PCI-vaatimustenmukaisuuden kustannuslaskuri & käyttöopas

Ovatko järjestelmäsi lukittuja vai täysin avoimia. Hoidatko asian itse, palkkaatko konsultin vai annatko sen hallinnoidun palvelun tehtäväksi. Ja näppäileekö henkilöstösi koskaan – koskaan – korttitietoja selaimeen maksupäätteen sijaan.

Tämä laskuri selkeyttää kokonaisuuden.

Vastaa muutamaan kysymykseen maksuympäristöstäsi ja tietoturvan tasosta, niin näet ensimmäisen vuoden kustannukset ja vuosittaiset kokonaiskustannukset – sekä sen, mistä ne muodostuvat ja miten voit pienentää summaa tinkimättä olennaisesta.

PCI-vaatimustenmukaisuuden kustannuslaskurin käyttö

Laskuri käy ympäristösi järjestelmällisesti läpi:

1. Valitse, miten vastaanotat maksuja. Vain myymälässä, vain verkossa vai molemmissa? Kukin kanava tuo mukanaan erilaista vaatimustenmukaisuustyötä – verkkokauppa edellyttää haavoittuvuusskannauksia, vähittäiskauppa lisää laitehallintaa ja monikanavainen toiminta tarkoittaa molempia.
2. Syötä toimipaikkojen ja maksupäätteiden määrä. Useampi myymälä ja kassajärjestelmä tarkoittaa useampia laadittavia käytäntöjä, suojattavia päätelaitteita ja hallinnoitavia laitteita. Laskuri huomioi tämän automaattisesti.
3. Valitse kuukausittainen korttimaksujen määrä. Suurempi tapahtumamäärä ei kasvata kustannuksia lineaarisesti, mutta se vaikuttaa auditointivaatimuksiin ja maksupalveluntarjoajan valvontaan. Laskuri mukauttaa arvion tämän mukaisesti.
4. Hienosäädä valinnaisia asetuksia. Valitse järjestelmäsi lukitustaso (Perustaso, Kohtalainen tai Edistynyt). Valitse, kuka hoitaa vaatimustenmukaisuuden – itse, itse konsultin avustuksella vai kokonaan hallinnoituna palveluna. Ilmoita, näppäileekö henkilöstö korttitietoja selaimiin ja käyttävätkö maksupäätteet validoitua P2PE-salausta. Nämä valinnat vaikuttavat kokonaiskustannukseen merkittävästi.
5. Katso arviosi. Saat ensimmäisen vuoden kustannukset (mukaan lukien käyttöönotto) ja vuosittaiset jatkuvat kustannukset. Erittely näyttää, mistä kokonaiskustannukset muodostuvat – joten voit korjata kalleimmat osa-alueet.

Get Free Access

Sign up and stay in the loop with fresh content, podcasts, how-to guides, tool reviews, and product exclusives.

Get Free Access

Have an account? Log In

Mitkä tekijät todellisuudessa vaikuttavat PCI-vaatimustenmukaisuuden kustannuksiin

Muutama tekijä määrittää suurimman osan laskusta. Kun ymmärrät ne, voit tehdä parempia päätöksiä ennen sopimusten allekirjoittamista.

• Maksuvirta ja arkkitehtuuri. Isännöity maksusivu, jolla sivustosi ei koskaan käsittele korttitietoja? Vähäinen laajuus, vähäiset kustannukset. Paikalliset kassajärjestelmät yrityksen tasaisessa verkossa? Suurin mahdollinen laajuus, suurimmat kustannukset. P2PE-validoidut maksupäätteet, jotka salaavat korttitiedot syöttövaiheessa? Jotain näiden väliltä – mutta paljon lähempänä vähäistä laajuutta.
• Toimipaikkojen ja maksupäätteiden määrä. Jokainen myymälä tarvitsee käytäntöjä, henkilöstökoulutusta ja mahdollisesti erillisiä skannauksia. Jokainen maksupääte tarvitsee laitehallintaa, määritysstandardit ja tietoturvapäivitykset. Viisi toimipaikkaa ja 20 maksupäätettä maksaa enemmän kuin yksi toimipaikka ja viisi maksupäätettä – mutta ei suhteellisesti enempää, jos toteutat kokonaisuuden järkevästi.
• Tietoturvan kypsyys. Ovatko järjestelmät jo suojattuja verkon segmentoinnilla, päivitysten hallinnalla, käyttöoikeuksien valvonnalla ja dokumentoiduilla käytännöillä? Kustannukset ovat pienemmät, koska korjattavaa on vähemmän. Avoimet verkot, joissa kassajärjestelmä jakaa infrastruktuurin WiFin, vieraslaitteiden ja ylläpitotyöasemien kanssa? Kustannukset ovat suuremmat, koska rakennat kaiken alusta.
• Itse tekeminen vai hallinnoidut palvelut. Konsultit maksavat rahaa. Itse tekeminen maksaa aikaa. Kysymys ei ole siitä, kumpi on halvempi – vaan siitä, kumpi valmistuu aikataulussa. Jos sinulla on verkkosegmentoinnin tunteva IT-tiimi, joka pystyy suorittamaan haavoittuvuusskannauksia, voit hoitaa asian itse. Jos olet kahden hengen operatiivinen tiimi, joka pyörittää 15:tä myymälää, maksa ammattilaiselle. Laskurilla voit verrata molempia vaihtoehtoja.
• Ihmiset ja prosessit. Kallein mahdollinen toimintatapa on antaa henkilöstön näppäillä korttitietoja selaimiin – edes satunnaisesti. Kun yksi myymäläpäällikkö syöttää korttitietoja virtuaaliseen maksupäätteeseen suojaamattomalla kannettavalla tietokoneella, vaatimustenmukaisuuden piiri laajenee muutamasta maksupäätteestä kaikkiin verkon laitteisiin. Korjaa työnkulku ensin ja budjetoi vaatimustenmukaisuus vasta sen jälkeen.

Näin muutat arvion konkreettisiksi toimenpiteiksi

Aloita tämänhetkisistä kustannuksista.

Suorita laskuri nykyisillä asetuksillasi – puutteineen kaikkineen. Näppäileekö henkilöstö korttitietoja selaimiin? Rastita kohta. Onko verkko tasainen? Valitse "Perustaso"-tietoturva. Hoidatko asian itse? Valitse se. Tämä on lähtötilanteesi.

Vertaa tietomurron riskiin.

Tietomurto maksaa toimialan arvioiden mukaan keskimäärin 200 dollaria jokaista vaarantunutta korttia kohden rikosteknisen tutkinnan, ilmoitusten, uusien korttien myöntämisen ja brändivahinkojen vuoksi.

Jos käsittelet 1 000 korttia kuukaudessa ja joudut tietomurron kohteeksi, altistut 200 000 dollarin kustannuksille. Yhtäkkiä 10 000 dollarin vuotuinen vaatimustenmukaisuusohjelma näyttääkin edulliselta.

Laadi malli optimoidusta versiosta.

Suorita laskelma nyt uudelleen käyttämällä P2PE-päätteitä, verkkokaupan isännöityä kassatoimintoa ja segmentoituja verkkoja.

Huomaatko eron? Se on etenemissuunnitelmasi. Jos P2PE:hen siirtyminen säästää 15 000 dollaria vuodessa vaatimustenmukaisuuden yleiskustannuksissa, se maksaa itsensä nopeasti takaisin.

Ota käsittelymaksut huomioon.

Monet maksunkäsittelijät veloittavat vaatimustenvastaisuusmaksuja – 50–200 dollaria kuukaudessa, kunnes täytät SAQ-arviointikyselysi ja vahvistuksesi. Pelkästään nämä maksut voivat kattaa konsultin tai hallinnoidun palvelun kustannukset.

Oppaamme pienten yritysten PCI-vaatimustenmukaisuudesta erittelee maksunkäsittelijätyypeittäin vaihtelevat seuraamusmallit.

Yhdistä tulokset SAQ-arviointikyselyysi.

Jos laskelma näyttää korkeat kustannukset ja yllätyt, tarkista PCI SAQ -kyselymme avulla, minkä SAQ-arviointikyselyn piiriin kuulut. Jos olet jumissa SAQ D:n (329 kysymyksen valtavan kyselyn) kanssa, laskelma näyttää miksi – ja miten voit siirtyä yksinkertaisempaan SAQ-arviointikyselyyn pienentämällä soveltamisalaa.

Konkreettisia tapoja pienentää kokonaiskustannuksia tinkimättä

• Ota verkkokaupassa käyttöön isännöity kassatoiminto. Pidä korttitiedot kokonaan poissa verkkosivustoltasi. Käytä maksupalveluntarjoajan – älä sisällönhallintajärjestelmäsi – isännöimiä kassasivuja, upotettuja kehyksiä tai maksukenttiä. Näin siirryt SAQ A-EP:stä tai D:stä SAQ A:han ja leikkaat vuosikustannuksia tuhansilla.
• Ota käyttöön P2PE-validoidut päätteet. Pisteestä pisteeseen -salaus tarkoittaa, että korttitiedot salataan maksupäätteessä ja ne pysyvät salattuina, kunnes maksunkäsittelijäsi purkaa salauksen. Kun ympäristössäsi ei ole salaamattomia korttitietoja, soveltamisala on suppeampi, hallintakeinoja tarvitaan vähemmän ja auditoinnit ovat lyhyempiä. Kysy maksunkäsittelijältäsi P2PE-vaihtoehdoista – päätteen kustannus maksaa itsensä nopeasti takaisin.
• Segmentoi verkkosi. Kassajärjestelmien ja maksupäätteiden ei pitäisi käyttää samaa verkkoinfrastruktuuria Wi-Fi-verkon, ylläpitolaitteiden tai vieraskäytön kanssa. Maksujärjestelmille tarkoitettu segmentoitu VLAN pienentää kortinhaltijatietoympäristösi koko verkosta vain maksualiverkoksi. Tämä yksi muutos voi vähentää vaatimustenmukaisuustyötä 60 prosenttia.
• Automatisoi tarkistukset ja korjauspäivitykset. Neljännesvuosittaiset haavoittuvuustarkistukset ovat pakollisia useimmissa SAQ-arviointikyselyissä. Kuukausittaiset tarkistukset ovat parempia – ne havaitsevat ongelmat ennen kuin niistä tulee auditoinnissa esiin nostettavia puutteita. Automaattinen korjauspäivitysten hallinta pitää järjestelmät ajan tasalla ilman viime hetken kiirettä. Molemmat vähentävät yllätyksellistä työtä vaatimustenmukaisuussyklien aikana.
• Dokumentoi kaikki heti alusta alkaen. Käytännöt, koulutustiedot, muutoslokit ja inventaarioluettelot. Jos jotain ei ole dokumentoitu, sitä ei ole tapahtunut – ja auditoijat vaativat sinua tekemään työn uudelleen. Kirjaa asiat ylös työn edetessä sen sijaan, että joutuisit kiirehtimään ennen vuosittaista validointia.
• Kouluta henkilöstö siihen, miksi sääntöjä noudatetaan, älä vain siihen, mitä pitää tehdä. ”Älä kirjoita korttinumeroita muistiin” on sääntö. ”Korttinumeroiden kirjoittaminen muistiin tarkoittaa, että ne kuuluvat soveltamisalaan, mikä kolminkertaistaa vaatimustenmukaisuuskustannuksemme ja altistaa meidät tietomurron vastuulle” on perustelu. Koulutettu henkilöstö noudattaa käytäntöjä – henkilöstö, joka ymmärtää syyn, valvoo käytäntöjen noudattamista.
• Rajoita virtuaalipäätteiden käyttöä. Jos tiimisi käyttää virtuaalipäätteitä (verkkopohjaista korttitietojen syöttöä), rajoita käyttö tiettyihin laitteisiin, käytä monivaiheista tunnistautumista ja kirjaa jokainen istunto. Vielä parempi vaihtoehto on poistaa virtuaalipäätteet kokonaan ottamalla käyttöön päätteet kaikissa toimipaikoissa, joissa maksuja vastaanotetaan.

Milloin tehdä itse ja milloin palkata apua

Itsenäinen toteutus toimii, kun:

• Sinulla on alle viisi toimipaikkaa ja vähän tapahtumia
• IT-tiimisi ymmärtää verkon segmentoinnin, haavoittuvuustarkistukset ja käyttöoikeuksien hallinnan
• Käytät jo isännöityä kassatoimintoa tai P2PE-päätteitä (suppea soveltamisala)
• Sinulla on aikaa perehtyä PCI-vaatimuksiin ja dokumentoida kaikki

Palkkaa konsultti, kun:

• Olet jumissa SAQ D:n kanssa etkä tiedä, miten soveltamisalaa voisi pienentää
• Ympäristösi on monimutkainen – esimerkiksi usean toimipaikan vähittäiskauppa keskitettyine järjestelmineen
• IT-tiimisi on täysin työllistetty eikä pysty ottamaan vastuulleen vaatimustenmukaisuustyötä
• Tarvitset jonkun muuttamaan PCI-vaatimukset konkreettisiksi teknisiksi korjauksiksi

Siirry kokonaan hallinnoituun palveluun, kun:

• Sinulla ei ole perustukea laajempaa sisäistä IT-osaamista
• Kasvat nopeasti ja vaatimustenmukaisuusongelmat toistuvat jatkuvasti
• Laskelma toimii – hallinnoidut palvelut maksavat vähemmän kuin tiimisi käyttämä aika ja konsulttipalkkiot yhteensä
• Haluat taatun vuosittaisen validoinnin ilman sisäistä projektinhallintaa

Laskurilla voit mallintaa kaikki kolme lähestymistapaa. Vertaile lukuja ja tee päätös tiimisi kapasiteetin, älä pelkkien kustannusten, perusteella.

More Articles

• Mikä on kassajärjestelmä? Ominaisuudet, hyödyt ja käyttötarkoitukset
• 11 kassajärjestelmien tärkeintä hyötyä
• Digitaaliset kuitit vähittäiskaupassa: strategia & käyttöönotto-opas

Piilokustannus: väärin tekeminen

Laskuri näyttää suorat kustannukset – työkalut, palvelut ja ajan. Se ei näytä PCI-vaatimustenmukaisuuden virheellisen toteutuksen kustannuksia.

• Tietoturvaloukkauksen kustannukset. Alan arvioiden mukaan keskimäärin 200 dollaria korttia kohden. Pienet vähittäiskauppiaat, jotka käsittelevät 500 korttia kuukaudessa, altistuvat 100 000 dollarin kustannuksille täydellisen tietomurron tapauksessa – rikostekninen tutkinta, ilmoitukset, korttien uusiminen, oikeudenkäyntikulut ja brändille aiheutuva vahinko.
• Maksunkäsittelijän seuraamukset. Vaatimustenvastaisuudesta perittävät 50–200 dollarin kuukausimaksut kasvavat 2 400 dollariin vuodessa. Sillä maksaa konsultin. Sillä maksaa P2PE-päätteet. Sillä maksaa hallinnoidun palvelun. Maksat joka tapauksessa – yhtä hyvin voit maksaa vaatimustenmukaisuudesta seuraamusten sijaan.
• Epäonnistuneet auditoinnit. Jos maksunkäsittelijäsi vaatii vaatimustenmukaisuusraportin (ROC) itsearvioinnin sijaan ja epäonnistut, edessäsi ovat korjauskustannukset sekä uusi auditointikierros. Budjetti ylittyy. Projektit viivästyvät. Tiimit kuormittuvat.
• Oikoteiden aiheuttama soveltamisalan laajeneminen. Annoitko kerran esihenkilön syöttää kortin hallitsemattomaan kannettavaan tietokoneeseen? Onneksi olkoon, vaatimustenmukaisuuden soveltamisala laajeni juuri kolmesta päätteestä kaikkiin verkossasi oleviin laitteisiin. Tämän korjaaminen maksaa kymmenkertaisesti yhden uuden päätteen käyttöönottoon verrattuna.
• Laske todellinen luku – ja toimi sen perusteella. Käytä tätä työkalua kustannusten ymmärtämiseen. Käytä sitten PCI SAQ -tietovisaamme vahvistaaksesi SAQ-tyyppisi ja pienten yritysten PCI-vaatimustenmukaisuutta käsittelevää opastamme suunnitelmasi laatimiseen.

Entä jos lukusi on odotettua suurempi?

Jos laskuri näyttää kustannuksia, joita et osannut odottaa, älä panikoi. Vaihtoehtoja on.

• Vahvista ensin SAQ-tyyppisi.

Käytä PCI SAQ -tietovisaamme varmistaaksesi, että täytät oikean kyselylomakkeen.

Monet yritykset olettavat olevansa SAQ D -tyypin piirissä, vaikka ne voisivat pienillä muutoksilla täyttää B- tai C-tyypin vaatimukset. Siirtyminen yksinkertaisempaan SAQ-tyyppiin pienentää kustannuksia välittömästi.

• Keskity arkkitehtuurimuutoksiin.

Siirtyminen omissa tiloissa ylläpidetyistä maksusivuista isännöityyn maksamiseen voi pienentää vuosikustannuksia yli 10 000 dollarilla.

P2PE-päätteiden käyttöönotto tavallisten päätteiden sijaan vähentää jatkuvaa skannaustyötä ja auditointeihin liittyvää työtä. Nämä eivät ole pikaratkaisuja – ne pienentävät kustannuksia pysyvästi.

• Toteuta työ vaiheittain.

Kaikkea ei tarvitse korjata kerralla.

Aloita suurimman vaikutuksen muutoksista – verkon segmentoinnista, P2PE:n käyttöönotosta ja isännöidystä maksamisesta – ja käsittele sen jälkeen käytännöt ja dokumentaatio. Laskuri näyttää kokonaiskustannukset, mutta voit jakaa työn useille vuosineljänneksille.

• Vertaile palveluntarjoajia.

Maksuyhdyskäytävät vaihtelevat suuresti sen suhteen, kuinka paljon PCI-vaatimustenmukaisuuteen liittyvää työtä ne aiheuttavat.

Jotkin hoitavat vaatimustenmukaisuuden puolestasi. Jotkin siirtävät kaiken vastuun sinulle. Parhaiden maksuyhdyskäytäväpalveluntarjoajien vertailumme sisältää PCI-näkökohdat – koska halvin maksuyhdyskäytävä ei ole edullinen, jos se kolminkertaistaa vaatimustenmukaisuuskustannuksesi.

• Pyydä kilpailukykyisiä tarjouksia.

Jos laskuri osoittaa, että tarvitset apua, pyydä tarjoukset useilta pätevöidyiltä turvallisuusarvioijilta (QSA) tai hallinnoitujen palvelujen tarjoajilta.

Hinnoittelu vaihtelee palveluntarjoajien välillä kolminkertaisesti saman työn osalta. Vertaile vaihtoehtoja.