Accettiamo pagamenti POS e online: cos'è il PCI DSS e quali sono i nostri obblighi?

È una classica email automatica della banca. Per le piccole imprese che non salvano i dati delle carte, il PCI DSS non è affatto un incubo. L'importante è accertarsi se il form di pagamento sul sito è un vero iframe o se i dati passano prima dal vostro server per poi andare alla banca. Nel secondo caso le responsabilità aumentano parecchio.

Parlane con chi vi gestisce il sito e verificate se i campi in cui si inserisce il numero di carta vengono caricati direttamente dai server del gateway di pagamento. Se usate un iframe dovete compilare il SAQ-A, che consiste in appena 20-25 domande operative di base.

L'anno scorso è arrivata la stessa mail pure a noi il commercialista spaventato voleva farci spendere 80.000 TL di consulenza per l'audit. Poi abbiamo chiamato l'assistenza tecnica della banca e ci hanno detto: 'se non salvate le carte sul sito, basta compilare e confermare il modulo SAQ nel portale'. Risolto in 15 minuti.

Per quanto riguarda i negozi, per evitare sanzioni in caso di controlli fate attenzione a due cose: 1) Che sugli scontrini del POS le cifre centrali della carta siano oscurate. 2) Che le telecamere di videosorveglianza non inquadrino direttamente il tastierino del POS in cassa.

Anche noi usiamo una piattaforma e-commerce già pronta, secondo voi possiamo girare direttamente il modulo a loro per farlo compilare al posto nostro prima di sentire la banca?

Il questionario di autovalutazione deve essere formalmente approvato dal rappresentante legale dell'azienda. Per velocizzare la pratica potete richiedere al vostro fornitore di piattaforma la loro attestazione di conformità PCI DSS e allegarla come documentazione per la banca.

Se non salvate i dati delle carte in alcun modo non c'è nulla di cui preoccuparsi, confermate il modulo SAQ-A dal portale e siete a posto.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Un backup non testato non è un backup. Confermato dall'esperienza.

Ci proverò.

Ha ragione.

Riassumo quanto detto finora. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

La sicurezza non è assoluta; significa rendere l'attacco non conveniente. Io seguirei questa strada.

La discussione si è dispersa, la riassumo. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Spero che le sia utile.

Questo consiglio non va bene per tutti secondo me. Se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Argomento molto attuale.

Ho vissuto la stessa cosa. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Se scrivete qui il risultato, sarà utile anche ad altri.

Non lo sapevo. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi. Confermato dall'esperienza.

Non ho alcuna esperienza in materia di cos'è lo standard pci dss, quindi chiedo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Se cerchi di cambiare tutto insieme, niente si stabilizza. Buon lavoro.

grazie mille, proverò oggi.