مزود الدفع يطلب توافق PCI DSS — هل SAQ-A كافية، ولا رح ندخل تدقيق؟

تقدر تمشي بالعملية خطوة بخطوة: 1) نزّل شهادة PCI DSS AOC المحدّثة من لوحة تحكم مزود الدفع. 2) احصل على وثيقة SAQ-A المحدّثة من الموقع الرسمي لمجلس معايير أمن PCI. 3) بعد الإجابة على الأسئلة وتوقيعها من مدير الشركة، ارفع النموذج على بوابة مزود الدفع.

نحن نعمل بحجم سنوي 1.5 مليون EUR، ووصلنا إشعار مشابه. في البداية ظهر مستشارون قدموا لنا عرض تدقيق بحوالي 5.000 EUR. تحدثنا مع الممثل التقني لشركة الدفع، وأكدنا أننا نستخدم iframe، وملأنا نموذج SAQ-A بأنفسنا وتمت الموافقة عليه. تكلفتنا كانت صفر.

إذا كنتم تستخدمون iframe في موقعكم فانتبهوا للمتطلبات الجديدة التي جاءت مع PCI DSS v4.0. الآن أصبح عليكم التحقق من سلامة وتصريح جميع أكواد JavaScript الخاصة بأطراف ثالثة التي تعمل في صفحة الدفع. حتى لو كان SAQ-A، فهذه الفحوصات أصبحت إلزامية ضد خطر سكربتات ضارة قد تتسلل من الصفحة الرئيسية إلى iframe الدفع.

ما هي طريقة التكامل التي يستخدمها مزود الدفع لديكم بالضبط؟ مثلاً هل هو توجيه مباشر، أم iframe مدمج، أم طريقة تحوّل بيانات البطاقة إلى token عبر مكتبة JavaScript؟ إذا كنتم تستخدمون tokenization عبر JavaScript فالبنك أحياناً يعتبر هذا SAQ A-EP.

لتوضيح وضعكم، قوموا بهذه الفحوصات: 1) هل الكود المصدري لخانة إدخال البطاقة يُحمَّل فعلاً من نطاق شركة الدفع؟ 2) هل يمر في سجلات السيرفر أي معامل طلب يحتوي على رقم البطاقة أو CVV؟ 3) هل مستواكم كتاجر مسجّل في لوحة مزود الدفع على أنه المستوى 4؟ إذا اكتملت هذه الثلاث نقاط فلا حاجة لتدقيق خارجي.

أقسام المخاطر في مؤسسات الدفع أحياناً ترسل رسائل بريد إلكتروني قالبية تلقائية وتطلب تدقيق QSA وكأنكم تاجر من المستوى 1. لا تدفعوا أموالاً لشركات خارجية دون التحقق من الوضع. وصلتنا أيضاً رسالة مشابهة السنة الماضية، فقلنا 'لا نحتفظ ببيانات البطاقة في نظامنا، ونقدم SAQ-A' وانتهى الموضوع.

SAQ-A كافٍ تماماً لبنيتكم. لا يوجد أي أساس قانوني يُلزمكم بالدخول في تدقيق مستقل بإيراد سنوي 350 ألف يورو. لا تنخدعوا بعروض شركات QSA المرتفعة، املأوا النموذج بأنفسكم وأرسلوه.

عشنا نفس الخوف قبل سنتين، وكانت نبرة البريد الوارد قاسية لدرجة أنني ظننت أن غرامة كبيرة على الأبواب ثم لكن عندما جلسنا وقرأنا النموذج بهدوء انتهى في نصف يوم. حتى في وثائق دعم مزود الدفع كانت الأسئلة مشروحة وكيفية الإجابة عليها.

شكرًا لكتابة هذا.

أكثر نقطة يتم إغفالها في موضوع توافق pci dss هي: نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

أتفق جزئياً، وأختلف جزئياً. فعل الجميع لشيء ما لا يعني أنه صحيح.

لو كنت مكانك، لسلك هذا المسار.

سمعنا هذا كثيراً، لكنه لم يحدث معنا أبداً. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

حدث معنا هذا... فعل الجميع لشيء ما لا يعني أنه صحيح.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أخذت ملاحظة، شكرًا لك. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أحسنت، بارك الله في جهدك. محاولة فعل هذا بمفردك هي أغلى الطرق.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

صحيح نظرياً، لكنه لا يسير هكذا عملياً. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

تشتت النقاش، دعني ألخصه. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.