-IP PORT (NORWAY)	9670

Tandaan: Sumangguni sa “2.1.1- Payment Host communication TCP/IP parameter setup” para sa mga TCP/IP port na partikular sa bansa.
2.2 Mga sinusuportahang terminal hardware
Ang Viking payment application ay sinusuportahan sa iba't ibang PTS (PIN transaction security) validated Ingenico device.
Ang listahan ng terminal hardware kasama ang kanilang numero ng pag-apruba ng PTS ay ibinigay sa ibaba.

Mga Uri ng Terminal ng Tetra

Terminal hardware	bersyon ng PTS	Numero ng pag-apruba ng PTS	Bersyon ng PTS Hardware	Bersyon ng PTS Firmware
Lane 3000	5.x	4-30310	LAN30AN LAN30BA LAN30BN LAN30CA LAN30DA LAN30EA LAN30EN LAN30FA LAN30FN LAN30GA LAN30HA LAN30AA	820547v01.xx 820561v01.xx
Mesa 3500	5.x	4-20321	DES32BB DES32BC DES32CB DES32DB DES32DC DES35AB DES35BB DES35BC DES35CB DES35DB DES35DC DES32AB	820376v01.xx 820376v02.xx 820549v01.xx 820555v01.xx 820556v01.xx 820565v01.xx 820547v01.xx
Ilipat 3500	5.x	4-20320	MOV35AC MOV35AQ MOV35BB MOV35BC MOV35BQ MOV35CB MOV35CC MOV35CQ MOV35DB MOV35DC MOV35DQ MOV35EB MOV35FB MOV35JB MOV35AB	820376v01.xx 820376v02.xx 820547v01.xx 820549v01.xx 820555v01.xx 820556v01.xx 820565v01.xx 820547v01.xx 820565v01.xx
Link2500	4.x	4-30230	LIN25BA LIN25BB LIN25CA LIN25DA LIN25DB LIN25EA LIN25FA	820555v01.xx 820556v01.xx 820547v01.xx

			LIN25FB LIN25GA LIN25HA LIN25HB LIN25IA LIN25JA LIN25JB LIN25KA LIN25LA LIN25MA LIN25NA LIN25AA
Link2500	5.x	4-30326	LIN25BA LIN25BB LIN25CA LIN25DA LIN25DB LIN25EA LIN25FA LIN25FB LIN25GA LIN25HA LIN25HB LIN25IA LIN25JA LIN25JB LIN25KA LIN25LA LIN25MA LIN25NA LIN25AA	820547v01.xx
Sarili4000	5.x	4-30393	SEL40BA	820547v01.xx

2.3 Mga Patakaran sa Seguridad
Ang application ng pagbabayad ng Viking ay sumusunod sa lahat ng naaangkop na patakaran sa seguridad na tinukoy ng Ingenico. Para sa pangkalahatang impormasyon, ito ang mga link sa mga patakaran sa seguridad para sa iba't ibang mga terminal ng Tetra:

Uri ng Terminal	Dokumento ng Patakaran sa Seguridad
Link2500 (v4)	Link/2500 PCI PTS Security Policy (pcisecuritystandards.org)
Link2500 (v5)	Patakaran sa Seguridad ng PCI PTS (pcisecuritystandards.org)
Mesa3500	https://listings.pcisecuritystandards.org/ptsdocs/4-20321ICO-OPE-04972-EN- V12_PCI_PTS_Security_Policy_Desk_3200_Desk_3500-1650663092.33407.pdf
Gumalaw3500	https://listings.pcisecuritystandards.org/ptsdocs/4-20320ICO-OPE-04848-EN- V11_PCI_PTS_Security_Policy_Move_3500-1647635765.37606.pdf
Lane3000	https://listings.pcisecuritystandards.org/ptsdocs/4-30310SP_ICO-OPE-04818-EN- V16_PCI_PTS_Security_Policy_Lane_3000-1648830172.34526.pdf
Sarili4000	Self/4000 PCI PTS Security Policy (pcisecuritystandards.org)

Secure na Remote Software Update

3.1 Paglalapat ng Merchant

Ang Nets ay ligtas na naghahatid ng mga update sa Viking application sa pagbabayad nang malayuan. Nagaganap ang mga update na ito sa parehong channel ng komunikasyon gaya ng mga secure na transaksyon sa pagbabayad, at hindi kinakailangan ng merchant na gumawa ng anumang mga pagbabago sa landas ng komunikasyon na ito para sa pagsunod.
Para sa pangkalahatang impormasyon, dapat bumuo ang mga merchant ng isang katanggap-tanggap na patakaran sa paggamit para sa mga kritikal na teknolohiyang kinakaharap ng empleyado, alinsunod sa mga alituntunin sa ibaba para sa VPN, o iba pang mga high-speed na koneksyon, ang mga update ay natatanggap sa pamamagitan ng isang firewall o personal na firewall.
3.2 Patakaran sa Katanggap-tanggap na Paggamit
Dapat bumuo ang merchant ng mga patakaran sa paggamit para sa mga kritikal na teknolohiyang kinakaharap ng empleyado, tulad ng mga modem at wireless na device. Ang mga patakaran sa paggamit na ito ay dapat kasama ang:

• Tahasang pag-apruba ng pamamahala para sa paggamit.
• Authentication para sa paggamit.
• Isang listahan ng lahat ng device at tauhan na may access.
• Paglalagay ng label sa mga device ng may-ari.
• Impormasyon sa pakikipag-ugnayan at layunin.
• Mga katanggap-tanggap na paggamit ng teknolohiya.
• Mga katanggap-tanggap na lokasyon ng network para sa mga teknolohiya.
• Isang listahan ng mga produkto na inaprubahan ng kumpanya.
• Pinapayagan ang paggamit ng mga modem para sa mga vendor lamang kapag kinakailangan at pag-deactivate pagkatapos gamitin.
• Pagbabawal sa pag-imbak ng data ng cardholder sa lokal na media kapag malayuang nakakonekta.

3.3 Personal na Firewall
Ang anumang "palaging naka-on" na mga koneksyon mula sa isang computer patungo sa isang VPN o iba pang mataas na bilis na koneksyon ay dapat na secure sa pamamagitan ng paggamit ng isang personal na produkto ng firewall. Ang firewall ay isinaayos ng organisasyon upang matugunan ang mga partikular na pamantayan at hindi mababago ng empleyado.
3.4 Mga Pamamaraan sa Remote Update
Mayroong dalawang paraan para ma-trigger ang terminal para makipag-ugnayan sa Nets software center para sa mga update:

1. Alinman sa manu-mano sa pamamagitan ng opsyon sa menu sa terminal (mag-swipe merchant card, piliin ang menu 8 “Software”, 1 “Fetch software”), o Host na sinimulan.
2. Gamit ang pamamaraang pinasimulan ng Host; awtomatikong tumatanggap ang terminal ng utos mula sa Host pagkatapos nitong magsagawa ng transaksyong pinansyal. Ang command ay nagsasabi sa terminal na makipag-ugnayan sa Nets software center para tingnan ang mga update.

Pagkatapos ng matagumpay na pag-update ng software, ang terminal na may built-in na printer ay magpi-print ng resibo na may impormasyon sa bagong bersyon.
Ang mga terminal integrator, partner at/o Nets technical support team ay magkakaroon ng responsibilidad na ipaalam sa mga merchant ang update, kasama ang link sa na-update na gabay sa pagpapatupad at ang mga tala sa paglabas.
Bilang karagdagan sa resibo pagkatapos ng pag-update ng software, ang Viking payment application ay maaari ding ma-validate sa pamamagitan ng Terminal Info sa pagpindot sa 'F3' key sa terminal.

Secure na Pagtanggal ng Sensitibong Data at Proteksyon ng Nakaimbak na Data ng May-ari ng Card

4.1 Paglalapat ng Merchant
Ang Viking payment application ay hindi nag-iimbak ng anumang magnetic stripe data, card validation value o code, PIN o PIN block data, cryptographic key material, o cryptograms mula sa mga nakaraang bersyon nito.
Upang maging sumusunod sa PCI, ang isang merchant ay dapat magkaroon ng patakaran sa pagpapanatili ng data na tumutukoy kung gaano katagal itatago ang data ng cardholder. Ang application ng pagbabayad ng Viking ay nagpapanatili ng data ng cardholder at/o sensitibong data ng pagpapatunay ng pinakahuling transaksyon at kung sakaling mayroong offline o ipinagpaliban na mga transaksyon sa awtorisasyon habang sumusunod sa pagsunod sa PCI-Secure Software Standard sa parehong oras, kaya maaari itong maging exempt mula sa patakaran sa pagpapanatili ng data ng cardholder ng merchant.
4.2 Secure na Mga Tagubilin sa Pagtanggal
Ang terminal ay hindi nag-iimbak ng sensitibong data ng pagpapatunay; buong track2, CVC, CVV o PIN, hindi bago o pagkatapos ng pahintulot; maliban sa mga transaksyon sa Deferred Authorization kung saan naka-imbak ang naka-encrypt na sensitibong data ng pagpapatotoo (buong track2 data) hanggang sa matapos ang awtorisasyon. Mag-post ng awtorisasyon ang data ay ligtas na tatanggalin.
Anumang instance ng ipinagbabawal na makasaysayang data na umiiral sa isang terminal ay awtomatikong tatanggalin nang secure kapag ang terminal Viking application ng pagbabayad ay na-upgrade. Awtomatikong mangyayari ang pagtanggal ng ipinagbabawal na makasaysayang data at data na nakalipas na sa patakaran sa pagpapanatili.
4.3 Mga Lokasyon ng Nakaimbak na Data ng May-ari ng Card
Ang data ng cardholder ay naka-imbak sa Flash DFS (Data File System) ng terminal. Ang data ay hindi direktang naa-access ng merchant.

Tindahan ng Data (file, mesa, atbp.)	Nakaimbak ang Mga Elemento ng Data ng Cardholder (PAN, expiry, anumang elemento ng SAD)	Paano sinisigurado ang data store (para sa example, encryption, access controls, truncation, atbp.)
File: lumabag	PAN, Petsa ng Pag-expire, Code ng Serbisyo	PAN: Naka-encrypt na 3DES-DUKPT (112 bits)
File: storefwd.rsd	PAN, Petsa ng Pag-expire, Code ng Serbisyo	PAN: Naka-encrypt na 3DES-DUKPT (112 bits)
File: transoff.rsd	PAN, Petsa ng Pag-expire, Code ng Serbisyo	PAN: Naka-encrypt na 3DES-DUKPT (112 bits)
File: transorr.rsd	Pinutol na PAN	Pinutol (Una 6, Huling 4)
File: offlrep.dat	Pinutol na PAN	Pinutol (Una 6, Huling 4)
File: defauth.rsd	PAN, Petsa ng Pag-expire, Code ng Serbisyo	PAN: Naka-encrypt na 3DES-DUKPT (112 bits)
File: defauth.rsd	Buong track2 data	Buong Track2 data: pre-Encrypted 3DES-DUKPT (112 bits)

4.4 Ipinagpaliban ang Transaksyon sa Awtorisasyon
Nangyayari ang Deferred Authorization kapag hindi makumpleto ng isang merchant ang isang awtorisasyon sa oras ng transaksyon sa cardholder dahil sa pagkakakonekta, mga isyu sa system, o iba pang mga limitasyon, at pagkatapos ay makukumpleto ang awtorisasyon kapag nagawa na nito.
Nangangahulugan iyon na ang isang ipinagpaliban na awtorisasyon ay nangyayari kapag ang isang online na awtorisasyon ay ginawa pagkatapos na ang card ay hindi na magagamit. Dahil naantala ang online na awtorisasyon ng mga transaksyon sa ipinagpaliban na awtorisasyon, ang mga transaksyon ay itatabi sa terminal hanggang sa matagumpay na ma-awtorisa ang mga transaksyon sa ibang pagkakataon kapag available na ang network. Ang mga transaksyon ay iniimbak at ipinapadala sa ibang pagkakataon sa host, tulad ng kung paano iniimbak ang mga Offline na transaksyon sa ngayon sa Viking application ng pagbabayad.
Maaaring simulan ng Merchant ang transaksyon bilang 'Deferred Authorization' mula sa Electronic Cash Register (ECR) o sa pamamagitan ng terminal menu.
Maaaring i-upload ng merchant ang mga transaksyon sa Deferred Authorization sa Nets host gamit ang mga opsyon sa ibaba:

1. ECR – Admin command – Ipadala offline (0x3138)
2. Terminal – Merchant ->2 EOT -> 2 na ipinadala sa host

4.5 Mga Pamamaraan sa Pag-troubleshoot
Ang suporta sa Nets ay hindi hihiling ng sensitibong pagpapatunay o data ng cardholder para sa mga layunin ng pag-troubleshoot. Ang application ng pagbabayad ng Viking ay hindi kayang mangolekta o mag-troubleshoot ng sensitibong data sa anumang kaso.

4.6 Mga lokasyon ng PAN – Ipinapakita o Naka-print
Naka-mask na PAN:

• Mga resibo ng Transaksyon sa Pinansyal:
  Palaging naka-print ang Masked PAN sa resibo ng transaksyon para sa parehong cardholder at merchant. Ang naka-mask na PAN sa karamihan ng mga kaso ay may * kung saan ang unang 6 na digit at huling 4 na digit ay nasa malinaw na teksto.
• Ulat sa listahan ng transaksyon:
  Ipinapakita ng ulat sa listahan ng transaksyon ang mga transaksyong ginawa sa isang session. Kasama sa mga detalye ng transaksyon ang Masked PAN, pangalan ng nagbigay ng Card at ang halaga ng transaksyon.
• Huling resibo ng customer:
  Ang kopya ng huling resibo ng customer ay maaaring mabuo mula sa terminal copy menu. Ang resibo ng customer ay naglalaman ng nakamaskara na PAN bilang orihinal na resibo ng customer. Ang ibinigay na function ay ginagamit kung sakaling mabigo ang terminal na bumuo ng isang customer
  resibo sa panahon ng transaksyon para sa anumang kadahilanan.

Naka-encrypt na PAN:

• Offline na resibo ng transaksyon:
Kasama sa bersyon ng resibo ng retailer ng offline na transaksyon ang Triple DES 112-bit na DUKPT na naka-encrypt na data ng cardholder (PAN, Expiry date at Service code).

BAX: 71448400-714484
12/08/2022 10:39
Visa
Walang contact
**********3439-0
107A47458AE773F3A84DF977
553E3D93FFFF9876543210E0
15F3
AID: A0000000031010
TVR: 0000000000
StoreID: 123461
Ref.: 000004 000000 KC3
Sagot: Y1
Sesyon: 782
BUMILI
NOK 12,00
APPROVED
KOPYA NG NAGTITINGI
Kumpirmasyon:
Palaging ine-encrypt ng Viking payment application ang data ng may-ari ng card bilang default para sa offline na storage ng transaksyon, paghahatid patungo sa NETS host at para mag-print ng naka-encrypt na data ng card sa retailer na resibo para sa offline na transaksyon.
Gayundin, para ipakita o i-print ang card na PAN, palaging tinatakpan ng Viking payment application ang mga PAN digit na may asterisk na '*' na may First 6 + Last 4 na digit na malinaw bilang default. Ang format ng pag-print ng numero ng card ay kinokontrol ng sistema ng pamamahala ng terminal kung saan maaaring baguhin ang format ng pag-print sa pamamagitan ng paghiling sa pamamagitan ng wastong channel at sa pamamagitan ng pagpapakita ng isang lehitimong pangangailangan ng negosyo, gayunpaman para sa Viking application na pagbabayad, walang anumang ganoong kaso.
Example para sa masked PAN:
PAN: 957852181428133823-2
Minimum na impormasyon: **************3823-2
Pinakamataas na impormasyon: 957852********3823-2
4.7 Maagap files
Ang Viking payment application ay hindi nagbibigay ng anumang hiwalay na prompt files.
Ang Viking payment application ay humihiling para sa mga cardholder input sa pamamagitan ng display prompt na bahagi ng messaging system sa loob ng nilagdaang Viking payment application.
Ipinapakita ang mga prompt ng display para sa PIN, halaga, atbp. sa terminal, at hinihintay ang mga input ng cardholder. Ang mga input na natanggap mula sa cardholder ay hindi nakaimbak.
4.8 Pangunahing pamamahala
Para sa hanay ng Tetra ng mga modelo ng terminal, ang lahat ng paggana ng seguridad ay ginagawa sa isang secure na lugar ng isang PTS device na protektado mula sa application ng pagbabayad.
Ang pag-encrypt ay isinasagawa sa loob ng ligtas na lugar habang ang pag-decryption ng naka-encrypt na data ay maaari lamang gawin ng mga sistema ng Nets Host. Ang lahat ng key exchange sa pagitan ng Nets host, Key/Inject tool (para sa Tetra terminal) at ang PED ay ginagawa sa naka-encrypt na form.
Ang Mga Pamamaraan para sa Pangunahing Pamamahala ay ipinatupad ng Nets ayon sa isang DUKPT scheme gamit ang 3DES encryption.
Ang lahat ng mga susi at pangunahing bahagi na ginagamit ng mga terminal ng Nets ay nabuo gamit ang naaprubahang random o pseudorandom na mga proseso. Ang mga susi at pangunahing bahagi na ginagamit ng mga terminal ng Nets ay binuo ng Nets key management system, na gumagamit ng aprubadong Thales Pay shield na mga unit ng HSM upang bumuo ng mga cryptographic na key.
Ang pangunahing pamamahala ay independiyente sa paggana ng pagbabayad. Ang pag-load ng bagong application samakatuwid ay hindi nangangailangan ng pagbabago sa key functionality. Susuportahan ng terminal key space ang humigit-kumulang 2,097,152 na transaksyon.
Kapag naubos na ang key space, hihinto sa paggana ang Viking terminal at nagpapakita ng mensahe ng error, at pagkatapos ay dapat palitan ang terminal.
4.9 '24 HR' I-reboot
Ang lahat ng Viking terminal ay PCI-PTS 4.x at mas mataas at samakatuwid ay sumusunod sa kinakailangan sa pagsunod na ang PCI-PTS 4.x terminal ay dapat mag-reboot nang hindi bababa sa isang beses bawat 24 na oras upang i-wipe ang RAM at higit pang secure na terminal HW mula sa paggamit upang makakuha ng bayad data ng card.
Ang isa pang benepisyo ng '24hr' re-boot cycle ay ang memory leak ay mababawasan at magkakaroon ng mas kaunting epekto para sa merchant (hindi na dapat nating tanggapin ang mga isyu sa memory leak.
Maaaring itakda ng Merchant ang oras ng pag-reboot mula sa opsyon sa terminal Menu sa 'Reboot Time'. Ang oras ng pag-reboot ay itinakda batay sa '24 na oras' na orasan at kukuha ng format na HH:MM.
Ang mekanismo ng Pag-reset ay idinisenyo upang matiyak ang pag-reset ng terminal kahit isang beses kada 24 na oras na tumatakbo. Upang matupad ang pangangailangang ito, tinukoy ang isang puwang ng oras, na tinatawag na "reset interval" na kinakatawan ng Temin at Tmax. Kinakatawan ng yugtong ito ang agwat ng oras kung saan pinapayagan ang pag-reset. Depende sa kaso ng negosyo, ang "pag-reset ng pagitan" ay na-customize sa panahon ng yugto ng pag-install ng terminal. Sa pamamagitan ng disenyo, ang panahong ito ay hindi maaaring mas maikli sa 30 minuto. Sa panahong ito, ang pag-reset ay nangyayari bawat araw 5 minuto mas maaga (sa T3) gaya ng ipinaliwanag ng diagram sa ibaba:

4.10 Pag-whitelist
Ang whitelisting ay isang pamamaraan upang matukoy na ang mga PAN na nakalista bilang isang whitelist ay pinapayagang ipakita sa malinaw na teksto. Gumagamit ang Viking ng 3 field para sa pagtukoy sa mga naka-whitelist na PAN na binabasa mula sa mga configuration na na-download mula sa terminal management system.
Kapag ang isang 'Watawat ng Pagsunod' sa Nets host ay nakatakda sa Y, ang impormasyon mula sa Nets Host o Sistema ng pamamahala ng Terminal ay dina-download sa terminal, kapag nagsimula ang terminal. Ang flag ng Pagsunod na ito ay ginagamit para sa pagtukoy sa mga naka-whitelist na PAN na binabasa mula sa dataset.
Tinutukoy ng flag ng 'Track2ECR' kung ang data ng Track2 ay pinapayagang pangasiwaan (ipinadala/natanggap) ng ECR para sa isang tinukoy na tagabigay. Depende sa halaga ng flag na ito, natutukoy kung ang data ng track2 ay dapat ipakita sa lokal na mode sa ECR.
Tinutukoy ng 'Print format field' kung paano ipapakita ang PAN. Ang mga card sa PCI scope ay magkakaroon ng nakatakdang format ng pag-print upang ipakita ang PAN sa pinutol/masked na anyo.

Authentication at Access Controls

5.1 Kontrol sa Pag-access
Ang Viking payment application ay walang user account o kaukulang password samakatuwid, ang Viking payment application ay exempt sa kinakailangang ito.

• ECR Integrated setup:
  Hindi posibleng ma-access ang mga uri ng transaksyon gaya ng Refund, Deposit at Reversal mula sa terminal menu upang gawing secure ang mga function na ito mula sa maling paggamit. Ito ang mga uri ng transaksyon kung saan nangyayari ang daloy ng pera mula sa account ng merchant patungo sa account ng cardholder. Responsibilidad ng merchant na tiyakin na ang ECR ay ginagamit lamang ng mga awtorisadong gumagamit.
• Standalone na setup:
  Ang access control ng Merchant card ay default na pinagana upang ma-access ang mga uri ng transaksyon gaya ng Refund, Deposito at Pagbabalik mula sa terminal menu upang gawing secure ang mga function na ito mula sa maling paggamit.
  Ang Viking terminal ay na-configure bilang default upang ma-secure ang mga opsyon sa menu, upang maiwasan ang hindi awtorisadong pag-access. Ang mga parameter para i-configure ang seguridad ng menu ay nasa ilalim ng Merchant Menu (naa-access gamit ang Merchant card) -> Mga Parameter -> Seguridad

Protektahan ang menu - Itakda sa 'Oo' bilang default.
Pinoprotektahan ang button ng menu sa terminal gamit ang configuration ng menu na Protektahan. Ang menu ay maa-access lamang ng Merchant gamit ang isang merchant card.

Protektahan ang pagbabalik - Itakda sa 'Oo' bilang default.
Ang pagbabalik ng isang transaksyon ay maaari lamang gawin ng merchant gamit ang merchant card upang ma-access ang reversal menu.

Protektahan ang pagkakasundo - Itakda sa 'Oo' bilang default
Ang opsyon para sa Reconciliation ay maa-access lang ng merchant gamit ang merchant card kapag ang proteksyong ito ay nakatakda sa true.

Protektahan ang Shortcut – Itakda sa 'Oo' bilang default
Shortcut menu na may mga opsyon para sa viewAng Impormasyon sa Terminal at opsyon para sa pag-update ng mga parameter ng Bluetooth ay magiging available lamang sa merchant kapag na-swipe ang merchant card.

5.2 Mga Kontrol sa Password
Ang Viking payment application ay walang user account o kaukulang password; samakatuwid, ang Viking application ay hindi kasama sa kinakailangang ito.

Pag-log

6.1 Paglalapat ng Merchant
Sa kasalukuyan, para sa aplikasyon ng pagbabayad sa Nets Viking, walang end-user, nako-configure na mga setting ng log ng PCI.
6.2 I-configure ang Mga Setting ng Log
Ang Viking payment application ay walang user account, kaya ang PCI compliant logging ay hindi naaangkop. Kahit na sa pinaka-verbose na transaksyon sa pag-log, ang Viking payment application ay hindi nag-log ng anumang sensitibong data ng pagpapatunay o data ng cardholder.
6.3 Central logging
Ang terminal ay may generic na mekanismo ng log. Kasama rin sa mekanismo ang pag-log ng paglikha at pagtanggal ng S/W executable.
Ang mga aktibidad sa pag-download ng S/W ay naka-log at maaaring ilipat sa Host nang manu-mano sa pamamagitan ng isang menu-choice sa terminal o sa kahilingan mula sa host na na-flag sa ordinaryong trapiko ng transaksyon. Kung nabigo ang pag-activate ng pag-download ng S/W dahil sa mga di-wastong digital na lagda sa natanggap files, ang insidente ay naka-log at inililipat sa Host nang awtomatiko at kaagad.
6.3.1 Paganahin ang trace Pag-log sa terminal
Upang paganahin ang trace logging:

1. Mag-swipe ng Merchant card.
2. Pagkatapos ay sa menu piliin ang "9 System menu".
3. Pagkatapos ay pumunta sa menu na "2 System Log".
4. I-type ang technician code, na makukuha mo sa pamamagitan ng pagtawag sa suporta ng Nets Merchant Service.
5. Piliin ang "8 Parameter".
6. Pagkatapos ay paganahin ang "Pag-log" sa "Oo".

6.3.2 Magpadala ng mga trace Log sa host
Upang magpadala ng mga trace log:

1. Pindutin ang Menu key sa terminal at pagkatapos ay I-swipe ang Merchant card.
2. Pagkatapos ay sa pangunahing menu piliin ang "7 Operator menu".
3. Pagkatapos ay piliin ang “5 Send Trace Logs” para magpadala ng mga trace log sa host.

6.3.3 Malayong trace logging
Nakatakda ang isang parameter sa Nets Host (PSP) na magpapagana/mag-disable sa trace logging functionality ng Terminal nang malayuan. Ang Nets Host ay magpapadala ng Trace enable/disable logging parameter sa Terminal sa Data set kasama ang nakaiskedyul na oras kung kailan mag-a-upload ang Terminal ng mga Trace log. Kapag natanggap ng terminal ang parameter ng Trace bilang pinagana, magsisimula itong kumuha ng mga Trace log at sa nakatakdang oras ay ia-upload nito ang lahat ng trace log at idi-disable ang pag-andar ng pag-log pagkatapos noon.
6.3.4 Malayong pag-log ng error
Palaging pinapagana ang mga log ng error sa terminal. Tulad ng pag-log ng bakas, isang parameter ang nakatakda sa Nets Host na magpapagana/mag-disable sa functionality ng error logging ng Terminal nang malayuan. Ang Nets Host ay magpapadala ng Trace enable/disable logging parameter sa Terminal sa Data set kasama ang nakaiskedyul na oras kung kailan mag-a-upload ang Terminal ng mga Error logs. Kapag natanggap ng terminal ang Error logging parameter bilang pinagana, magsisimula itong kumuha ng mga Error log at sa nakatakdang oras ay ia-upload nito ang lahat ng error logs at idi-disable ang logging functionality pagkatapos noon.

Mga Wireless na Network

7.1 Paglalapat ng Merchant

Viking payment terminal – MOVE 3500 at Link2500 ay may kakayahang kumonekta sa Wi-Fi network. Samakatuwid, para ligtas na maipatupad ang Wireless, dapat isaalang-alang kapag ini-install at kino-configure ang wireless network gaya ng nakadetalye sa ibaba.
7.2 Inirerekomendang Wireless Configuration
Maraming mga pagsasaalang-alang at hakbang na dapat gawin kapag nagko-configure ng mga wireless network na nakakonekta sa panloob na network.
Hindi bababa sa, ang mga sumusunod na setting at configuration ay dapat na nasa lugar:

• Ang lahat ng mga wireless network ay dapat na naka-segment gamit ang isang firewall; kung ang mga koneksyon sa pagitan ng wireless network at ng cardholder data environment ay kinakailangan ang access ay dapat na kontrolado at secure ng firewall.
• Baguhin ang default na SSID at huwag paganahin ang SSID broadcast
• Baguhin ang mga default na password para sa mga wireless na koneksyon at wireless access point, kabilang dito ang console access pati na rin ang mga string ng komunidad ng SNMP
• Baguhin ang anumang iba pang mga default na seguridad na ibinigay o itinakda ng vendor
• Tiyakin na ang mga wireless access point ay na-update sa pinakabagong firmware
• Gumamit lamang ng WPA o WPA2 na may malalakas na key, ipinagbabawal ang WEP at hindi kailanman dapat gamitin
• Baguhin ang WPA/WPA2 key sa pag-install gayundin sa regular na batayan at sa tuwing aalis sa kumpanya ang isang taong may kaalaman sa mga key

Segmentation ng Network

8.1 Paglalapat ng Merchant
Ang Viking payment application ay hindi isang server-based na application ng pagbabayad at naninirahan sa isang terminal. Para sa kadahilanang ito, ang aplikasyon sa pagbabayad ay hindi nangangailangan ng anumang pagsasaayos upang matugunan ang kinakailangang ito.
Para sa pangkalahatang kaalaman ng merchant, hindi maiimbak ang data ng credit card sa mga system na direktang konektado sa Internet. Para kay example, web ang mga server at database server ay hindi dapat i-install sa parehong server. Ang isang demilitarized zone (DMZ) ay dapat mag-set up upang i-segment ang network upang ang mga makina lamang sa DMZ ang maa-access ng Internet.

Malayong Pag-access

9.1 Paglalapat ng Merchant
Ang Viking payment application ay hindi ma-access nang malayuan. Nangyayari lamang ang malayuang suporta sa pagitan ng isang miyembro ng kawani ng suporta ng Nets at ng merchant sa telepono o sa pamamagitan ng Nets nang direkta sa site kasama ang merchant.

Pagpapadala ng Sensitibong data

10.1 Pagpapadala ng Sensitibong data
Sinisiguro ng Viking payment application ang sensitibong data at/o data ng cardholder sa transit sa pamamagitan ng paggamit ng message-level encryption gamit ang 3DES-DUKPT (112 bits) para sa lahat ng transmission (kabilang ang mga pampublikong network). Security Protocols para sa mga IP na komunikasyon mula sa Viking application hanggang sa Host ay hindi kinakailangan dahil ang message-level encryption ay ipinatupad gamit ang 3DES-DUKPT (112-bits) gaya ng inilarawan sa itaas. Tinitiyak ng scheme ng pag-encrypt na ito na kahit na naharang ang mga transaksyon, hindi ito mababago o makompromiso sa anumang paraan kung mananatiling itinuturing ang 3DES-DUKPT (112-bits) bilang malakas na pag-encrypt. Ayon sa DUKPT key management scheme, ang 3DES key na ginamit ay natatangi sa bawat transaksyon.
10.2 Pagbabahagi ng Sensitibong data sa ibang software
Ang application ng pagbabayad ng Viking ay hindi nagbibigay ng anumang (mga) lohikal na interface/API upang paganahin ang pagbabahagi ng data ng cleartext account nang direkta sa ibang software. Walang sensitibong data o data ng cleartext na account na ibinabahagi sa iba pang software sa pamamagitan ng mga nakalantad na API.

10.3 Email at Sensitibong data
Ang application ng pagbabayad ng Viking ay hindi katutubong sumusuporta sa pagpapadala ng email.
10.4 Non-Console Administrative Access
Hindi sinusuportahan ng Viking ang administratibong access na hindi Console.
Gayunpaman, para sa pangkalahatang kaalaman ng merchant, ang hindi-Console na administratibong pag-access ay dapat gumamit ng alinman sa SSH, VPN, o TLS para sa pag-encrypt ng lahat ng hindi-console na administratibong pag-access sa mga server sa kapaligiran ng data ng cardholder. Ang Telnet o iba pang hindi naka-encrypt na paraan ng pag-access ay hindi dapat gamitin.

Pamamaraan ng Pag-bersyon ng Viking

Ang pamamaraan ng pag-bersyon ng Nets ay binubuo ng tatlong bahagi na numero ng bersyon ng S/W: a.bb.c
kung saan ang 'a' ay madaragdagan kapag ang mga pagbabago sa mataas na epekto ay ginawa ayon sa PCI-Secure Software Standard.
a – pangunahing bersyon (1 digit)
Ang 'bb' ay madadagdagan kapag ginawa ang mababang epekto na binalak na mga pagbabago alinsunod sa PCI-Secure Software Standard.
bb – menor de edad na bersyon (2 digit)
Ang 'c' ay madadagdagan kapag ang mga pagbabago sa patch na may mababang epekto ay ginawa ayon sa PCI-Secure Software Standard.
c – menor de edad na bersyon (1 digit)
Ang Viking payment application S/W version number ay ipinapakita nang ganito sa terminal screen kapag ang terminal ay pinaandar: 'abbc'

• Ang isang update mula sa hal, 1.00.0 hanggang 2.00.0 ay isang makabuluhang functional update. Maaaring kabilang dito ang mga pagbabagong may epekto sa seguridad o mga kinakailangan sa PCI Secure Software Standard.
• Ang isang update mula sa hal, 1.00.0 hanggang 1.01.0 ay isang hindi makabuluhang pag-update sa pagganap. Maaaring hindi kasama ang mga pagbabagong may epekto sa seguridad o mga kinakailangan sa PCI Secure Software Standard.
• Ang isang update mula sa hal, 1.00.0 hanggang 1.00.1 ay isang hindi makabuluhang pag-update sa pagganap. Maaaring hindi kasama ang mga pagbabagong may epekto sa seguridad o mga kinakailangan sa PCI Secure Software Standard.

Ang lahat ng mga pagbabago ay kinakatawan sa sequential numeric order.

Mga tagubilin tungkol sa Secure na Pag-install ng mga Patch at Update.

Ligtas na naghahatid ang Nets ng mga update sa mga application ng malayuang pagbabayad. Nagaganap ang mga update na ito sa parehong channel ng komunikasyon gaya ng mga secure na transaksyon sa pagbabayad, at hindi kinakailangan ng merchant na gumawa ng anumang mga pagbabago sa landas ng komunikasyon na ito para sa pagsunod.
Kapag may patch, ia-update ng Nets ang bersyon ng patch sa Nets Host. Makukuha ng Merchant ang mga patch sa pamamagitan ng awtomatikong kahilingan sa pag-download ng S/W, o maaari ring simulan ng merchant ang pag-download ng software mula sa terminal menu.
Para sa pangkalahatang impormasyon, dapat bumuo ang mga merchant ng isang katanggap-tanggap na patakaran sa paggamit para sa mga kritikal na teknolohiyang kinakaharap ng empleyado, alinsunod sa mga alituntunin sa ibaba para sa VPN o iba pang mga high-speed na koneksyon, ang mga update ay natatanggap sa pamamagitan ng firewall o personnel firewall.
Ang Nets host ay magagamit alinman sa pamamagitan ng internet gamit ang secure na access o sa pamamagitan ng isang saradong network. Sa saradong network, ang network provider ay may direktang koneksyon sa aming host environment na inaalok mula sa kanilang network provider. Ang mga terminal ay pinamamahalaan sa pamamagitan ng Nets terminal management services. Ang serbisyo sa pamamahala ng terminal ay tumutukoy para sa halampsa rehiyon kung saan nabibilang ang terminal at ginagamit ang nakakuha. Ang pamamahala ng terminal ay responsable din sa pag-upgrade ng terminal software nang malayuan sa network. Tinitiyak ng Nets na nakumpleto ng software na na-upload sa terminal ang mga kinakailangang sertipikasyon.
Inirerekomenda ng Nets ang mga check point sa lahat ng mga customer nito upang matiyak ang ligtas at secure na mga pagbabayad tulad ng nakalista sa ibaba:

1. Panatilihin ang isang listahan ng lahat ng mga terminal ng pagbabayad sa pagpapatakbo at kumuha ng mga larawan mula sa lahat ng dimensyon para malaman mo kung ano ang dapat na hitsura ng mga ito.
2. Maghanap ng mga halatang palatandaan ng tamptulad ng mga sirang seal sa mga access cover plate o turnilyo, kakaiba o ibang paglalagay ng kable o isang bagong hardware device na hindi mo makikilala.
3. Protektahan ang iyong mga terminal mula sa abot ng customer kapag hindi ginagamit. Siyasatin ang iyong mga terminal ng pagbabayad araw-araw at iba pang mga device na nakakabasa ng mga card sa pagbabayad.
4. Dapat mong suriin ang pagkakakilanlan ng mga tauhan ng pagkumpuni kung inaasahan mo ang anumang pagkukumpuni sa terminal ng pagbabayad.
5. Tumawag kaagad sa Nets o sa iyong bangko kung pinaghihinalaan mo ang anumang hindi halatang aktibidad.
6. Kung naniniwala ka na ang iyong POS device ay mahina sa pagnanakaw, may mga service cradle at secure na harness at tether na magagamit para bilhin nang komersyal. Maaaring sulit na isaalang-alang ang kanilang paggamit.

Mga Update sa Paglabas ng Viking

Ang Viking software ay inilabas sa mga sumusunod na cycle ng release (napapailalim sa mga pagbabago):

• 2 pangunahing paglabas taun-taon
• 2 minor release taun-taon
• Mga patch ng software, kung kinakailangan, (halimbawa, dahil sa anumang kritikal na isyu sa bug/kahinaan). Kung ang isang release ay gumagana sa field at ang ilang (mga) kritikal na isyu ay iniulat, pagkatapos ay isang software patch na may pag-aayos ay inaasahang ilalabas sa loob ng isang buwan.

Aabisuhan ang mga merchant tungkol sa mga release (major/minor/patch) sa pamamagitan ng mga email na direktang ipapadala sa kani-kanilang email address. Maglalaman din ang email ng mga pangunahing highlight ng release at release na mga tala.
Maa-access din ng mga mangangalakal ang mga tala sa paglabas na ia-upload sa: Mga tala sa paglabas ng software (nets.eu)
Ang mga release ng Viking Software ay nilagdaan gamit ang tool ng pag-awit ng Ingenico para sa mga terminal ng Tetra. Ang nilagdaang software lamang ang maaaring i-load sa terminal.

Hindi Naaangkop na mga kinakailangan

Ang seksyong ito ay nagtataglay ng isang listahan ng mga kinakailangan sa PCI-Secure Software Standard na na-assess bilang 'Hindi Naaangkop' sa application ng pagbabayad ng Viking at ang katwiran para dito.

PCI Secure Software Standard CO	Aktibidad	Katwiran para sa pagiging 'Hindi naaangkop'
5.3	Ang mga paraan ng pagpapatotoo (kabilang ang mga kredensyal ng session) ay sapat na malakas at matatag upang maprotektahan ang mga kredensyal sa pagpapatotoo mula sa pekeng, spoofed, leaked, hulaan, o iwasan.	Gumagana ang Viking payment application sa PCI na inaprubahang PTS POI device. Hindi nag-aalok ang Viking payment application ng lokal, non-console o remote na pag-access, o antas ng mga pribilehiyo, kaya walang mga kredensyal sa pagpapatunay sa PTS POI device. Ang Viking payment application ay hindi nagbibigay ng mga setting para pamahalaan o bumuo ng mga user ID at hindi nagbibigay ng anumang lokal, hindi console, o malayuang access sa mga kritikal na asset (kahit para sa mga layunin ng pag-debug).
5.4	Bilang default, ang lahat ng access sa mga kritikal na asset ay pinaghihigpitan lamang sa mga account at serbisyong nangangailangan ng ganoong access.	Gumagana ang Viking payment application sa PCI na inaprubahang PTS POI device. Ang Viking payment application ay hindi nagbibigay ng mga setting para pamahalaan o bumuo ng mga account o serbisyo.
7.3	Ang lahat ng mga random na numero na ginamit ng software ay nabuo gamit lamang ang mga aprubadong random number generation (RNG) algorithm o library. Ang mga aprubadong RNG algorithm o mga aklatan ay yaong nakakatugon sa mga pamantayan ng industriya para sa sapat na hindi mahuhulaan (hal., NIST Special Publication 800-22).	Ang application ng pagbabayad ng Viking ay hindi gumagamit ng anumang RNG (random number generator) para sa mga function ng pag-encrypt nito. Ang application ng pagbabayad ng Viking ay hindi bumubuo o gumagamit ng anumang mga random na numero para sa mga cryptographic function.
7.4	Ang mga random na halaga ay may entropy na nakakatugon sa pinakamababang epektibong kinakailangan ng lakas ng cryptographic primitives at mga key na umaasa sa kanila.	Ang application ng pagbabayad ng Viking ay hindi gumagamit ng anumang RNG (random number generator) para sa mga function ng pag-encrypt nito. Ang application ng pagbabayad ng Viking ay hindi bumubuo o gumagamit ng anumang mga random na numero para sa mga cryptographic function.
8.1	Ang lahat ng mga pagtatangka sa pag-access at paggamit ng mga kritikal na asset ay sinusubaybayan at masusubaybayan sa isang natatanging indibidwal.	Gumagana ang Viking payment application sa mga inaprubahang PCI na PTS POI device, kung saan nangyayari ang lahat ng kritikal na pangangasiwa ng asset, at tinitiyak ng PTS POI firmware ang pagiging kumpidensyal at integridad ng sensitibong data habang naka-imbak sa loob ng PTS POI device. Ang pagiging kompidensiyal, integridad at katatagan ng sensitibong function ng Viking payment application ay pinoprotektahan at ibinibigay ng PTS POI firmware. Pinipigilan ng PTS POI firmware ang anumang pag-access sa mga kritikal na asset sa labas ng terminal at umaasa sa anti-tampering features. Ang Viking payment application ay hindi nag-aalok ng lokal, non-console o remote na pag-access, o antas ng mga pribilehiyo, kaya walang tao o iba pang mga system na may access sa mga kritikal na asset, tanging ang Viking payment application ang makakahawak ng mga kritikal na asset
8.2	Kinukuha ang lahat ng aktibidad sa sapat at kinakailangang detalye upang tumpak na ilarawan kung anong mga partikular na aktibidad ang isinagawa, sino ang nagsagawa ng mga ito, ang oras na ginawa ang mga ito, at kung aling mga kritikal na asset ang naapektuhan.	Ang application ng pagbabayad sa Viking ay tumatakbo sa mga inaprubahang PCI na PTS POI device. Ang Viking payment application ay hindi nag-aalok ng lokal, non-console o remote na pag-access, o antas ng mga pribilehiyo, kaya walang tao o iba pang mga system na may access sa mga kritikal na asset, tanging ang Viking payment application lang ang makakahawak ng mga kritikal na asset. • Ang application ng pagbabayad ng Viking ay hindi nagbibigay ng mga privilege mode ng operasyon. • Walang mga function upang huwag paganahin ang pag-encrypt ng sensitibong data • Walang mga function para sa pag-decryption ng sensitibong data • Walang mga function para sa pag-export ng sensitibong data sa ibang mga system o proseso • Walang mga tampok na pagpapatunay na sinusuportahan Mga kontrol sa seguridad at hindi maaaring hindi paganahin o tanggalin ang pagpapaandar ng seguridad.
8.3	Sinusuportahan ng software ang secure na pagpapanatili ng detalyado aktibidad mga tala.	Ang application ng pagbabayad sa Viking ay tumatakbo sa mga inaprubahang PCI na PTS POI device. Ang Viking payment application ay hindi nag-aalok ng lokal, non-console o remote na pag-access, o antas ng mga pribilehiyo, kaya walang tao o iba pang mga system na may access sa mga kritikal na asset, tanging ang Viking payment application lang ang makakahawak ng mga kritikal na asset. • Ang application ng pagbabayad ng Viking ay hindi nagbibigay ng mga privilege mode ng operasyon. • Walang mga function upang huwag paganahin ang pag-encrypt ng sensitibong data • Walang mga function para sa pag-decryption ng sensitibong data • Walang mga function para sa pag-export ng sensitibong data sa ibang mga system o proseso • Walang mga tampok na pagpapatunay na sinusuportahan Mga kontrol sa seguridad at hindi maaaring hindi paganahin o tanggalin ang pagpapaandar ng seguridad.
8.4	Pinangangasiwaan ng software ang mga pagkabigo sa mga mekanismo ng pagsubaybay sa aktibidad upang mapangalagaan ang integridad ng mga kasalukuyang talaan ng aktibidad.	Ang application ng pagbabayad sa Viking ay tumatakbo sa mga inaprubahang PCI na PTS POI device. Ang Viking payment application ay hindi nag-aalok ng lokal, non-console o remote na pag-access, o antas ng mga pribilehiyo, kaya walang tao o iba pang mga system na may access sa mga kritikal na asset, tanging ang Viking application ang makakahawak ng mga kritikal na asset. • Ang application ng pagbabayad ng Viking ay hindi nagbibigay ng mga privilege mode ng operasyon. • Walang mga function upang huwag paganahin ang pag-encrypt ng sensitibong data • Walang mga function para sa pag-decryption ng sensitibong data | • Walang mga function para sa pag-export ng sensitibong data sa ibang mga system o proseso • Walang sinusuportahang mga tampok sa pagpapatunay • Ang mga kontrol sa seguridad at pagpapaandar ng seguridad ay hindi maaaring hindi paganahin o tanggalin.
B.1.3	Ang vendor ng software ay nagpapanatili ng dokumentasyon na naglalarawan sa lahat ng maaaring i-configure na opsyon makakaapekto sa seguridad ng sensitibong data.	Ang application ng pagbabayad sa Viking ay tumatakbo sa mga inaprubahang PCI na PTS POI device. Ang Viking payment application ay hindi nagbibigay ng alinman sa mga sumusunod sa mga end user: • nako-configure na opsyon para ma-access ang sensitibong data • nako-configure na opsyon upang baguhin ang mga mekanismo para protektahan ang sensitibong data • malayuang pag-access sa application • malayuang pag-update ng application • opsyon na maaaring i-configure upang baguhin ang mga default na setting ng application
B.2.4	Ang software ay gumagamit lamang ng random na numero (mga) generation function na kasama sa pagbabayad pagsusuri ng aparato ng PTS ng terminal para sa lahat ng cryptographic mga operasyong kinasasangkutan ng sensitibong data o mga sensitibong function kung saan kinakailangan ang mga random na halaga at hindi nagpapatupad ng sarili nitong random number generation function(s).	Hindi gumagamit ang Viking ng anumang RNG (random number generator) para sa mga function ng pag-encrypt nito. Ang Viking application ay hindi bumubuo o gumagamit ng anumang random na numero para sa cryptographic function.
B.2.9	Ang integridad ng prompt ng software files ay protektado alinsunod sa Control Objective B.2.8.	Lahat ng prompt display sa Viking terminal ay naka-encode sa application at walang prompt files ay naroroon sa labas ng aplikasyon. Walang prompt fileSa labas ng application ng pagbabayad ng Viking ay umiiral, ang lahat ng kinakailangang impormasyon ay nabuo ng application.
B.5.1.5	Kasama sa gabay sa pagpapatupad ang mga tagubilin para sa mga stakeholder na pirmahan ng cryptographic ang lahat ng prompt files.	Ang lahat ng mga prompt na ipinapakita sa Viking terminal ay naka-encode sa application at walang prompt files ay naroroon sa labas ng aplikasyon. Walang prompt fileSa labas ng application ng pagbabayad ng Viking ay umiiral, ang lahat ng kinakailangang impormasyon ay nabuo ng application

Sanggunian ng Mga Karaniwang Kinakailangan sa PCI Secure Software

Mga kabanata sa dokumentong ito	PCI Secure Software Standard na Kinakailangan	Mga kinakailangan sa PCI DSS
2. Aplikasyon ng Secure na Pagbabayad	B.2.1 6.1 12.1 12.1.b	2.2.3
3. Mga Secure na Remote na Software Update	11.1 11.2 12.1	1&12.3.9 2, 8, at 10
4. Secure na Pagtanggal ng Sensitibong Data at Proteksyon ng Nakaimbak na Data ng May-ari ng Card	3.2 3.4 3.5 A.2.1 A.2.3 B.1.2a	3.2 3.2 3.1 3.3 3.4 3.5 3.6
Authentication at Access Controls	5.1 5.2 5.3 5.4	8.1 at 8.2 8.1 at 8.2
Pag-log	3.6 8.1 8.3	10.1 10.5.3
Wireless Network	4.1	1.2.3 at 2.1.1 4.1.1 1.2.3, 2.1.1,4.1.1
Segmentation ng Network	4.1c	1.3.7
Malayong Pag-access	B.1.3	8.3
Paghahatid ng Data ng May-ari ng Card	A.2.1 A.2.3	4.1 4.2 2.3 8.3
Pamamaraan ng Pag-bersyon ng Viking	11.2 12.1.b
Mga tagubilin para sa mga customer tungkol sa secure na pag-install ng mga patch at update.	11.1 11.2 12.1

Glosaryo ng Mga Tuntunin

TERM	DEPINISYON
Data ng cardholder	Buong magnetic stripe o ang PAN kasama ang alinman sa mga sumusunod: · Pangalan ng cardholder · Petsa ng pagkawalang bisa · Serbisyo Code
DUKPT	Ang Derived Unique Key Per Transaction (DUKPT) ay isang key management scheme kung saan para sa bawat transaksyon, isang natatanging key ang ginagamit na hinango mula sa isang fixed key. Samakatuwid, kung ang isang nagmula na susi ay nakompromiso, ang hinaharap at nakaraang data ng transaksyon ay protektado pa rin dahil ang susunod o naunang mga susi ay hindi madaling matukoy.
3DES	Sa cryptography, ang Triple DES (3DES o TDES), opisyal na ang Triple Data Encryption Algorithm (TDEA o Triple DEA), ay isang symmetric-key block cipher, na inilalapat ang DES cipher algorithm nang tatlong beses sa bawat bloke ng data.
mangangalakal	Ang end user at bumibili ng produkto ng Viking.
SSF	Ang PCI Software Security Framework (SSF) ay isang koleksyon ng mga pamantayan at programa para sa secure na disenyo at pagbuo ng software sa pagbabayad. Ang seguridad ng software sa pagbabayad ay isang mahalagang bahagi ng daloy ng transaksyon sa pagbabayad at ito ay mahalaga upang mapadali ang maaasahan at tumpak na mga transaksyon sa pagbabayad.
PA-QSA	Aplikasyon sa Pagbabayad Kwalipikadong Mga Tagasuri ng Seguridad. Ang kumpanya ng QSA na nagbibigay ng mga serbisyo sa mga vendor ng application ng pagbabayad upang patunayan ang mga aplikasyon ng pagbabayad ng mga vendor.
MAlungkot (Sensitibong Data ng Pagpapatotoo)	Ang impormasyong nauugnay sa seguridad (Mga Code/Halaga ng Pagpapatunay ng Card, kumpletong data ng track, mga PIN, at Mga PIN Block) na ginagamit upang patotohanan ang mga may hawak ng card, na lumalabas sa plaintext o kung hindi man ay hindi protektadong anyo. Ang pagsisiwalat, pagbabago, o pagsira ng impormasyong ito ay maaaring makompromiso ang seguridad ng isang cryptographic device, information system, o impormasyon ng cardholder o maaaring magamit sa isang mapanlinlang na transaksyon. Ang Sensitive Authentication Data ay hindi dapat itago kapag tapos na ang isang transaksyon.
Viking	Ang software platform na ginagamit ng Nets para sa pagbuo ng application para sa European market.
HSM	Module ng seguridad ng hardware

Control ng Dokumento

May-akda ng Dokumento, Reviewers at Approver

Paglalarawan	Function	Pangalan
PA-QSA	Reviewer	Claudio Adamic / Flavio Bonfiglio Shorans
Pag-unlad	May-akda	Nataranta si Aruna
Compliance Manager	Reviewer at Approver	Arno Edstrom
Arkitekto ng System	Reviewer at Approver	Shamsher Singh
QA	Reviewer at Approver	Varun Shukla
May-ari ng Produkto	Reviewer at Approver	Cecilia Jensen Tyldum / Arti Kangas
Tagapamahala ng Produkto	Reviewer at Approver	May-Britt Dens tad Sanderson's
Manager ng Engineering	Manager	Tamely Vallone

Buod ng mga Pagbabago

Bersyon Numero	Bersyon Petsa	Kalikasan ng Pagbabago	Baguhin ang Author	Reviewer	Rebisyon Tag	Petsa ng Pag-apruba
1.0	03-08-2022	Unang Bersyon para sa PCI-Secure Pamantayan ng Software	Nataranta si Aruna	Shamsher Singh		18-08-22
1.0	15-09-2022	Na-update ang seksyon 14 na may hindi naaangkop na mga layunin ng kontrol sa kanilang katwiran	Nataranta si Aruna	Shamsher Singh		29-09-22
1.1	20-12-2022	Nai-update na mga seksyon 2.1.2 at 2.2 na may Self4000. Inalis ang Link2500 (bersyon ng PTS 4.x) mula sa sinusuportahang listahan ng terminal	Nataranta si Aruna	Shamsher Singh		23-12-22
1.1	05-01-2023	Na-update ang seksyon 2.2 na may Link2500 (pts v4) para sa pagpapatuloy ng suporta para dito uri ng terminal.	Nataranta si Aruna	Shamsher Singh		05-01-23
1.2	20-03-2023	Na-update ang seksyon 2.1.1 kasama ang Latvian at Lithuanian terminal profiles. At 2.1.2 na may suporta sa uri ng komunikasyon ng BT-iOS	Nataranta si Aruna	Shamsher Singh

Listahan ng Pamamahagi

Pangalan	Function
Departamento ng Terminal	Pagbuo, Pagsubok, Pamamahala ng Proyekto, Pagsunod
Pamamahala ng Produkto	Koponan sa Pamamahala ng Produkto ng Terminal, Tagapamahala ng Pagsunod – Produkto

Mga Pag-apruba ng Dokumento

Pangalan	Function
Cecilia Jensen Tyldum	May-ari ng Produkto
Arti Kangas	May-ari ng Produkto

Dokumento Review Mga plano
Ang dokumentong ito ay mulingviewed at na-update, kung kinakailangan, gaya ng tinukoy sa ibaba:

• Kung kinakailangan upang itama o mapahusay ang nilalaman ng impormasyon
• Sumusunod sa anumang pagbabago sa organisasyon o muling pagsasaayos
• Kasunod ng taunang review
• Kasunod ng pagsasamantala sa isang kahinaan
• Pagsunod sa bagong impormasyon / kinakailangan tungkol sa mga kaugnay na kahinaan

Mga Dokumento / Mga Mapagkukunan

	Nets PCI Secure Software Standard [pdf] Gabay sa Gumagamit PCI Secure Software Standard, Secure Software Standard, Software Standard, Standard
	Nets PCI Secure Software Standard [pdf] Gabay sa Gumagamit PCI Secure Software Standard, Secure Software Standard, Software Standard, Standard

Mga sanggunian

• User Manual