PCI-SAQ-test: Find dit korrekte SAQ på 2 minutter

Du er ikke alene, hvis PCI-compliance føles som regulatorisk slå-muldvarpen.

Din betalingsudbyder sender en e-mail: "Udfyld din årlige PCI SAQ senest fredag." Du googler "PCI SAQ" og finder fem forskellige spørgeskemaer—A, A-EP, B, C, D—hver med forskellige krav.

Det ene har 22 spørgsmål. Et andet har 329. Du har ingen idé om, hvilket der gælder for dig.

Vælg det forkerte, og du spilder timer på at besvare irrelevante spørgsmål. Eller endnu værre: Du springer kontroller over, som du faktisk har brug for—og udsætter dig selv for databrud, bøder eller sanktioner fra betalingsudbyderen.

Løsningen? Denne quiz.

Den spørger, hvordan du modtager betalinger i dag, hvor kortdata bevæger sig, og hvilke systemer der har adgang til dem. To minutter senere får du din SAQ-type, en begrundelse i klart sprog og en tjekliste, du kan handle på.

Sådan fungerer denne PCI SAQ-quiz

Quizzen gennemgår dit betalingsmiljø systematisk:

1. Hvordan kunder indtaster kortdata. Hostet betaling? Betalingsside på dit websted? Selvstændig terminal? POS på dit netværk? Virtuel terminal? Svaret afgør dit grundlæggende omfang.
2. Hvor kortdata bevæger sig. Du bekræfter, hvilke systemer der har adgang til kortdata, og om noget gemmer dem (selv midlertidigt). Lagring ændrer alt.
3. Kontrol af P2PE og manuel indtastning. P2PE-validerede terminaler begrænser omfanget markant. Manuel indtastning i en browser—selv "bare en gang imellem"—udvider det.
4. Afsluttende bekræftelsesspørgsmål. Et par ja/nej-spørgsmål afklarer særlige tilfælde og bekræfter din opsætning.
5. Dit resultat. Få din SAQ-type, en forklaring på, hvorfor den passer til din virksomhed, og en konkret handlingsliste, så du kan opnå compliance uden at spilde tid.

Det får du med dit resultat

• Din præcise SAQ-type. Ingen gætterier. Quizzen fortæller dig, hvilket spørgeskema du skal udfylde—A, A-EP, B, C eller D—baseret på, hvordan du faktisk modtager betalinger.
• Begrundelse i klart sprog. Du kan se, hvorfor denne SAQ passer til din opsætning, så du kan forklare det til din betalingsudbyder, revisor eller dit team uden at lyde, som om du læser op fra en compliance-manual.
• Handlingsorienteret tjekliste. Konkrete næste skridt—segmentér dit netværk, skift til hostede felter, implementér P2PE—der gør compliance til et projekt, du kan afslutte dette kvartal, i stedet for at trække det ud i månedsvis.
• Baggrund til videre læring. Ny inden for PCI? Vi linker til vores guide om PCI-compliance for små virksomheder, så du kan forstå hvorfor'et bag hvert krav.

Hurtige SAQ-definitioner—hvad hver type faktisk betyder

SAQ A — Kortdata berører aldrig dine systemer

Fuldt hostet e-handel eller tilbagevendende fakturering. Dit websted omdirigerer til en betalingsside eller bruger en iframe, hvor betalingsudbyderen håndterer alt. Dine systemer ser, behandler eller gemmer aldrig kortdata.

SAQ A-EP — Dit websted hoster betalingselementer

Dit websted hoster betalingssider, JavaScript eller scripts, der kan påvirke betalingsforløbet. Større omfang end SAQ A, fordi din infrastruktur berører betalingsprocessen—selv hvis den ikke gemmer kortdata.

SAQ B — Kun terminaler med opkald

Selvstændige terminaler, der ringer ud via en telefonlinje, eller gammeldags aftrykstrykker. Ingen internetforbindelse til dit netværk betyder et minimalt omfang.

SAQ C — Selvstændige IP-forbundne terminaler

Betalingsterminaler, der er forbundet til internettet, men isoleret fra dit virksomhedsnetværk. Almindeligt i detailhandel med segmenterede POS-opsætninger. Ingen lagring af kortdata.

SAQ D — Alt andet

Tilpassede betalingsforløb, enhver lagring af kortdata eller et bredt netværksomfang, hvor flere systemer kan få adgang til betalingsdata.

Dette er den store—329 spørgsmål, der dækker hele dit miljø.

Almindelige fejl, der placerer dig i den forkerte SAQ

• At antage, at du er SAQ A, når du indlejrer betalingsfelter. iFrames og hostede omdirigeringer kan kvalificere til SAQ A – men hvis din side indlæser betalingsfelter direkte (selv via javascript), er det sandsynligvis A-EP, du skal bruge. Quizzen afklarer dette hurtigt.
• At lade medarbejdere indtaste kortoplysninger i en browser – selv "bare en gang imellem." Når en butikschef indtaster kortoplysninger i en virtuel terminal på en laptop uden kontrol, udvider det dit PCI-omfang. Ret arbejdsgangen med ordentlige terminaler eller en låst opsætning af den virtuelle terminal.
• At springe P2PE over. Point-to-point-krypteringsenheder betyder, at kortdata krypteres ved terminalen og forbliver krypteret, indtil de når din betalingsudbyder. P2PE-validerede terminaler reducerer omfanget markant – spørg din udbyder om dem.
• At blande systemer på et fladt netværk. Har du POS-terminaler på samme netværk som dine administrative arbejdsstationer, WiFi og andre enheder? Det er en udvidelse af omfanget. Segmentér dit netværk, så betalingssystemerne er isolerede. Det kræver mindre arbejde, end du tror, og sparer dig for store revisionsproblemer senere.
• At ignorere mobilbetalinger. Hvis du tager imod ordrer via telefon og indtaster kortoplysninger i en virtuel terminal, tæller det med. Hvis din app behandler betalinger, tæller det med. Quizzen tager højde for disse scenarier.

Næste skridt, efter du har fået dit resultat

Hvis du har begrænsede ressourcer, kan du bruge quiztjeklisten sammen med vores vejledning om PCI-overholdelse for små virksomheder.

Du kan gå frem trin for trin uden at hyre en konsulent, før du faktisk får brug for en.

Hvis du skifter platform eller opgraderer systemer, skal du prioritere udbydere med hostede felter og P2PE-understøttelse.

Vores sammenligning af de bedste betalingsgatewayudbydere viser, hvilke platforme der gør overholdelse lettere – og hvilke der skaber problemer.

Hvis quizzen henviser dig til SAQ D, skal du ikke gå i panik.

Ja, det er det længste spørgeskema, men mange virksomheder starter dér og arbejder sig baglæns ved at reducere omfanget.

Implementér P2PE-terminaler, skift til hostet betaling for e-handel, og segmentér netværk. Inden for få måneder kan du måske kvalificere dig til en enklere SAQ – og spare tid og penge på løbende revisioner.

Hvorfor dette betyder mere, end de fleste detailhandlere tror

PCI handler ikke kun om at undgå bøder – selvom de hurtigt løber op. Det handler om at beskytte din virksomhed mod omkostninger ved databrud, som ifølge branchedata i gennemsnit udgør 200 USD pr. kompromitteret kort.

Et databrud hos en mellemstor detailhandler, der håndterer 500 kort om måneden, kan koste 100.000 USD i efterforskning, underretning, genudstedelse af kort og skade på brandet.

Den rigtige SAQ betyder, at du kan fokusere på kontroller, der faktisk reducerer risikoen, i stedet for afkrydsningsbaseret overholdelse af irrelevante krav. Det er forskellen på at spilde en uge på det forkerte spørgeskema og at afslutte overholdelsen på en eftermiddag med en klar tjekliste.

Tag quizzen nu – brug to minutter på at finde ud af, hvilken SAQ du skal bruge, og handl derefter.