Incassiamo con POS e pagamenti online — cosa ci chiede la PCI DSS 4.0?

Sul lato online, quando incassate il cliente inserisce il numero di carta direttamente in un form sul vostro sito o viene reindirizzato alla pagina di pagamento protetta con 3D Secure della banca? Questa distinzione cambia completamente il tipo di modulo da compilare.

I requisiti 6.4.3 e 11.6.1 della PCI DSS 4.0 puntano dritti alla sicurezza degli script sui siti e-commerce. Eventuali codici malevoli iniettati nella pagina di pagamento possono copiare i dati delle carte in background. È obbligatorio documentare la motivazione di ogni script esterno in esecuzione nella schermata di pagamento.

Due mesi fa hanno mandato la stessa mail pure a noi. Facciamo 40.000 transazioni all'anno. Una società di consulenza ci ha chiesto 35.000 TL. Ci siamo messi a parlare con la banca e ci hanno confermato che, usando il pagamento con redirect, bastava compilare il modulo SAQ-A. L'abbiamo compilato internamente in 3 giorni, inviato ed è stato accettato.

se nn tenete i dati delle carte sul database nn c'è motivo di farsi prendere dal panico. le banche mandano queste mail in automatico a tutti x motivi normativi, compilate bene il modulo, lo speedite e la faccenda finisce lì.

correzione: mi ricordavo male il numero, era un po' più basso.

Purtroppo i reparti di sicurezza delle banche pensano che ogni attività sia un colosso dell'e-commerce e sparano testi preconfezionati. Non correte subito a comprare audit da migliaia di lire; prima fatevi confermare per iscritto dal vostro referente in banca se il SAQ-A è sufficiente.

Nel compilare il modulo potreste bloccarvi soprattutto su questi 3 punti: 1) Complessità e cambio periodico delle password di server e pannello, 2) Autenticazione a due fattori attiva per l'accesso al pannello di controllo, 3) Registro di tracciamento dei numeri di serie dei POS fisici.

Già da domani mettete in una tabella i numeri di serie che si trovano sotto i POS dei vostri punti vendita fisici. Create una semplice checklist settimanale dove firmate che "non ci sono state manomissioni fisiche"; così rispondete direttamente al requisito dell'audit.

Non vi spaventate, anche se il PCI DSS 4.0 all'inizio sembra complicatissimo, le guide di autovalutazione pensate per le piccole imprese sono chiarissime. Scaricate il documento SAQ-A dal sito ufficiale, traducetelo in turco e procedete passo dopo passo: lo completate in mezza giornata.

sosterrò l'opposto non prendetela male. comunque gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

se avete domnde scrivete, rispondo per quanto possibile.

In generale è corretto, ma manca un pezzo. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Quando decidiamo senza misurare, finiamo sempre nello stesso punto. Lascio una nota, potrebbe servire.

Sosterrò l'opposto non prendetela male. Il vero problema non è il numero ma su cosa si basa quel numero.

Questa è la mia opinione non la scrivo come verità assoluta.

Il punto più trascurato riguardo a requisiti PCI DSS 4.0 è questo: La risposta varia molto in base al settore, non esiste una regola generale.

Correggetemi se sbaglio.

Anche da noi è così.

Riassumo l'argomento, perché sono state date diverse risposte. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Sono una piccola impresa, vi parlo dal mio punto di vista. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Correggetemi se sbaglio.

Racconto la mia esperienza. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Confermato dall'esperienza.

Stavo pensando la stessa cosa. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Grazie per averlo scritto, è proprio così. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo. Naturalmente cambia se la vostra situazione è diversa.