Il gateway di pagamento richiede la conformità PCI DSS: esiste una checklist, da dove si comincia?

L'insidia tecnica critica qui sta nella differenza tra iFrame e reindirizzamento. Se sulla vostra pagina è presente codice JavaScript di terze parti che può infiltrarsi nel browser del cliente, potrebbero sovrapporre campi fittizi all'iFrame. Per questo motivo, nei vostri controlli di sicurezza assicuratevi di verificare l'integrità di tutti gli script esterni eseguiti sulle pagine di pagamento.

Entrate nel pannello di controllo del vostro gateway di pagamento, di solito c'è una procedura guidata integrata per la conformità. Rispondendo alle domande vi indirizzerà automaticamente al modulo SAQ A. La maggior parte dei punti riguarda cose ovvie come "scrivete i dati delle carte su carta, li memorizzate sul server?". Si finisce in un paio d'ore.

L'anno scorso abbiamo ricevuto lo stesso avviso, facevamo 25.000 transazioni all'anno. Visto che l'avevamo ignorato, il fornitore ha iniziato ad addebitare 49 dollari al mese di "penale per non conformità PCI". Appena ce ne siamo accorti, abbiamo compilato il modulo SAQ A sul portale in 40 minuti e inviato tutto; il mese successivo l'addebito della penale è sparito all'istante.

Tutti dicono "il SAQ A è facilissimo, si fa subito" ma con la nuova versione dello standard sono stati aggiunti requisiti tecnici anche al SAQ A, come la sicurezza degli script e l'integrità delle pagine e-commerce. Quindi non si tratta più solo di spuntare caselle; potrebbe essere necessario verificare l'hash degli script presenti sul vostro sito.

Non memorizzate mai il CVV o il numero completo di 16 cifre della carta sul vostro server. Finché non lo fate e delegate il pagamento a una pagina esterna, i costi di audit restano vicini allo zero, vi basterà solo inviare il modulo.

Per semplificare il percorso, procedete in questo ordine: 1) Chiedete conferma scritta al vostro gateway su quale tipo di SAQ richiedano esattamente. 2) Compilate il questionario tramite il portale ufficiale e firmate l'attestazione di conformità. 3) Se richiesta dal fornitore, impostate sul vostro sito la scansione di sicurezza esterna trimestrale.

Anche a noi compare la scheda "PCI Self-Assessment" nel pannello. boh se compilando il modulo da soli sbagliamo a spuntare una casella su una domanda tecnica, sorge una responsabilità legale o una sanzione diretta, oppure il sistema fa solo una verifica formale della dichiarazione?

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

non fatevi prendere dal panico succede a qualsiasi negozio che inizia a crescere. cioè i circuiti di pagamento inviano promemoria fino alla data di scadenza per evitare di applicare sanzioni. se vi bloccate su qualche punto durante la compilazione, chiedete al supporto via chat del provider: vi dicono direttamente quale opzione selezionare.

Breve riassunto per i nuovi arrivati: Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Confermato dall'esperienza.

non lo sapevo ma il vero problema non è il numero ma su cosa si basa quel numero.

sono curioso di sapere se qualcuno lo fa in modo diverso.

In generale è corretto, ma manca un pezzo. Il vero problema non è il numero, ma su cosa si basa quel numero.

Se avete domande, scrivete, rispondo per quanto possibile.

Vi spiego come si fa in pratica. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Buon lavoro.

Racconto la mia esperienza. Il vero problema non è il numero, ma su cosa si basa quel numero.

Spero che le sia utile.

ho vissuto la stessa cosa.

Hai fatto bene ad aprire questo thread.

Grazie per averlo scritto, è proprio così. Cercare di farlo da soli è la strada più costosa.

Correggetemi se sbaglio.

La risposta sopra ha colto l'essenza della questione. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Se rimproverate i falsi allarmi, nessuno segnalerà più nulla. Correggetemi se sbaglio.

Corretto.