هل PCI DSS Level 1 يلزمنا — أي مستوى ينطبق على حجم عملياتنا؟

هل في موقعك iframe أم مكتبة JavaScript مباشرة، هذه النقطة مهمة جداً. إذا كان توجيهاً (redirect) أو iframe قياسياً فتملأ SAQ A، وتجيب بنعم/لا على حوالي 22-25 بنداً. لكن إذا كان نموذج البطاقة يُعرض على نطاقك الخاص فيلزم SAQ A-EP، وهناك يأتي شرط فحص ASV خارجي كل 3 أشهر.

شركة الاستشارات عاملة أسلوب تخويف كالعادة عشان تبيع. بقالي 15 سنة بدير بني تحتية للتجارة الإلكترونية، وما شفتش أي شركة صغيرة أو متوسطة ما عدتش حاجز الـ 6 مليون وتكون Level 1. النموذج اللي البنك بعتهولك غالباً نموذج معياري مبعوت للمراجعات السنوية الروتينية. اسأل ممثل البنك عن نوع SAQ الخاص بيك، وما تدفعش مصاريف تدقيق مالهاش لازمة.

الإخطارات اللي بتبعثها البنوك بتكون عادةً بناءً على لوائح BDDK ومتطلبات التحديث السنوي للمخزون الخاصة بمؤسسات البطاقات الدولية. يكفي إنك ترد على البنك ببيان رسمي توضح فيه حجم معاملاتك، وإنك ما بتخزنش بيانات بطاقات، وأن بيانات صاحب البطاقة بتمر مباشرة عبر البنية التحتية لمؤسسة مدفوعات مرخصة.

هل حصل قبل كده أي اشتباه في تسريب بيانات بطاقات من سيستمكم أو موجة استرداد أموال (chargeback) غير طبيعية من البنوك؟ لأن لو حصل خرق أمني، شركات البطاقات ممكن بقرار إداري تنزل الشركة لـ Level 1 حتى لو عدد المعاملات قليل. لو ما فيش حالة زي دي، فاللعرض ده مالهوش أي أساس من الصحة.

إحنا كمان بنستخدم نقطة بيع افتراضية (sanal pos)، بس نموذج SAQ ده بننزله منين وبنسلمه لمين؟ وهل لازم خبير خارجي يوقع عليه عشان يتملى ولا توقيع مسؤول الشركة يكفي ويكون معتمد؟

قبل ما تصرف ولا مليم، ادخل على لوحة تحكم شركة المدفوعات اللي بتتعامل معاها. معظم شركات المدفوعات بتقدم شهادة PCI DSS الخاصة بيها وإقرار SAQ جاهز باسمك مجاناً في تبويب الامتثال. نزّله وابعته للبنك والموضوع غالباً بيتحل فوراً.

مرينا بنفس التجربة السنة اللي فاتت وبحجم شغل قريب من ده. ملينا نموذج SAQ A للبنك وختمناه وبعتناه والموضوع اتفقل. كل اللي عملناه إننا عملنا فحص ثغرات خارجي لموقعنا مرتين في السنة، وكلفنا كله على بعضه حوالي 6.000 TL. مبلغ 180.000 TL ده استغلال صريح.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

هذا كل شيء، أرجو المعذرة إذا أطالت.

صحيح. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

صححوا لي إن أخطأت.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

أتمنى أن يفيدك هذا.

هذا العنوان مؤرشف.

لدي رأي مختلف. إذا كانت قناة الإشعارات طويلة، فلن تصل الإشعارات؛ والإشعار غير الواصل يعني حدثًا يُكتشف متأخرًا.

أتمنى أن يفيدك هذا.

لا تتجاهل شيئاً: إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

هناك جانب قياس لهذا الأمر أيضًا ثم طيب إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

ما كُتب هنا يطابق تماماً ما عشناه. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أوافق. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها. صححوا لي إن أخطأت.

لهذا النهج ثمن، لكنه لا يُناقش. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

ملخص سريع للجدد: تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

مثبت بالتجربة.