Kart verisini işleyen, ileten veya saklayan her kuruluş için PCI DSS, güvenlik programının omurgasını oluşturur. v4.0 ile başlayan dönüşüm, v4.0.1 sürümü ve 31 Mart 2025'te zorunlu hâle gelen yeni gereksinimlerle olgunlaştı. Bu yazıda ödeme kuruluşları, üye iş yerleri ve hizmet sağlayıcılar açısından öne çıkan değişiklikleri ve uyum için pratik adımları özetliyoruz.

Kısa zaman çizelgesi

  • PCI DSS v4.0 Mart 2022'de yayımlandı; önceki sürüm v3.2.1, 31 Mart 2024'te kullanımdan kaldırıldı.
  • PCI Security Standards Council (PCI SSC), v4.0.1'i Haziran 2024'te yayımladı. Bu sınırlı revizyon yeni gereksinim eklemedi ya da mevcut gereksinimleri kaldırmadı; biçim ve yazım hatalarını düzeltti, bazı gereksinimlerin amacını ve rehberliğini netleştirdi.
  • v4.0, 31 Aralık 2024'te emekliye ayrıldı; bu tarihten itibaren desteklenen tek sürüm v4.0.1 oldu.
  • v4.0 ile gelen 64 yeni gereksinimden 51'i ileri tarihli olarak tanımlanmıştı ve 31 Mart 2025 itibarıyla zorunlu hâle geldi.
  • PCI SSC, Haziran 2026'da standardın bir sonraki sürümüne hazırlık amacıyla v4.0.1 hakkında paydaş görüşü toplamaya başladı. Yeni bir sürüm yayımlanana kadar referans alınacak metin v4.0.1'dir.

Pratikte bu takvimin anlamı şudur: 31 Mart 2025'ten sonra yapılan değerlendirmelerde ileri tarihli gereksinimler artık bir iyi uygulama önerisi olarak değil, zorunlu gereksinim olarak ele alınır. Uyum raporlarının ve kanıt setlerinin buna göre güncellenmiş olması beklenir.

Öne çıkan yeni gereksinimler

Kimlik doğrulama ve erişim

  • Kart sahibi veri ortamına (CDE) yapılan tüm erişimlerde çok faktörlü kimlik doğrulama (8.4.2) ve bu sistemlerin doğru yapılandırılması (8.5.1)
  • Parolanın kimlik doğrulama faktörü olarak kullanıldığı durumlarda asgari karmaşıklık gereklilikleri (8.3.6)
  • Sistem ve uygulama hesaplarının etkileşimli oturum açma kullanımının yönetilmesi (8.6.1) ve erişim haklarının uygun şekilde atanıp gözden geçirilmesi (7.2.4, 7.2.5)

E-ticaret ve ödeme sayfaları

E-skimming saldırılarına karşı getirilen iki gereksinim, e-ticaret tarafında gündemi belirledi: tüketicinin tarayıcısında yüklenen ve çalışan tüm ödeme sayfası betiklerinin yetkilendirilmesi, bütünlüğünün doğrulanması ve envanterinin tutulması (6.4.3) ile ödeme sayfalarındaki yetkisiz değişiklikleri tespit eden bir değişiklik ve kurcalama tespit mekanizması (11.6.1). Herkese açık web uygulamalarına yönelik saldırıları sürekli tespit edip engelleyen otomatik bir teknik çözüm (6.4.2) de artık zorunlu gereksinimler arasında.

PCI SSC, Ocak 2025'te yayımladığı güncellemeyle 6.4.3 ve 11.6.1 gereksinimlerini SAQ A'dan çıkardı; bunun yerine üye iş yerinin, sitesinin e-ticaret sistemlerini etkileyebilecek betik saldırılarına karşı korunaklı olduğunu teyit etmesini uygunluk kriteri olarak ekledi. Bu gereksinimlerin standardın kendisinden çıkarılmadığını, yalnızca SAQ A kapsamında farklı ele alındığını hatırlatmak gerekir.

Risk yönetimi ve izleme

  • Sıklık konusunda esneklik tanıyan her gereksinim için belgelenmiş hedefli risk analizi (12.3.1)
  • Kullanılan şifreleme paketleri ve protokollerin belgelenmesi ve gözden geçirilmesi (12.3.3)
  • Denetim kaydı incelemelerinin otomatikleştirilmesi (10.4.1.1) ve kritik güvenlik kontrollerindeki arızaların hızla tespit edilip giderilmesi (10.7.2)
  • İç zafiyet taramalarının kimlik doğrulamalı olarak yapılması (11.3.1.2)
  • Personeli oltalama saldırılarına karşı koruyan mekanizmalar (5.4.1) ve farkındalık eğitimlerinde güncel tehditlere yer verilmesi (12.6.3.1)

Veri koruma

  • Yetkilendirme tamamlanmadan önce elektronik olarak saklanan hassas kimlik doğrulama verilerinin güçlü kriptografiyle şifrelenmesi (3.3.2)
  • Kart numarasını (PAN) okunamaz kılmak için özet fonksiyonu kullanılıyorsa, bunun PAN'ın tamamı üzerinde anahtarlı kriptografik özet olması (3.5.1.1)
  • Uzaktan erişim teknolojilerinde PAN'ın kopyalanmasını veya taşınmasını önleyen teknik kontroller (3.4.2)
  • Beklenmeyen bir yerde PAN tespit edildiğinde olay müdahale prosedürlerinin devreye alınması (12.10.7)

Hizmet sağlayıcılara özel

Hizmet sağlayıcıların PCI DSS kapsamını en az altı ayda bir ve önemli değişikliklerden sonra belgelemesi ve teyit etmesi (12.5.2.1) gerekir. Çok kiracılı hizmet sağlayıcılar için ise mantıksal ayrımın sızma testleriyle doğrulanmasına yönelik ek gereksinimler bulunur. Hizmet sağlayıcılarla çalışan üye iş yerlerinin ve ödeme kuruluşlarının da hangi gereksinimin hangi tarafça karşılandığını gösteren güncel bir sorumluluk matrisi talep etmesi önerilir.

Uygulamada sık karşılaşılan zorluklar

  • Üçüncü taraf betikler: Analitik, pazarlama ve canlı destek araçlarının ödeme sayfasına yüklediği betiklerin envanterini çıkarmak ve her birinin gerekçesini belgelemek zaman alır.
  • Hedefli risk analizlerinin kalitesi: Şablon metinlerle hazırlanan analizler, sıklık tercihlerini gerçekten gerekçelendirmediği için değerlendirmede sorun yaratabilir.
  • Servis hesapları: Uygulama ve sistem hesaplarının sahipliği, parola yönetimi ve etkileşimli kullanım kısıtları çoğu zaman dağınık biçimde yönetilir.
  • Kapsam kayması: Yeni entegrasyonlar ve bulut servisleri, kart verisi ortamının sınırlarını fark edilmeden genişletebilir.
  • Kanıt sürekliliği: Otomatik kayıt incelemesi ve kontrol arızalarının takibi gibi gereksinimler, yıl boyunca düzenli kayıt üretilmesini gerektirir.

Uyum için pratik yol haritası

  1. Kapsamı yeniden doğrulayın: Kart verisi akışlarını, üçüncü taraf bileşenleri ve bağlantılı sistemleri güncel bir veri akış şemasıyla belgeleyin.
  2. Boşluk analizi yapın: 31 Mart 2025'te zorunlu hâle gelen gereksinimleri mevcut kontrollerinizle tek tek eşleştirin.
  3. Hedefli risk analizlerini tamamlayın: Esnek sıklık tanıyan her kontrol için gerekçeli ve onaylı analizler hazırlayın.
  4. Ödeme sayfalarını ele alın: Betik envanteri, yetkilendirme süreci, bütünlük kontrolü ve değişiklik tespit mekanizması kurun; SAQ A kullanıyorsanız yeni uygunluk kriterini nasıl karşıladığınızı belgeleyin.
  5. Kimlik ve erişim yönetimini güçlendirin: CDE'ye yapılan tüm erişimlerde çok faktörlü doğrulamayı ve servis hesaplarının yönetimini gözden geçirin.
  6. Kanıt üretimini sürekli hâle getirin: Yıllık değerlendirmeden hemen önce değil, yıl boyunca kanıt üreten bir süreç tasarlayın.
  7. Ekipleri hazırlayın: Geliştirme, operasyon ve güvenlik ekiplerinin yeni gereksinimlerdeki sorumluluklarını netleştirin; ödeme sayfalarında değişiklik yapan herkesin betik onay sürecini bilmesini sağlayın.

Türkiye'deki düzenlemelerle birlikte düşünmek

PCI DSS bir kanun değil; kart şemalarının ve iş ortaklarının sözleşmeler yoluyla aradığı bir sektör standardıdır. Türkiye'de faaliyet gösteren ödeme ve elektronik para kuruluşları için ise TCMB'nin bilgi sistemlerine ilişkin düzenlemeleri, KVKK ve MASAK mevzuatı ayrıca uygulanır. Bu çerçevelerdeki kontrolleri tek bir kontrol kütüphanesinde eşleştirmek, mükerrer çalışmayı azaltır ve denetim hazırlığını kolaylaştırır. Örneğin güçlü kimlik doğrulama, sızma testi ve iş sürekliliği gibi başlıklarda TCMB düzenlemeleri ile PCI DSS'in ilgili kontrolleri önemli ölçüde örtüşür; doğru kurgulanmış tek bir kanıt, birden fazla çerçeve için kullanılabilir.

Kısacası: v4.0.1 yeni gereksinim getirmedi; ancak 31 Mart 2025'te zorunlu hâle gelen gereksinimler, PCI DSS uyumunu yıllık bir denetim projesinden sürekli işleyen bir güvenlik programına dönüştürdü.

Sonuç

Kart verisi güvenliği, ödeme ekosisteminde güvenin ön koşuludur. PCI DSS v4.0.1 gerekliliklerini TCMB, KVKK ve MASAK yükümlülükleriyle birlikte ele alan bütünleşik bir yaklaşım, hem riskleri hem de uyum maliyetini azaltır. Risk ve Uyumluluk Yönetimi hizmetimiz kapsamında boşluk analizi, yol haritası ve kanıt yönetimi süreçlerinde destek sağlıyoruz; ihtiyaçlarınızı paylaşmak için ön görüşme talebi oluşturabilirsiniz.

Bu içerik genel bilgilendirme amaçlıdır; hukuki veya mali görüş niteliği taşımaz. Güncel mevzuat için ilgili otoritelerin resmi yayınları esas alınmalıdır.