Относимся ли мы к PCI DSS Level 1 — какой уровень действует при нашем объеме операций?

Тут принципиальный момент: как именно выводится форма на сайте — через чистый iframe или подключается JS-библиотека. Если это редирект на банк или стандартный iframe, вы заполняете SAQ A, там буквально 22–25 простых пунктов с ответами да/нет. А вот если форма ввода генерируется прямо на вашем домене, понадобится SAQ A-EP, и там уже придется раз в квартал проходить внешнее ASV-сканирование.

Консалтинговая фирма устроила типичный маркетинг страха. 15 лет управляю инфраструктурой e-commerce, ни разу не видел, чтобы какая-нибудь малая или средняя компания, не перешагнувшая порог в 6 миллионов, была Level 1. Форма, которую вам прислал банк, скорее всего стандартный шаблон для рутинных ежегодных проверок. Спросите у представителя банка ваш тип SAQ, не влезайте в лишние расходы на аудит.

Уведомления, которые рассылают банки, обычно связаны с требованиями законодательства BDDK и ежегодным обновлением инвентаря международными платёжными системами. Достаточно ответить вашему банку официальным письмом, где указать количество транзакций, что вы не храните карточные данные и что данные держателя карты проходят напрямую через инфраструктуру лицензированной платёжной организации.

Были ли раньше подозрения на утечку карточных данных из вашей системы или необычная волна chargeback'ов от банков? Потому что даже при небольшом количестве транзакций платёжные системы могут административным решением перевести компанию у которой выявили нарушение безопасности, на уровень Level 1. Если такого случая не было, предложение абсолютно неуместно.

мы тоже пользуемся виртуальным pos, но откуда скачать эту форму SAQ и куда её сдавать? для заплнения формы обязательно нужна подпись стороннего специалиста или достаточно подписи руководителя компании?

Прежде чем потратить хоть копейку, зайдите в панель интегратора, через которого принимаете оплату. Многие платёжные организации во вкладке соответствия бесплатно предоставляют свой сертификат PCI DSS и готовую декларацию SAQ, оформленную на ваше имя. Скачать её и отправить в банк обычно решает вопрос сразу.

С похожим объёмом мы прошли тот же процесс в прошлом году. Заполнили форму SAQ A, поставили печать и отправили в банк — тему закрыли. Только для сайта дважды в год заказывали внешнее сканирование уязвимостей, за это заплатили в сумме около 6.000 TL. 180.000 TL — это чистой воды развод.

Дешевый на вид путь обычно выходит дороже в итоге. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

На этом всё, извините, если затянул.

Верно. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Исправьте, если я ошибаюсь.

Дешевый на вид путь обычно выходит дороже в итоге. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Надеюсь, это будет полезно.

Эта тема в архиве.

Я думаю иначе. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Надеюсь, это будет полезно.

не упустите: Если не зафиксировать это письменно с самого начала потом возникнут споры.

здесь есть еще и аспект измерений и если ругать за ложные тревгои никто больше не будет присылать уведомления.

меры принятые без инвентаризации, оставляют открытыми двери о которых вы не знаете.

Здесь описано ровно то, что пережили мы. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Интересно есть ли те кто делает иначе.

Согласен. При принятии решений записывайте и худший сценарий а не только лучший.

Изменение платежных данных никогда не подтверждается через тот же канал. Исправьте, если я ошибаюсь.

У этого подхода есть цена, о которой молчат. Процесс, по которому не ведется учет не улучшается потому что вы не знаете, что именно улучшать.

Пишите, если есть вопросы, отвечу по мере возможности.

краткое резюме для новичков: Первые три мессяца все идет хорошо, проблемы всплывают на четвертом.

проверено опытом.