Принимаем оплату через POS и онлайн — что от нас требует PCI DSS 4.0?

При оплате онлайн клиент вводит номер карты прямо в форму на вашем сайте или его перенаправляют на общую платёжную страницу банка с 3D Secure? Эта разница полностью меняет тип документа который вы будете заполнять.

Требования 6.4.3 и 11.6.1 в PCI DSS 4.0 нацелены прямо на безопасность скриптов в интернет-магазинах. Вредоносный код, просочившийся на платёжную страницу, может в фоне копировать карточные данные. Вы обязаны документировать обоснование каждого внешнего скрипта, работающего на экране оплаты.

Нам такое же письмо прислали два месяца назад. У нас 40.000 операций в год. Консалтинговая фирма запросила 35.000 TL. Мы сели и поговорили с банком, там сказали, что раз оплата идёт с перенаправлением, нам достаточно заполнить форму SAQ-A. Мы своими силами за 3 дня подготовили и отправили форму, её приняли.

если не храните карточные данные в базе, паниковать не о чем но банки по требованию регулятора автоматичесски рассылают эти письма всем, заполнишь форму без пропусков и отправишь — тема закрыта.

исправление: ошибся в цифре, было чуть меньше.

Отделы информационной безопасности банков, к сожалению, считают каждый бизнес гигантом электронной коммерции и шлют шаблонные тексты. Не бросайтесь сразу покупать аудит за тысячи лир; сначала получите от вашего представителя в банке письменное подтверждение, достаточно ли SAQ-A.

При заполнении формы можно застрять особенно на этих 3 пунктах: 1) сложность и регулярная смена паролей сервера и панели, 2) включённая двухфакторная аутентификация при входе в админ-панель, 3) список отслеживания серийных номеров физических POS-терминалов.

Прямо завтра выпишите серийные номера с нижней части POS-терминалов в ваших физических филиалах в таблицу. Составьте простой чек-лист, по которому раз в неделю будете проверять и подписывать "физического вмешательства нет" — так вы напрямую закроете вопрос проверки.

Не пугайтесь, PCI DSS 4.0 поначалу кажется очень сложным, но руководства по самооценке, подготовленные для малого бизнеса, довольно понятны. Скачайте документ SAQ-A с официального сайта, переведите на турецкий и идите шаг за шагом — справитесь за полдня.

буду отстаивать обратное, не обижайтесь.. и в общем забытые тестовые среды стнаовятся входом в систему чаще чем продакшн.

пишите, если есть вопросы, отвечу по мере возможности.

В целом верно, но один момент упущен. Если делаете впервые, начните с малого, масштабирование потом.

Без измерений мы всегда приходим к одному и тому же. Оставлю как заметку, пригодится.

Буду отстаивать обратное, не обижайтесь. Главное не цифра а то, на основе чего она получена.

Это мое мнение, не утверждаю, что оно единственно верное.

Самое упускаемое из вида в теме требования PCI DSS 4.0: Ответ сильно зависит от отрасли, универсального правила нет.

Исправьте, если я ошибаюсь.

У нас так же.

Сведу тему в кучу, так как ответов было несколько разных. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Интересно, есть ли те, кто делает иначе.

Я маленький бизнес, расскажу со своей стороны. Любой пункт, не зафиксированный письменно в будущем обе стороны будут помнить по-разному.

Исправьте, если я ошибаюсь.

Поделюсь своим опытом. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Проверено опытом.

Я тоже об этом думал. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Спасибо, что написали об этом, это действительно так. То, что делают все, не значит, что это правильно.

Если делаете впервые, начните с малого, масштабирование потом. Конечно, если ваша ситуация отличается, всё меняется.