Beregner til omkostninger ved PCI-overholdelse & vejledning

Du ved, at overholdelse af PCI-krav ikke er valgfrit. Din betalingsudbyder gjorde det klart. Men ingen fortalte dig, hvad det faktisk ville koste.

Du ringer til en konsulent for at få et tilbud. De siger "det afhænger af det" og beder om et tre timer langt afklaringsmøde. Du googler "omkostninger ved PCI-overholdelse" og finder beløb fra $500 til $50,000. Det er ikke et interval – det er et roulettehjul.

Her er det, der faktisk driver regningen: Hvordan du modtager betalinger. Hvor mange lokationer og terminaler du administrerer.

Om dine systemer er låst ned eller står vidt åbne. Om du gør det selv, hyrer en konsulent eller overlader det til en administreret tjeneste. Og om dit personale nogensinde – nogensinde – indtaster kortdata i en browser i stedet for i en terminal.

Denne beregner skærer igennem støjen.

Svar på nogle få spørgsmål om din betalingsopsætning og sikkerhedstilstand, så får du vist totaler for det første år og de årlige omkostninger – plus hvad der driver dem, og hvordan du kan få tallet ned uden at gå på kompromis.

Sådan bruger du beregneren til omkostninger ved PCI-overholdelse

Beregneren gennemgår systematisk dit miljø:

1. Vælg, hvordan du modtager betalinger. Kun i butik, kun online eller begge dele? Hver kanal medfører forskelligt arbejde med overholdelse af kravene – e-handel skaber krav om scanning, detailhandel tilføjer enhedsstyring, og sammenkædede kanaler betyder begge dele.
2. Indtast lokationer og terminaler. Flere butikker og POS-enheder betyder flere politikker, der skal udarbejdes, flere slutpunkter, der skal sikres, og mere enhedsstyring. Beregneren tager automatisk højde for dette.
3. Vælg dit månedlige kortvolumen. En højere transaktionsvolumen mangedobler ikke omkostningerne lineært, men den påvirker kravene til revision og betalingsudbyderens kontrol. Beregneren justerer i overensstemmelse hermed.
4. Finjuster valgfrie indstillinger. Vælg niveauet for nedlukning af dit system (Grundlæggende, Moderat eller Avanceret). Vælg, hvem der håndterer overholdelsen af kravene – gør-det-selv, gør-det-selv med hjælp fra en konsulent eller fuldt administreret. Angiv, om medarbejdere indtaster kortoplysninger i browsere, og om terminalerne bruger valideret P2PE. Disse valg kan ændre totalen markant.
5. Se dit estimat. Få omkostningerne for det første år (inklusive opsætning) og de løbende årlige omkostninger. Opdelingen viser, hvad der driver totalen – så du kan løse de dyre problemer.

Hvad driver faktisk omkostningerne ved PCI-overholdelse?

Nogle få faktorer bestemmer størstedelen af regningen. Forstå dem, så kan du træffe bedre beslutninger, før du underskriver kontrakter.

• Betalingsflow og arkitektur. Hostet betalingsside, hvor dit websted aldrig rører kortdata? Begrænset omfang, begrænsede omkostninger. Lokale POS-systemer på dit flade virksomhedsnetværk? Maksimalt omfang, maksimale udgifter. P2PE-validerede terminaler, der krypterer kortdata ved indtastningen? Et sted midt imellem – men meget tættere på det minimale.
• Antallet af lokationer og terminaler. Hver butikslokation har brug for politikker, medarbejdertræning og potentielt separate scanninger. Hver terminal har brug for enhedsstyring, konfigurationsstandarder og sikkerhedsrettelser. Fem lokationer med 20 terminaler koster mere end én lokation med fem terminaler – men ikke proportionalt mere, hvis du gør det klogt.
• Sikkerhedsmodenhed. Systemer, der allerede er låst ned med segmenterede netværk, rettelsesstyring, adgangskontroller og dokumenterede politikker? Lavere omkostninger, fordi der er mindre, der skal udbedres. Vidt åbne netværk, hvor POS deler infrastruktur med WiFi, gæsteenheder og administrative arbejdsstationer? Højere omkostninger, fordi du bygger fra bunden.
• Gør-det-selv versus administrerede tjenester. Konsulenter koster penge. Gør-det-selv koster tid. Spørgsmålet er ikke, hvad der er billigst – men hvad der bliver færdigt til tiden. Hvis du har et IT-team, der kender til netværkssegmentering og kan køre sårbarhedsscanninger, fungerer gør-det-selv. Hvis du er et driftsteam på to personer, der driver 15 butikker, så betal nogen for at gøre det. Beregneren lader dig sammenligne begge muligheder.
• Mennesker og processer. Det dyreste, du kan gøre, er at lade medarbejdere indtaste kortoplysninger i browsere – selv lejlighedsvis. En butikschef, der indtaster kortoplysninger i en virtuel terminal på en usikret bærbar computer, udvider dit omfang fra nogle få terminaler til alle enheder på dit netværk. Ret arbejdsgangen først, og budgettér derefter til overholdelse af kravene.

Sådan gør du dette estimat handlingsrettet

Start med omkostningerne i dag.

Kør beregneren med din nuværende opsætning – med alle dens fejl og mangler. Indtaster medarbejdere kortoplysninger i browsere? Markér feltet. Fladt netværk? Vælg "Grundlæggende" sikkerhed. Gør-det-selv? Vælg det. Det er dit udgangspunkt.

Sammenlign med risikoen for databrud.

Et databrud koster i gennemsnit $200 pr. kompromitteret kort til efterforskning, underretning, genudstedelse og skade på varemærket ifølge brancheestimater.

Hvis du behandler 1,000 kort om måneden og bliver ramt af et databrud, har du en eksponering på $200,000. Pludselig ser et årligt program til overholdelse af kravene på $10,000 billigt ud.

Modellér den optimerede version.

Kør nu beregningen igen med P2PE-terminaler, hostet betaling til e-handel og segmenterede netværk.

Kan du se forskellen? Det er din køreplan. Hvis en opgradering til P2PE sparer 15.000 USD om året i omkostninger til overholdelse, tjener den hurtigt sig selv hjem.

Medregn gebyrer fra betalingsudbyderen.

Mange betalingsudbydere opkræver gebyrer for manglende overholdelse – 50 til 200 USD om måneden, indtil du har udfyldt din SAQ og afgivet din erklæring. Disse gebyrer alene kan betale for en konsulent eller en administreret tjeneste.

Vores guide til PCI-overholdelse for små virksomheder gennemgår gebyrstrukturer efter type af betalingsudbyder.

Hold det op mod din SAQ.

Hvis beregneren viser høje omkostninger, og du bliver overrasket, kan du med vores PCI SAQ-quiz se, hvilken SAQ du hører under. Hvis du sidder fast med SAQ D (uhyret med 329 spørgsmål), viser beregneren hvorfor – og hvordan du kan komme over på en enklere SAQ ved at reducere omfanget.

Konkrete måder at sænke de samlede omkostninger uden at gå på kompromis

• Vælg hostet betaling til e-handel. Hold kortdata helt væk fra dit websted. Brug hostede betalings­sider, iframes eller betalingsfelter, der leveres af din betalingsgateway – ikke af dit CMS. Det flytter dig fra SAQ A-EP eller D til SAQ A og reducerer de årlige omkostninger med tusindvis.
• Implementer P2PE-validerede terminaler. Punkt-til-punkt-kryptering betyder, at kortdata krypteres i terminalen og forbliver krypteret, indtil din betalingsudbyder dekrypterer dem. Ingen kortdata i klartekst i dit miljø betyder et mindre omfang, færre kontroller og kortere revisioner. Spørg din betalingsudbyder om P2PE-muligheder – terminalomkostningen tjener sig hurtigt hjem.
• Segmenter dine netværk. POS- og betalingsterminaler bør ikke dele netværksinfrastruktur med WiFi, administrative enheder eller gæsteadgang. Et segmenteret VLAN til betalingssystemer reducerer dit CDE (miljøet for kortholderdata) fra hele dit netværk til kun betalingsundernettet. Denne ene ændring kan reducere arbejdet med overholdelse med 60 %.
• Automatiser scanninger og programrettelser. Kvartalsvise sårbarhedsscanninger er påkrævet for de fleste SAQ'er. Månedlige scanninger er bedre – de opdager problemer, før de bliver anmærkninger ved en revision. Automatiseret styring af programrettelser holder systemerne opdaterede uden panikindsatser. Begge dele reducerer uventet arbejde under overholdelsescyklusser.
• Dokumentér alt fra dag ét. Politikker, træningsregistre, ændringslogge og inventarlister. Hvis det ikke er dokumenteret, er det ikke sket – og revisorer vil få dig til at udføre arbejdet igen. Skriv det ned, efterhånden som du gør det, i stedet for at skynde dig før den årlige validering.
• Træn medarbejderne i hvorfor, ikke kun hvad. "Skriv ikke kortnumre ned" er en regel. "Når kortnumre skrives ned, bliver de omfattet af kravene, hvilket tredobler vores omkostninger til overholdelse og udsætter os for erstatningsansvar ved databrud" er en begrundelse. Trænede medarbejdere følger politikkerne – medarbejdere, der forstår hvorfor, håndhæver politikkerne.
• Sikr virtuelle terminaler. Hvis dit team bruger virtuelle terminaler (webbaseret indtastning af kortdata), skal du begrænse adgangen til bestemte enheder, bruge multifaktorgodkendelse og logge hver session. Endnu bedre: Afskaf virtuelle terminaler helt ved at installere terminaler på alle steder, der har brug for at modtage betalinger.

Hvornår du selv kan gøre det, og hvornår du bør få hjælp

Gør-det-selv fungerer, når:

• Du har færre end fem lokationer og et begrænset transaktionsomfang
• Dit IT-team forstår netværkssegmentering, sårbarhedsscanning og adgangskontroller
• Du allerede bruger hostet betaling eller P2PE-terminaler (begrænset omfang)
• Du har tid til at lære PCI-kravene og dokumentere alt

Ansæt en konsulent, når:

• Du sidder fast med SAQ D og ikke ved, hvordan du kan reducere omfanget
• Du har komplekse miljøer – detailhandel på flere lokationer med centraliserede systemer
• Dit IT-team har fuldt op og ikke kan påtage sig arbejde med overholdelse
• Du har brug for nogen til at omsætte PCI-krav til konkrete tekniske løsninger

Vælg fuldt administreret, når:

• Du ikke har intern IT ud over grundlæggende support
• Du vokser hurtigt, og overholdelsen bliver ved med at bryde sammen
• Regnestykket går op – administrerede tjenester koster mindre end dit teams tid plus konsulenthonorarer
• Du ønsker garanteret årlig validering uden intern projektstyring

Beregneren lader dig modellere alle tre tilgange. Sammenlign tallene, og beslut derefter ud fra dit teams kapacitet – ikke kun ud fra beløbet.

Den skjulte omkostning: At gøre det forkert

Beregneren viser direkte omkostninger – værktøjer, tjenester og tid. Den viser ikke omkostningen ved at håndtere PCI-overholdelsen forkert.

• Omkostninger ved databrud. Gennemsnitligt 200 USD pr. kort ifølge brancheestimater. Små detailhandlere, der håndterer 500 kort om måneden, står over for en eksponering på 100.000 USD ved et fuldstændigt kompromitteret system – forensisk analyse, underretning, genudstedelse af kort, juridiske gebyrer og brandskade.
• Gebyrer fra betalingsprocessoren. Gebyrer for manglende overholdelse på mellem 50 og 200 USD om måneden løber op i 2.400 USD om året. Det svarer til en konsulent. Det svarer til P2PE-terminaler. Det svarer til en administreret tjeneste. Du betaler under alle omstændigheder – så du kan lige så godt betale for overholdelse i stedet for bøder.
• Mislykkede revisioner. Hvis din betalingsprocessor kræver en overensstemmelsesrapport (ROC) i stedet for en selvevaluering, og du ikke består, står du over for omkostninger til afhjælpning samt endnu en revisionsrunde. Budgettet overskrides. Projekter bliver forsinkede. Teams bliver stressede.
• Udvidelse af omfanget på grund af genveje. Den ene gang, hvor du lod en leder indtaste et kort på en bærbar computer uden kontrol? Tillykke, dit overholdelsesomfang er netop blevet udvidet fra tre terminaler til alle enheder på dit netværk. Omkostningen ved at rette det er 10 gange så høj som omkostningen ved at installere én terminal mere.
• Beregn det reelle tal – og gør derefter noget ved det. Brug dette værktøj til at forstå omkostningerne. Brug derefter vores PCI SAQ-quiz til at bekræfte din SAQ-type og vores guide til PCI-overholdelse for små virksomheder til at udarbejde din handlingsplan.

Hvad hvis dit tal er højere end forventet?

Hvis beregneren viser omkostninger, du ikke havde forventet, skal du ikke gå i panik. Du har muligheder.

• Validér din SAQ først.

Brug vores PCI SAQ-quiz til at bekræfte, at du udfylder det rigtige spørgeskema.

Mange virksomheder antager, at de er SAQ D, selv om de kan kvalificere sig til B eller C med mindre ændringer. Et skift til en enklere SAQ reducerer omkostningerne med det samme.

• Fokuser på ændringer i arkitekturen.

Et skift fra lokalt hostede betalingssider til hostet betaling kan reducere de årlige omkostninger med 10.000 USD eller mere.

Installation af P2PE-terminaler i stedet for standardterminaler sparer løbende scannings- og revisionsarbejde. Det er ikke midlertidige løsninger – det er permanente omkostningsreduktioner.

• Faseinddel arbejdet.

Du behøver ikke løse alt på én gang.

Begynd med ændringerne med størst effekt – netværkssegmentering, installation af P2PE og hostet betaling – og tag derefter fat på politikker og dokumentation. Beregneren viser de samlede omkostninger, men du kan fordele arbejdet over flere kvartaler.

• Sammenlign dine udbydere.

Betalingsportaler varierer meget med hensyn til, hvor meget PCI-arbejde de medfører.

Nogle håndterer overholdelsen for dig. Andre overlader det hele til dig. Vores sammenligning af de bedste udbydere af betalingsportaler omfatter PCI-hensyn – for den billigste betalingsportal er ikke billig, hvis den tredobler dine omkostninger til overholdelse.

• Indhent konkurrencedygtige tilbud.

Hvis beregneren antyder, at du har brug for hjælp, så indhent tilbud fra flere QSA'er (kvalificerede sikkerhedsvurderere) eller udbydere af administrerede tjenester.

Priserne varierer tre gange mellem udbydere for identisk arbejde. Sammenlign dem.