Solvinity, Secure Managed IT Services, heeft een PCI DSS-certificering behaald voor de nieuwe OVpay-omgeving, het generieke backofficesysteem van Translink. Hiermee is de omgeving gecertificeerd om betaalgegevens te verwerken van de opvolger van de bestaande OV-chipkaart, die naar verwachting in 2023 wordt uitgefaseerd.
Een PCI DSS-certificering is een vereiste om pinpas- of creditcardgegevens te mogen verzenden, verwerken of opslaan. De hoge veiligheidsstandaard is opgesteld door een consortium van banken en creditcardmaatschappijen om deze gevoelige gegevens te beschermen. In tegenstelling tot andere compliancy-standaarden wordt een PCI DSS-certificering uitgegeven voor specifieke omgevingen - in dit geval de OVpay-omgeving van Translink.
Recent doorstond Solvinity ook al met glans een SOC 1- en SOC 2-rapport voor niet alleen de private cloud maar ook de Azure public cloud, een primeur in Nederland. “Dankzij onze ISO-normeringen en SOC-audits was voor een groot deel van onze omgeving de basis al gelegd voor PCI DSS”, zegt Martin Maas, Manager Data Privacy & Compliance bij Solvinity. “Door vervolgens de auditeur al vanaf de ontwerpfase mee te nemen, waren we in staat het auditproces snel en efficiënt te doorlopen.”
Translink werkt al enige tijd aan nieuwe, klantgerichte betaalmethodes voor het openbaar vervoer. Er wordt daarbij gekeken naar inchecken met betaalkaarten volgens de EMV-standaard (de internationale betaalmethode van Europay, Mastercard en Visa) en met smartphones. Bij de OV-chipkaart gebeurt het opladen in een omgeving die is gescheiden van de incheck-infrastructuur, maar bij deze nieuwe methodes worden er tijdens het inchecken betaalgegevens verwerkt. Daarom is nu ook voor deze omgeving de PCI DSS-certificering vereist.
Solvinity ziet deze certificering als de eerste in een reeks. “De PCI DSS-certificering voor de Translink-omgeving toont aan dat wij ook voor betalingsverwerking in de basis compliant kunnen zijn”, zegt Maas. “Onze medewerkers kennen inmiddels het klappen van de zweep en weten precies waar ze rekening mee moeten houden om onze klantsystemen veilig te houden. We kunnen daarom ook voor onze andere omgevingen deze certificeringen efficiënt behalen.”
