Платёжный провайдер требует соответствия PCI DSS — достаточно ли SAQ-A или нас ждёт аудит?

Процесс можно пройти шаг за шагом: 1) Скачайте актуальный документ PCI DSS AOC из панели управления вашего платёжного провайдера. 2) Получите актуальный документ SAQ-A с официального сайта Совета по стандартам безопасности PCI. 3) Ответьте на вопросы, дайте подписать руководителю компании и загрузите форму в портал вашего платёжного провайдера.

У нас годовой оборот 1,5 миллиона EUR, нам приходило похожее уведомление. Поначалу консультанты тоже выкатили нам ценник за аудит в районе 5.000 EUR. Мы связались с техподдержкой нашего платежного провайдера, подтвердили, что используем iframe, сами заполнили форму SAQ-A, и её приняли. Расходов ноль.

Если на сайте используется iframe, обратите внимание на новые требования в PCI DSS v4.0. Теперь необходимо подтверждать целостность и авторизацию всех сторонних JavaScript-скриптов, работающих на странице оплаты. Даже при SAQ-A эти проверки стали обязательными из-за риска внедрения вредоносных скриптов с основной страницы в платежный iframe.

Какой именно метод интеграции у вас используется с платежным провайдером? Например прямой редирект, встроенный iframe или JS-библиотека которая токенизирует данные карты? Если токенизация идет через JavaScript банк иногда может классифицировать это как SAQ A-EP.

Чтобы точно понять вашу ситуацию, проверьте следующее: 1) Загружается ли исходный код поля ввода карты напрямую с домена платежной системы? 2) Проходят ли в логах вашего сервера какие-либо параметры запросов с номерами карт или CVV? 3) Указан ли в панели платежного провайдера ваш уровень мерчанта как Уровень 4? Если по всем трём пунктам порядок, внешний аудит не нужен.

Отделы рисков платежных систем иногда делают шаблонные рассылки и требуют QSA-аудит будто вы мерчант первого уровня. Не разобравшись в ситуации, не спешите отдавать деньги сторонним конторам. Нам в прошлом году прилетало такое же письмо мы ответили: «Данные карт в системе не хранятся, предоставляем SAQ-A», — и вопрос закрылся.

Для вашей схемы SAQ-A более чем достаточно. С годовым оборотом в 350 тысяч евро нет никаких законных оснований загонять вас на независимый аудит. Не ведитесь на завышенные ценники QSA-компаний, заполняйте форму сами и отправляйте.

мы два года назад пережили точно такой же стресс: тон письма был настолько жестким, что я уже ждал огромных штрафов. сели, со спокойной головой прочитали форму и управились за полдня потом в справочных материалах платежного провайдера было даже расписано на какие вопросы как отвечать.

Спасибо за ваш пост.

Самое упускаемое из вида в теме соответствие pci dss: Непроверенная резервная копия — не резервная копия.

Частично согласен, частично нет. То, что делают все, не значит, что это правильно.

Я бы пошел этим путем.

Об этом много говорят но у нас так никогда не было. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Пишите, если есть вопросы, отвечу по мере возможности.

у нас было так... то, что делают все не значит, что это правильно.

это мое мнение, не утверждаю что оно единственно верное.

Взял на заметку, спасибо. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Интересно, есть ли те, кто делает иначе.

Отличная работа. Пытаться сделать это в одиночку — самый дорогой путь.

Интересно, есть ли те, кто делает иначе.

В теории верно, но на практике так не работает. Начните с небольшого эксперимента, не привязывайте всё сразу.

Пишите если есть вопросы, отвечу по мере возможности.

Появились три разных мнения, они дополняют друг друга. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Конечно если ваша ситуация отличается всё меняется.

Обсуждение размылось давайте структурируем. Если на один вопрос вы получаете три разных ответа вопрос задан неправильно.

Если напишете результат здесь это поможет и другим.