Il gateway di pagamento richiede la conformità PCI DSS: basta il SAQ-A o serve un audit esterno?

Potete procedere passo dopo passo così: 1) Scaricate il documento PCI DSS AOC aggiornato dal pannello di controllo del vostro payment provider. 2) Recuperate il modulo SAQ-A più recente dal sito ufficiale del PCI Security Standards Council. 3) Rispondete alle domande, fate firmare il documento al legale rappresentante dell'azienda e caricate il modulo sul portale del fornitore di pagamento.

Noi lavoriamo con un volume annuo di 1,5 milioni di EUR e abbiamo ricevuto una notifica simile. All'inizio c'erano consulenti che ci chiedevano circa 5.000 EUR per l'audit. Abbiamo parlato con il referente tecnico del nostro gestore di pagamenti, abbiamo confermato che usiamo l'iframe e abbiamo compilato noi stessi il modulo SAQ-A, che è stato approvato. Spesa totale: zero.

Se sul sito usate l'iframe, fate attenzione ai nuovi requisiti introdotti con PCI DSS v4.0. Ora è obbligatorio verificare l'integrità e l'autorizzazione di tutti gli script JavaScript di terze parti eseguiti nella pagina di pagamento. Anche con il SAQ-A, questi controlli sono diventati obbligatori per prevenire il rischio che script malevoli si propaghino dalla pagina principale all'iframe di pagamento.

Il vostro fornitore di servizi di pagamento che metodo di integrazione usa esattamente? Ad esempio, reindirizzamento diretto, iframe inline o un metodo basato su libreria JavaScript che converte i dati della carta in token? Se fate tokenizzazione via JavaScript, a volte la banca può considerarlo SAQ A-EP.

Per chiarire la vostra situazione fate queste verifiche: 1) Il codice sorgente del campo di inserimento carta viene effettivamente caricato dal dominio del gestore di pagamenti? 2) Nei log del vostro server transita per caso qualche parametro di richiesta contenente numero di carta o CVV? 3) Nel pannello del fornitore di pagamenti il vostro livello esercente risulta come Livello 4? Se questi tre punti sono a posto, l'audit esterno non serve.

I reparti rischio degli istituti di pagamento a volte mandano e-mail con template automatici richiedendo l'audit QSA come se foste esercenti di Livello 1. Non fatevi spillare soldi da società esterne senza aver prima approfondito la cosa. L'anno scorso è arrivata una comunicazione simile anche a noi, abbiamo risposto: 'Non conserviamo dati delle carte sui nostri sistemi, forniamo il SAQ-A' e la faccenda si è chiusa lì.

Il SAQ-A è più che sufficiente per la vostra configurazione. Con 350 mila euro di fatturato annuo non c'è alcun presupposto normativo che vi obblighi a sottoporvi a un audit indipendente. Non fatevi ingannare dai preventivi gonfiati delle società QSA compilate il modulo da soli e inviatelo.

abbiamo avuto la stessa identica paura due anni fa, il tono dell'e-mail ricevuta era talmente duro che pensavo stessimo per beccarci una multa pesante. poi ci siamo messi a leggere il modulo a mente lucida e l'abbiamo finito in mezza giornata. tra l'altro nella documentazione di supporto del gestore dei pagamenti era spiegato persino come rispondere a ciascuna domanda.

Grazie per aver scritto.

Il punto più trascurato riguardo a conformità pci dss è questo: Un backup non testato non è un backup.

Sono d'accordo in parte, in parte no. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Io seguirei questa strada.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. boh la maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Se avete domande scrivete, rispondo per quanto possibile.

nel nostro caso è andata così. il fatto che tutti facciano una cosa non significa che sia quella giusta.

questa è la mia opinione non la scrivo come verità assoluta.

Preso nota, grazie. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Ottimo lavoro. Cercare di farlo da soli è la strada più costosa.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

In teoria è giusto, in pratica non funziona così. Inizia con un piccolo test non impegnarti subito su tutto.

Se avete domande scrivete rispondo per quanto possibile.

Sono emerse tre opinioni diverse si completano a vicenda... Le persone difendono le abitudini, non i processi... cioè la resistenza nasce da lì.

Naturalmente cambia se la vostra situazione è diversa.

La discussione si è dispersa, la riassumo. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Se scrivete qui il risultato sarà utile anche ad altri.