مزود الدفع ذكر مستويات الامتثال PCI DSS: في أي مستوى نحن وما هي التكلفة؟

النقطة الحرجة هي معمارية نموذج الدفع. انظروا إلى الكود المصدري لحقل رقم البطاقة في موقعكم. إذا كان ذلك الحقل داخل iframe يُحمَّل من نطاق مزود الدفع الخارجي فأمركم سهل جدًا. أما إذا كنتم تستقبلونه مباشرة عبر JavaScript في نموذجكم الخاص، فنطاقكم ومسؤوليتكم يزدادان بشكل جدي.

أكملنا هذه العملية العام الماضي لموقعنا الذي ينفذ 60 ألف عملية سنويًا. دخلنا إلى اللوحة التي وجّهنا إليها مزود الدفع وملأنا نموذج SAQ A المكوّن من حوالي 20 سؤالاً. ودفعنا أيضًا 350 دولارًا سنويًا لشركة المسح المعتمدة، كانت العملية برمتها تستغرق ساعتين.

ادخلوا إلى لوحة مزود الدفع، ستجدون معالج استبيان جاهزًا في تبويب الامتثال. عندما تحددون أنكم لا تخزنون البطاقة وتستقبلون الدفع عبر واجهة خارجية، ستتقلص أسئلة الاستبيان تلقائيًا إلى الحد الأدنى.

أكيد ما بتخزنوا أرقام البطاقات ولا تاريخ الانتهاء ولا CVV في قاعدة البيانات، صح؟ إذا كنتوا تطبعوا بيانات البطاقة بالغلط حتى في ملفات اللوغ، نوع الاستبيان والمسؤولية القانونية بتتغير كليًا.

مزودو الدفع يبعتوا هالتحذيرات التلقائية كل سنة ويخوفوا الناس. يعني إذا كنت تستخدم نموذج مدمج، تعبئة النموذج ما بتاخد منك أكثر من خمس وأربعين دقيقة، فلا تدفعوا آلاف الدولارات لمدقق ولا غيره.

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

انتشرت بالسوق وكالات كثيرة تطلب من المشاريع الصغيرة 3.000-5.000 دولار تحت اسم "استشارات PCI DSS". تاجر صغير ما بيحتفظ ببيانات البطاقة على سيرفره الخاص ما بحاجة يدفع ولا قرش على هيك استشارات.

المنطق الأساسي لقواعد PCI DSS هو تصفير مساحة تلامس بيانات البطاقة. كل ما تبعد بيانات الدفع عن سيرفرك أكثر وأنت تبني البنية التحتية، كل ما قلّ التزامك القانوني وتكلفة الفحص السنوي والامتثال.

لما إجا أول إيميل، دبنا الذعر وقلنا حسابنا رح يتسكر، واتصلنا بكل الناس حتى المحاسب... طلع بس لازم نأكد على قائمة تحقق أونلاين. لا تقلقوا أبدًا، إذا نقلتوا نظامكم للإطار الخارجي، العملية سهلة وما فيها تعب.

أنا أيضًا متحمس لمعرفة ذلك.

هناك نقطة أثارت فضولي. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا. اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

ظهرت ثلاث وجهات نظر مختلفة، وكلها تكمل بعضها. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

قضيت وقتًا طويلاً في هذا المجال. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

بعد تجربة ذلك، تغيرت نظرتي للأمور. بصراحة إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا... طيب هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

دعني أوضح الجانب التقني قليلاً. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أوافقك الرأي تمامًا... إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

عشنا تقريباً نفس التجربة العام الماضي. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

هل يمكنك توضيح هذا أكثر؟ كل من يستعجل في مستويات الامتثال pci dss يتعثر في نفس النقطة.

الخطأ المرتكب من جانب مستويات الامتثال pci dss قابل للإصلاح عادةً، لكنه مكلف. دعني أتركها كملاحظة، قد تكون مفيدة.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين... إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.