Принимаем оплату через POS и онлайн — что именно от нас требует сертификация PCI DSS?

Вам совершенно нечего бояться, юридический язык в стандартных письмах банков обычно создаёт лишнюю панику. Пока вы ни в коем случае не храните номер карты, срок действия и CVV-код в своей базе данных, ваша задача сводится лишь к заполнению и подписанию правильной формы.

Есть 3 проверки, которые нужно сделать прямо сейчас: 1) Проверьте, вводятся ли карточные данные на сайте электронной коммерции напрямую в окне платёжного провайдера, 2) Убедитесь, что на физических POS-слипах номер карты выходит замаскированным, 3) Запросите у представителя вашего банка шаблон анкеты SAQ для вашей организации.

Некоторые консалтинговые фирмы на рынке, пользуясь неосведомлённостью МСБ в этом вопросе, предлагают за 5 000–10 000 долларов, как будто требуется аудит Уровня 1. Ни в коем случае не попадайтесь в эти ловушки, в вашем масштабе нанимать стороннюю аудиторскую фирму совершенно не нужно.

Мы получили такое же письмо, когда у нас было около 80 000 операций в год. Поскольку наша платёжная инфраструктура была с редиректом, мы заполнили только анкету SAQ A, приложили SSL и сканирование безопасности сайта. Весь процесс банк одобрил за 2 дня, и всё решилось с нулевыми затратами.

если не хранишь карты на своём сервере, то и переживать не о чем. самое критичное — держать пароли админки сайта надёжными и не забывать обновлять ssl-сертификат. заполни форму и отправь в банк этого достаточно.

когда я впервые получил то письмо, я подумал что мы закрываеем компанию, термины настолько запутанные что человек пугается но но когда вникаешь понимаешь что банк просто хочет твою подпись под «ты ведь не хранишь карты помимо меня да?».

Проверьте тип технической интеграции, указанный в договоре торговой точки, заключённом с вашей платёжной организацией. Если вы получаете карточные данные напрямую через API, вы можете попасть под SAQ A-EP; в этом случае требования и проверки безопасности будут несколько строже.

Поговорите с вашей софтверной компанией и получите подтверждение: «Обрабатывает или сохраняет наш сайт карточные данные каким-либо образом?». Если ответ нет, сообщите банку, что заполните SAQ A, заполните форму за полчаса и закроете вопрос.

Хорошо, что вы создали эту тему.

Я тоже так считаю. кстати начните с небольшого эксперимента не привязывайте всё сразу.

Полностью согласен... Решения работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Я бы пошел этим путем.

Здесь есть ловушка не могу промолчать. Спешка в решениях оборачивается исправлениями через полгода.

Это мое мнение, не утверждаю что оно единственно верное.

Отличная работа. Начните с небольшого эксперимента, не привязывайте всё сразу.

Первые три месяца все идет хорошо проблемы всплывают на четвертом. Пишите если есть вопросы отвечу по мере возможности.

я проходил через это, расскажу. большая часть потерь вреени копится на задачах ожидающих согласования.

У нас так же.

Я тоже так считаю. Спешка в решениях оборачивается исправлениями через полгода.

Оставлю как заметку пригодится.

Сохранил.

Нужно идти по порядку. Большая часть потерь времени копится на задачах, ожидающих согласования.

Исправьте, если я ошибаюсь.