نستقبل الدفع عبر POS والإنترنت — ما الذي يطلبه معيار PCI DSS 4.0 منا؟

عند الدفع عبر الإنترنت، هل يدخل العميل بيانات البطاقة في نموذج مباشر على موقعك، أم يتم تحويله لصفحة الدفع 3D Secure المشتركة للبنك؟ هذا الفرق يغير نوع النموذج المطلوب تعبئته بالكامل.

المتطلبان 6.4.3 و11.6.1 في PCI DSS 4.0 يستهدفان أمان السكريبتات في مواقع التجارة الإلكترونية بشكل مباشر. الأكواد الخبيثة التي قد تُحقن بصفحة الدفع يمكنها نسخ بيانات البطاقات بالخفاء. توثيق مبرر وجود أي سكريبت خارجي يعمل في شاشة الدفع صار إلزاميًا.

وصلنا نفس الإيميل قبل شهرين. حجم عملياتنا 40.000 سنويًا. طلبت منا شركة استشارات 35.000 TL. تواصلنا مع البنك وأوضحوا لنا أن ملء استمارة SAQ-A كافٍ بما أن الدفع عبر إعادة التوجيه. أعددنا النموذج بأنفسنا في 3 أيام وأرسلناه وتم قبوله.

طالما لا تحتفظ ببيانات البطاقات في قاعدة البيانات فلا داعي للهلع ثم البنوك ترسل هذه الإيميلات آليًا للجميع التزامًا باللوائح، وبمجرد إرسال النموذج معبأ بالكامل ينتهي الموضوع.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

أقسام أمن المعلومات بالبنوك للأسف تعامل كل الشركات وكأنها عمالقة تجارة إلكترونية وترسل قوالب جاهزة. لا تتسرع وتشتري خدمات تدقيق بآلاف الليرات؛ تأكد أولاً بشكل خطي من مسؤول البنك هل نموذج SAQ-A كافٍ أم لا.

وأنت بتعبي النموذج ممكن توقف عند ٣ نقاط بالذات: ١) تعقيد كلمات سر السيرفر ولوحة التحكم وتغييرها بانتظام، ٢) تفعيل التحقق بخطوتين للدخول على لوحة الإدارة، ٣) قائمة تتبع الأرقام التسلسلية لأجهزة POS الفعلية.

من بكرة على طول، سجل الأرقام التسلسلية المكتوبة أسفل أجهزة الـ POS في فروعكم في جدول. وسوّي قائمة فحص بسيطة تدقق عليها أسبوعياً وتوقّع عليها إنه 'ما فيه أي تلاعب في الأجهزة'؛ كذا تكون غطيت متطلب التدقيق هذا مباشرة.

لا تخافوا، مع إن PCI DSS 4.0 يبان معقد في البداية، إلا إن أدلة التقييم الذاتي المخصصة للمشاريع الصغيرة واضحة جداً. لو نزلت مستند SAQ-A من الموقع الرسمي وترجمته للتركي ومشيت خطوة بخطوة، راح تخلصه في نص يوم.

سأدافع عن الرأي المعاكس، لا تغضبوا. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

صحيح بشكل عام، لكن هناك جزء ناقص. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً. دعني أتركها كملاحظة، قد تكون مفيدة.

سأدافع عن الرأي المعاكس، لا تغضبوا. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أكثر نقطة يتم إغفالها في موضوع متطلبات PCI DSS 4.0 هي: الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

صححوا لي إن أخطأت.

عندنا نفس المشكلة.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنا مشروع صغير، دعوني أشرح من منظوري. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

صححوا لي إن أخطأت.

دعني أشارك تجربتي. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

مثبت بالتجربة.

كنت أفكر في نفس الشيء. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

شكراً لكتابة هذا، فهو صحيح تماماً. فعل الجميع لشيء ما لا يعني أنه صحيح.

إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.