نقبل POS ودفع إلكتروني، إيش هو PCI DSS وإيش التزامنا الفعلي؟

البنك أرسل إيميل آلي قياسي. PCI DSS مو كابوس للمنشآت الصغيرة اللي ما تخزّن بيانات بطاقة. المهم هو هل نموذج الدفع في موقعك فعلًا iframe، ولا بيانات البطاقة تمر أول على سيرفرك ومنه للبنك. لو كانت الثانية فالتزامك يصير أثقل بكثير.

تكلم مع مدير موقعك وتأكد هل حقول إدخال رقم البطاقة في الموقع تُحمّل من سيرفرات مزود الدفع الخارجي. لو تستخدم iframe راح تعبّي SAQ-A، وهذا النموذج مكوّن من حوالي 20-25 سؤال تشغيلي أساسي فقط.

السنة الماضية وصلنا نفس الإيميل، والمحاسب من الخوف اقترح نأخذ استشارات تدقيق خارجية بـ 80.000 TL. بعدين اتصلنا بالقسم التقني في البنك، قالوا 'لو ما تخزّنون بطاقات في الموقع عبّوا نموذج SAQ في اللوحة وأكدوه وبس'. خلصناها في 15 دقيقة.

من ناحية المتجر، عشان ما تتعرض لغرامة لو جاء تدقيق انتبه لهذي النقطتين: 1) تأكد إن أرقام البطاقة في السليبات اللي تطلع من جهاز POS خانتها الوسطى مقنّعة. 2) تحقق إن كاميرات المراقبة ما تصوّر لوحة أزرار جهاز POS في الكاشير مباشرة.

إحنا بعد نستخدم باقة تجارة إلكترونية جاهزة، لو نرسل هذا النموذج مباشرة للشركة اللي توفر البنية التحتية بدون ما نسأل البنك، يقدرون يعبّونه عنا؟

استبيان التقييم الذاتي لازم قانونيًا يعتمده المسؤول المخوّل في المنشأة. تطلب من مزود البنية التحتية اللي تتعامل معه شهادة امتثاله الخاصة بـ PCI DSS وتقدمها لبنكك كمستند إضافي، وهذا يسرّع عمليتك.

لو ما تخزّن بيانات البطاقة بأي شكل، ما فيه شي يستدعي القلق، أكّد نموذج SAQ-A من اللوحة وخلص.

عشنا تقريباً نفس التجربة العام الماضي. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

نسخة احتياطية غير مختبرة ليست نسخة احتياطية. مثبت بالتجربة.

سأجرب ذلك.

أنت محق.

دعوني ألخص ما قيل حتى الآن. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد. لو كنت مكانك، لسلك هذا المسار.

تشتت النقاش، دعني ألخصه. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

أتمنى أن يفيدك هذا.

لا أعتقد أن هذه النصيحة تناسب الجميع. يعني إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

موضوع في الوقت المناسب تمامًا.

عانيت من نفس الشيء. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

لم أكن أعلم بهذا. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. مثبت بالتجربة.

ليس لدي خبرة في ما هو معيار pci dss، لذا أسأل. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء. بالتوفيق.

شكرًا جزيلاً، سأجربها اليوم.