PCI PTS Nedir? POS Cihazlarında Donanım Güvenliği Sertifikasyonu

PCI PTS, PCI Security Standards Council (PCI SSC) tarafından geliştirilen ve POS ile POI cihazlarının donanım güvenliğini test eden bir sertifikasyon standardıdır. Bu standart, bir ödeme terminalinin fiziksel müdahalelere karşı ne kadar dayanıklı olduğunu, kart ve PIN verisini nasıl şifrelediğini ve şifreleme anahtarlarını hangi mekanizmalarla koruduğunu değerlendirir.

PCI DSS ile PCI PTS sıklıkla karıştırılır, oysa ikisi farklı sorumluluk alanlarını kapsar. PCI DSS, işletmenin kart verisini nasıl işlediğini, sakladığını ve ilettiğini düzenlerken; PCI PTS doğrudan cihaz üreticisinin ürettiği donanımı hedef alır. Bir POS terminali PCI PTS onaylı olsa dahi, işletmenin PCI DSS yükümlülükleri ortadan kalkmaz.

PCI PTS kapsamı, POI (Point of Interaction), HSM (Hardware Security Module) ve UPT (Unattended Payment Terminal) gibi cihaz kategorilerini; kurcalamaya dayanıklılık, şifreleme ve anahtar yönetimi gibi teknik gereksinimleri; ayrıca cihazın onaylı laboratuvarlarda test edilerek sertifikalandırılma sürecini içerir.

PCI PTS Nedir?

PCI PTS, bir POS veya POI cihazının donanımsal güvenliğini ölçen bir sertifikasyon standardıdır. Standart, cihazın fiziksel kurcalamaya karşı ne kadar dayanıklı olduğunu ve kart ile PIN verisini hangi seviyede şifreleyerek koruduğunu değerlendirir. PCI PTS nedir sorusuna en kısa yanıt budur: cihazın kendisini test eden bir donanım güvenlik çerçevesidir.

Bu standardın kapsamı yalnızca fiziksel cihaz ve üzerindeki güvenlik mekanizmalarıyla sınırlıdır. Cihazın çalıştığı yazılım katmanı, bağlı olduğu ağın güvenliği ve işletmenin kart verisini nasıl sakladığı ya da işlediği PCI PTS’in dışında kalır; bu alanlar PCI DSS’e aittir. POS donanım güvenliği açısından bakıldığında PCI PTS, cihazın üretim aşamasındaki güvenlik kalitesini garanti eder, işletmenin operasyonel süreçlerini değil.

Standardı geliştiren ve test sürecini yöneten kurum PCI SSC’dir. PCI SSC, ödeme kartı endüstrisi için güvenlik standartlarını belirleyen ve bu standartlara uygunluğu onaylı laboratuvarlar aracılığıyla denetleyen resmi otoritedir. Bir cihazın PCI PTS onayı alabilmesi için PCI SSC’nin belirlediği kriterlere göre bağımsız bir laboratuvarda test edilmesi gerekir.

Bu ayrım, PCI PTS’i PCI DSS ile karıştıran işletme sahipleri için net bir başlangıç noktası sunar: PCI PTS cihazın donanımını, PCI DSS ise işletmenin veri işleme sürecini hedef alır. İki standardın sorumluluk alanlarını ayırmak, doğru uyumluluk adımlarını belirlemenin ilk şartıdır.

PCI PTS ile PCI DSS Arasındaki Fark Nedir?

PCI DSS ile PCI PTS farkı, denetlenen unsurun ne olduğuyla ilgilidir: PCI PTS bir donanım parçasını, PCI DSS ise bir işletmenin süreçlerini kapsar. Bu iki standart aynı ödeme güvenliği çerçevesinin farklı katmanlarında yer alır ve sorumluluk alanı birbirinden ayrıdır.

Cihaz Odaklı Standart: PCI PTS

PCI PTS, POS cihazını üreten firmanın sorumluluğundadır ve yalnızca cihazın fiziksel ve teknik güvenliğini kapsar. Bir işletme PCI PTS onaylı bir terminal satın aldığında, o cihazın kurcalamaya dayanıklılık ve şifreleme testlerinden geçtiğini bilir. Ancak bu onay, cihazı çalıştıran işletmenin kendi güvenlik yükümlülüğünü ortadan kaldırmaz.

İşletme Odaklı Standart: PCI DSS

PCI DSS, kart sahibi verisini depolayan, işleyen veya ileten her kuruluş için geçerli olan bir işletme düzeyi güvenlik standardıdır. Ağ güvenliği, erişim kontrolleri, veri şifreleme politikaları ve düzenli güvenlik testleri gibi kontrolleri kapsar; amacı kart verisinin işletme içindeki tüm yaşam döngüsünü korumaktır. PCI DSS uyumluluk yükümlülükleri, işletmenin yıllık işlem hacmine göre Level 1’den Level 4’e kadar değişen seviyelere ayrılır; bu seviyelerin gerektirdiği denetim adımları ayrı bir başlıkta ele alınabilecek kadar detaylıdır.

PCI PTS vs PCI DSS karşılaştırmasında en kritik nokta, ikisinin birbirinin yerine geçmemesidir. PCI PTS onaylı bir cihaz kullanmak işletmeyi PCI DSS yükümlülüğünden muaf tutmaz; terminal ne kadar güvenli olursa olsun, işletmenin ağ altyapısı, personel erişimi ve veri saklama politikaları PCI DSS kapsamında ayrıca değerlendirilir. PCI uyumluluğu, veri ihlali riskini azaltmanın yanı sıra müşteri nezdinde marka güvenini korumak açısından da işletmeler için önemlidir.

Sorumluluk alanları bu şekilde ayrıldıktan sonra, PCI PTS’in hangi cihaz türlerini kapsadığına bakmak gerekir.

PCI PTS Cihaz Kategorileri Nelerdir?

PCI PTS standardı üç ana cihaz kategorisini kapsar: POI, HSM ve UPT. Her kategori, kartlı ödeme sürecinde farklı bir noktada görev alır ve kendine özgü kullanım senaryosuna hizmet eder. PCI PTS cihaz kategorileri arasındaki bu ayrım, standardın hangi donanımı nasıl test ettiğini anlamak için gereklidir.

POI (Point of Interaction) Cihazları

POI, mağaza içinde kart okuma ve PIN girişi işlemlerinin yapıldığı terminal türüdür. Kasada müşterinin kartını taktığı veya temassız okuttuğu, ardından PIN’ini girdiği fiziksel cihaz bu kategoriye girer. POI cihazları PCI PTS kapsamında en yaygın karşılaşılan cihaz grubunu oluşturur, çünkü perakende satış noktalarının büyük kısmı bu tür terminallerle çalışır.

HSM (Hardware Security Module)

HSM, şifreleme anahtarlarının güvenli biçimde üretildiği ve saklandığı donanım birimidir. POI cihazlarından farklı olarak HSM genellikle müşteri ile doğrudan temas etmez; banka arka ofisinde veya ödeme işlemcisinin altyapısında konumlanır. Bu donanım, PIN doğrulama ve şifreleme işlemlerinin arka planda güvenle yürütülmesini sağlar.

UPT (Unattended Payment Terminal)

UPT, görevli bir çalışan olmadan çalışan ödeme terminallerini kapsar. Akaryakıt istasyonlarındaki pompa üstü ödeme birimleri, otomatlar ve self servis kiosklar bu kategoriye örnektir. UPT cihazları fiziksel denetim altında olmadan uzun süre çalıştığından, kurcalamaya karşı dayanıklılık açısından ayrı bir önem taşır.

Bu üç kategori arasındaki fark netleştikten sonra, cihazların hangi teknik kriterlerle test edildiğine bakmak gerekir.

PCI PTS Güvenlik Gereksinimleri Nelerdir?

PCI PTS gereksinimleri dört temel teknik kriter üzerinden değerlendirilir: kurcalamaya dayanıklılık, şifreleme, anahtar yönetimi ve kimlik doğrulama. Bir cihazın PCI PTS onayı alabilmesi için bu dört alanda da belirli asgari standartları karşılaması gerekir. Kriterlerin her biri cihazın farklı bir zayıflık noktasını kapatmayı hedefler.

Fiziksel Kurcalamaya Dayanıklılık

Fiziksel kurcalamaya dayanıklılık, cihaza yönelik bir müdahale girişiminde verinin otomatik olarak silinmesini veya cihazın devre dışı kalmasını gerektirir. Bir POS cihazının kasası açılmaya çalışıldığında ya da devresine müdahale edildiğinde, cihaz içinde saklanan şifreleme anahtarları ve hassas veriler kendiliğinden yok edilir. Bu mekanizma, çalınan veya ele geçirilen bir cihazın kart verisi çalmak amacıyla kötüye kullanılmasını engeller.

Şifreleme Mekanizmaları

Şifreleme mekanizmaları, kart ve PIN verisinin hem cihaz içinde hem de iletim sırasında korunmasını sağlar. Veri, kart okuma anından işlemcinin sistemine ulaşana kadar şifreli biçimde taşınır. Bu sayede, iletim hattı üzerinde veri dinlense bile ele geçirilen bilgi anlamlı bir kart numarasına dönüştürülemez.

Anahtar Yönetimi

Anahtar yönetimi, şifreleme anahtarlarının güvenli üretimi, dağıtımı ve imhası sürecini kapsar. Bir anahtarın nasıl oluşturulduğu kadar, cihaza nasıl yüklendiği ve kullanım ömrü sonunda nasıl silindiği de PCI PTS denetiminin konusudur. Zayıf bir anahtar yönetimi süreci, güçlü bir şifreleme algoritmasını dahi işlevsiz bırakabilir.

Kimlik Doğrulama Kontrolleri

Kimlik doğrulama kontrolleri, cihaza yetkisiz erişimi engelleyen mekanizmaları ifade eder. Bakım personelinin cihaz üzerinde yapılandırma değişikliği yapabilmesi için kimlik doğrulaması gerekir; aksi halde cihaz üzerindeki güvenlik ayarları dışarıdan kolayca değiştirilebilir. Bu kontrol katmanı, cihazın sahada tek başına bırakıldığı UPT gibi kullanım senaryolarında özellikle kritik hale gelir.

Bu dört gereksinimi karşılayan bir cihazın PCI PTS onayı alabilmesi için belirli bir test ve başvuru sürecinden geçmesi gerekir.

PCI PTS Sertifikası Nasıl Alınır?

PCI PTS sertifikası, cihaz üreticisinin PCI SSC onaylı bir laboratuvara başvurmasıyla başlayan ve fiziksel testlerden geçen bir süreçle alınır. Bu süreç, PCI DSS’in genel uyumluluk sürecinden farklı olarak laboratuvar bazlı fiziksel test aşamalarını içerir. Sertifikasyon, tek bir belge kontrolünden ibaret değildir; cihazın kendisi teknik değerlendirmeden geçirilir.

Onaylı Laboratuvara Başvuru Yapılması

PCI PTS nasıl alınır sorusunun cevabı, üreticinin PCI SSC onaylı laboratuvara başvuru yapmasıyla başlar. Üretici, sertifikalandırmak istediği POI, HSM veya UPT cihazının teknik dokümantasyonunu ve tasarım özelliklerini onaylı laboratuvara sunar. Başvuru süreci, hangi PCI PTS gereksinimlerinin cihaza uygulanacağının belirlenmesiyle şekillenir; her cihaz kategorisi farklı test kapsamına tabidir.

Cihazın Fiziksel ve Teknik Testlerden Geçirilmesi

Onaylı laboratuvar, cihazı fiziksel kurcalama testleri, şifreleme doğrulaması ve anahtar yönetimi kontrollerinden geçirir. Fiziksel testlerde cihaza müdahale girişimi simüle edilir ve verinin korunup korunmadığı ölçülür. Şifreleme doğrulaması, cihazın kart ve PIN verisini belirlenen algoritmalarla işleyip işlemediğini kontrol eder; anahtar yönetimi testleri ise şifreleme anahtarlarının üretim ve dağıtım sürecinin güvenli olup olmadığını inceler.

Test Sonuçlarının PCI SSC’ye Sunulması

Test sonuçları, laboratuvar tarafından değerlendirme raporu halinde PCI SSC’ye sunulur. PCI SSC, laboratuvarın hazırladığı raporu inceleyerek cihazın PCI PTS gereksinimlerini karşılayıp karşılamadığına karar verir. Bu aşamada eksik veya yetersiz bulunan bir kriter, cihazın yeniden teste tabi tutulmasına yol açabilir.

Cihazın Onaylı Liste İçine Dahil Edilmesi

Değerlendirme olumlu sonuçlanırsa cihaz, PCI SSC’nin resmi onaylı liste içine dahil edilir. Bu kayıt, cihazın model ve versiyon bilgisiyle birlikte yayınlanır ve işletmelerin cihaz seçimi yaparken referans alabileceği resmi bir kaynak haline gelir. Bu bakımdan PCI PTS HSM sertifikasyonuna uyum, katı güvenlik gereksinimleri ve titiz bir süreç içeren mantıksal ve fiziksel standartların karşılanmasına bağlıdır.

Bir cihazın bu süreçten geçmiş olması, listede yer alıp almadığının doğrulanmasını gerektirir.

Bir POS Cihazının PCI PTS Onaylı Olduğu Nasıl Kontrol Edilir?

Bir POS cihazının PCI PTS onaylı olup olmadığı, PCI SSC onaylı cihaz listesi üzerinden model numarası sorgulanarak kontrol edilir. Sertifikasyon sürecini tamamlamış bir cihazın gerçekten onaylı olup olmadığını teyit etmek işletme sahibinin sorumluluğundadır. Bu doğrulama, cihazı satın almadan veya kullanıma almadan önce yapılması gereken basit ama kritik bir adımdır.

PCI SSC Onaylı Cihaz Listesinin Kullanımı

PCI SSC onaylı cihaz listesi, PCI SSC’nin resmi web sitesinde yayınlanan ve sertifikasyon sürecinden geçmiş tüm cihazların kayıtlı olduğu genel bir kaynaktır. Liste üzerinde model numarası, üretici adı veya cihaz kategorisi ile arama yapılabilir. Bir işletme, satın almayı düşündüğü POS terminalinin bu listede yer alıp almadığını kontrol ederek cihazın gerçekten PCI PTS onaylı cihaz olup olmadığını teyit edebilir. Listede yer almayan bir cihaz, üretici tarafından PCI PTS uyumlu olarak tanıtılsa bile resmi anlamda onaylı sayılmaz.

Cihaz Model Numarasının Doğrulanması

Model doğrulama, cihazın etiketinde veya kullanım kılavuzunda yer alan model ve versiyon numarasının PCI SSC listesindeki kayıtla birebir eşleştirilmesiyle yapılır. Bu eşleştirme sırasında sadece model adı değil, cihazın firmware versiyonu da onay kapsamına dahil mi diye kontrol edilmelidir; çünkü aynı model numarasına sahip bir cihazın farklı firmware sürümleri onay kapsamı dışında kalabilir. Etikette görünen bilgi ile listedeki kayıt arasında bir uyuşmazlık varsa üreticiden veya satıcıdan resmi doğrulama istenmelidir.

PCI PTS Sertifikasının Geçerlilik Süresi Ne Kadardır?

PCI PTS sertifikaları belirli bir yılda otomatik olarak sona ermez; geçerlilik süresi PCI SSC’nin uyguladığı kademeli devre dışı bırakma takvimine bağlıdır. Bu yaklaşım, ödeme güvenliği standartlarının zaman içinde güçlendirilmesiyle ilişkilidir; nitekim PCI PTS HSM standardı da 1.0 sürümünden başlayarak dönem dönem güncellenmiş ve her yeni sürümle birlikte gereksinimler sıkılaştırılmıştır.

Yeni bir PCI PTS versiyonu yayınlandığında, önceki versiyona göre onaylanmış cihazlar anında listeden çıkarılmaz. Bunun yerine belirli bir geçiş süresi tanınır; bu süre boyunca eski onaylı cihazlar kullanılmaya devam edebilir. Geçiş süresinin sonunda ise cihaz, PCI SSC’nin resmi onaylı cihaz listesinden kaldırılır ve yeni işlemlerde referans olarak kabul edilmez.

Bu nedenle işletmelerin sertifikasyon durumunu tek seferlik bir kontrol olarak görmemesi gerekir. PCI SSC onaylı cihaz listesinin düzenli aralıklarla yeniden kontrol edilmesi, kullanılan POS cihazının hâlâ geçerli sertifika geçerlilik süresi içinde olduğunu teyit etmenin tek yoludur. Bir cihaz geçiş süresinin sonuna yaklaşıyorsa bu durum genellikle listede veya üretici bildirimlerinde görülebilir.

Yenileme süreci, cihaz üreticisinin sorumluluğundadır. Üretici, yeni versiyonun getirdiği güvenlik gereksinimlerine göre cihazı tekrar teste sokar ve onaylı laboratuvar üzerinden yeni bir sertifikasyon başvurusu yapar. İşletme tarafında yapılması gereken ise mevcut cihazın bu sürece dahil olup olmadığını takip etmektir. Standardın kendisinin zaman içinde nasıl değiştiği, bir sonraki başlıkta ele alınmaya değer bir konudur.

PCI PTS Versiyonları ve Güncel Gelişmeler

PCI PTS standardı sabit kalmaz; PCI SSC her yeni versiyonla birlikte artan güvenlik tehditlerine karşı gereksinimleri sıkılaştırır. Standardın alt kategorisi olan PCI PTS HSM bu evrimi somut biçimde gösterir: sürüm 1.0 Nisan 2009’da, sürüm 2.0 Mayıs 2012’de, sürüm 3.0 Haziran 2016’da yayınlanmış, sürüm 4.0 ise Aralık 2021’de modül tabanlı ve çok kiracılı kullanım senaryolarına yönelik yeni gereksinimlerle piyasaya çıkmıştır. Her versiyon geçişinde önceki sürümde isteğe bağlı bırakılan bazı kriterler zorunlu hale getirilir.

PCI PTS Versiyon Geçmişi

PCI PTS versiyon geçmişi, standardın kademeli ve öngörülebilir bir güncelleme mantığıyla ilerlediğini gösterir. 2026 itibarıyla genel PCI PTS ailesinde PCI PTS 6.0 güncel referans versiyon olarak kabul edilir. Bu ilerleme POI, HSM ve UPT kategorilerindeki cihazların üretim ve test süreçlerini doğrudan etkiler; üretici yeni bir versiyona geçildiğinde cihazını onaylı laboratuvarda yeniden teste sokmak zorunda kalır.

EMV ile PCI PTS İlişkisi

EMV çip teknolojisi ile PCI PTS donanım gereksinimleri, ödeme işleminin iki ayrı katmanını güvence altına alarak birbirini tamamlar. EMV, kart ile terminal arasındaki işlem verisinin doğruluğunu ve sahteciliğe karşı korumasını sağlar. PCI PTS ise bu işlemi fiziksel olarak gerçekleştiren cihazın donanımını, PIN girişini ve şifreleme sürecini güvence altına alır.

Bir POS cihazı EMV uyumlu olsa bile PCI PTS onayı taşımıyorsa donanım seviyesinde kurcalama veya anahtar sızıntısı riski devam eder. Bu ilişki POS cihazı seçiminde çoğu zaman göz ardı edilir; cihazın hem EMV hem PCI PTS onayına sahip olması, işlem güvenliğinin her iki katmanının da karşılandığı anlamına gelir.

Standardın hangi versiyonda olduğunu bilmek, cihazın hangi alanlarda güvence sağlayıp hangi alanlarda işletmeye sorumluluk bıraktığını anlamayı da gerektirir.

PCI PTS Sertifikasyonunun Sınırları Nelerdir?

PCI PTS sertifikasyonunun sınırı, yalnızca cihazın donanımını kapsamasıdır; işletmenin kart verisi işleme sürecine dair genel güvenlik yükümlülüğünü, yani PCI DSS uyumluluğunu ortadan kaldırmaz. Bir işletme PCI PTS onaylı bir POS cihazı kullansa bile, kart sahibi verisinin işlendiği ağ, sunucu ve yazılım katmanları için ayrıca PCI DSS gereksinimlerini karşılaması gerekir. PCI PTS zorunlu mu sorusunun cevabı bu noktada netleşir: cihaz üreticisi için sertifikasyon zorunluyken, işletme için bu onaylı cihazı tercih etmek uyumluluk sürecinin yalnızca bir parçasıdır.

PCI PTS onaylı bir cihaz kullanmak zorunlu bir başlangıç noktasıdır ancak tek başına yeterli değildir. Ağ güvenliği duvarlarının doğru yapılandırılması, personelin kart verisi işleme konusunda eğitilmesi ve işlem süreçlerinin düzenli denetlenmesi hâlâ işletmenin sorumluluğunda kalır. Donanım tarafında sağlanan güvence, işletme tarafındaki insan hatası veya süreç eksikliğini telafi etmez.

PCI uyumluluğu yalnızca kredi kartlarıyla sınırlı değildir; banka kartı, ön ödemeli kart ve diğer kart tabanlı ödeme araçları da dahil olmak üzere kart verisi işleyen her ödeme türünü kapsar. Bu nedenle sertifikasyon sınırı düşünülürken yalnızca kredi kartı işlemleri değil, işletmenin kabul ettiği tüm ödeme yöntemleri değerlendirmeye alınmalıdır.

Belirsiz durumlarda ödeme işlemcisine veya bir bilgi güvenliği uzmanına danışılması, sertifikasyon sınırlarının doğru yorumlanmasına yardımcı olur. Özellikle çok kanallı satış yapan işletmelerde hangi cihazın hangi standarda tabi olduğunu netleştirmek, sonradan ortaya çıkacak uyumluluk boşluklarını önler.

PCI PTS, POS cihazlarının donanım güvenliğini garanti eden ve PCI DSS’i tamamlayan bir sertifikasyon standardıdır. Cihazın fiziksel kurcalamaya dayanıklılığını, şifreleme kapasitesini ve anahtar yönetimi süreçlerini test eder; işletmenin veri işleme sorumluluğunu ise PCI DSS üstlenir. İki standart farklı katmanlarda çalışır ve biri diğerinin yerini almaz.

İşletmelerin POS cihazı seçerken PCI SSC onaylı cihaz listesini düzenli kontrol etmesi önerilir. Bu kontrol, cihazın model numarası ve firmware versiyonu üzerinden yapılır ve satın alma öncesinde olduğu kadar sonrasında da tekrarlanmalıdır; çünkü onay durumu sabit kalmaz, versiyon güncellemeleriyle değişebilir.

Ödeme güvenliği standartları geniş bir çerçeve oluşturur ve PCI PTS bu çerçevenin donanım ayağını temsil eder. Cihaz üreticisi tarafındaki bu güvence, işletme tarafındaki PCI DSS uyumluluğuyla birlikte ele alındığında ödeme operasyonunun bütününü kapsayan bir güvenlik yapısı ortaya çıkar. Küçük ve orta ölçekli işletmeler için pratik yaklaşım, POS cihazı tedarikçisinden PCI PTS onayına dair belge istemek ve bu onayı düzenli aralıklarla teyit etmektir.