PCI DSS Level 1 ci riguarda — nel nostro volume di transazioni quale livello vale?

Sul vostro sito c'è un iframe o direttamente una libreria JavaScript, questo è molto importante. Se è un reindirizzamento (redirect) o un iframe standard compilate il SAQ A, rispondete sì/no a circa 22-25 voci. Ma se il modulo della carta viene renderizzato sul vostro dominio serve il SAQ A-EP, e lì scatta l'obbligo di una scansione ASV esterna ogni 3 mesi.

La società di consulenza ha fatto del classico terrorismo psicologico. Gestisco infrastrutture di e-commerce da 15 anni, non ho mai visto una PMI che non superi i 6 milioni di transazioni essere Level 1. Il modulo che vi ha mandato la banca è molto probabilmente un template standard inviato per i controlli annuali di routine. Chiedete al vostro referente in banca che tipo di SAQ vi serve, non buttate soldi in audit inutili.

Le comunicazioni inviate dalle banche sono generalmente una conseguenza della normativa BDDK e dell'aggiornamento annuale dell'inventario richiesto dai circuiti internazionali. Vi basterà rispondere alla vostra banca con una lettera ufficiale in cui indicate il vostro volume di transazioni, che non conservate dati delle carte e che i dati del titolare passano direttamente attraverso l'infrastruttura di un istituto di pagamento autorizzato.

In passato avete mai avuto sospetti di una fuga di dati delle carte dal vostro sistema o un'ondata anomala di chargeback da parte delle banche? Perché anche se il volume di transazioni è basso, i circuiti possono portare d'ufficio un'azienda in cui è stata rilevata una violazione della sicurezza al livello Level 1. Se non c'è stato un caso del genere, l'offerta è del tutto infondata.

anche noi usiamo il pos virtuale ma questo modulo SAQ dove si scarica e a chi si consegna? cioè per compilarlo serve per forza la firma di un esperto esterno oppure va bene se lo firma il legale rappresentante della società?

Prima di spendere un solo centesimo, entrate nel pannello dell'integratore da cui ricevete i pagamenti. Molti istituti di pagamento nella sezione compliance offrono gratuitamente il proprio certificato PCI DSS e una dichiarazione SAQ già pronta intestata a voi. Scaricarla e inviarla alla banca di solito risolve subito il problema.

L'anno scorso con un volume simile abbiamo affrontato lo stesso iter. Abbiamo compilato il modulo SAQ A, timbrato e inviato alla banca, e la questione si è chiusa. Abbiamo solo fatto fare due scansioni di vulnerabilità esterne all'anno per il nostro sito, pagando in tutto circa 6.000 TL. 180.000 TL è una proposta totalmente truffaldina.

La strada che sembra economica di solito finisce per costare cara. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

È tutto, scusate se mi sono dilungato.

Corretto. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Correggetemi se sbaglio.

La strada che sembra economica di solito finisce per costare cara. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Spero che le sia utile.

Questo thread è archiviato.

La penso diversamente. Se il percorso di notifica è lungo la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Spero che le sia utile.

non trascurare nulla: Se non lo rendete scrito fin dall'inizio poi nascono discussioni.

c'è anche un aspetto di misurazione. onestamente se rimproverate i falsi allarmi nessuno segnalerà più nulla.

prendere misre senza fare un inventario lascia aperta una porta che non vedi.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Sono d'accordo. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza. Correggetemi se sbaglio.

Questo approccio ha un costo di cui non si parla. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Se avete domande scrivete, rispondo per quanto possibile.

breve riassunto per i nuovi arrivati: I primi tre mesi vanno bene i problemi emergono al quarto mese.

confermato dall'esperienza.