Kalkulator for kostnader ved PCI-samsvar & veiledning

Du vet at PCI-samsvar ikke er valgfritt. Betalingsformidleren din gjorde det klart. Men ingen fortalte deg hva det faktisk ville koste.

Du ringer en konsulent for å få et pristilbud. De sier «det kommer an på» og ber om et tre timer langt kartleggingsmøte. Du googler «kostnad for PCI-samsvar» og finner alt fra 500 til 50 000 dollar. Det er ikke et spenn – det er et rulettspill.

Her er det som faktisk driver regningen: Hvordan du tar imot betalinger. Hvor mange lokasjoner og terminaler du administrerer.

Om systemene dine er låst ned eller står vidåpne. Om du gjør det selv, leier inn en konsulent eller overlater det til en administrert tjeneste. Og om de ansatte noen gang – noen gang – taster kortdata inn i en nettleser i stedet for en terminal.

Denne kalkulatoren skjærer gjennom støyen.

Svar på noen spørsmål om betalingsoppsettet og sikkerhetsnivået ditt, så får du se totaler for det første året og for påfølgende år – samt hva som driver kostnadene, og hvordan du kan redusere beløpet uten å ta snarveier.

Slik bruker du denne kalkulatoren for kostnader ved PCI-samsvar

Kalkulatoren går systematisk gjennom miljøet ditt:

1. Velg hvordan du tar imot betalinger. Kun i butikk, kun på nett eller begge deler? Hver kanal innebærer forskjellig samsvarsarbeid – netthandel skaper krav om skanning, detaljhandel innebærer enhetsadministrasjon, og omnikanal betyr begge deler.
2. Angi lokasjoner og terminaler. Flere butikker og POS-enheter betyr flere retningslinjer som må utarbeides, flere endepunkter som må sikres og mer enhetsadministrasjon. Kalkulatoren tar automatisk hensyn til dette.
3. Velg månedlig kortvolum. Et høyere transaksjonsvolum mangedobler ikke kostnadene lineært, men det påvirker revisjonskravene og betalingsformidlerens kontroll. Kalkulatoren justerer deretter.
4. Finjuster valgfrie innstillinger. Velg nivået for nedlåsing av systemet (Grunnleggende, Moderat eller Avansert). Velg hvem som håndterer samsvar – gjør det selv, gjør det selv med hjelp fra en konsulent eller fullt administrert. Angi om de ansatte taster kort inn i nettlesere, og om terminalene bruker validert P2PE. Disse valgene kan endre totalen dramatisk.
5. Se estimatet ditt. Få kostnader for det første året (inkludert oppsett) og årlige løpende kostnader. Oppdelingen viser hva som driver totalen – slik at du kan rette opp det som koster mest.

Hva som faktisk driver kostnadene ved PCI-samsvar

Noen få faktorer står for det meste av regningen. Forstå dem, så kan du ta bedre beslutninger før du signerer kontrakter.

• Betalingsflyt og arkitektur. Betalingsløsning levert av en ekstern vert, der nettstedet ditt aldri håndterer kortdata? Begrenset omfang, minimale kostnader. Lokale POS-systemer på det flate bedriftsnettverket ditt? Maksimalt omfang, maksimale kostnader. P2PE-validerte terminaler som krypterer kortdata ved inntasting? Et sted imellom – men mye nærmere minimum.
• Antall lokasjoner og terminaler. Hver butikk trenger retningslinjer, opplæring av ansatte og potensielt separate skanninger. Hver terminal trenger enhetsadministrasjon, konfigurasjonsstandarder og sikkerhetsoppdateringer. Fem lokasjoner med 20 terminaler koster mer enn én lokasjon med fem terminaler – men ikke proporsjonalt mer hvis du gjør det på en smart måte.
• Sikkerhetsmodenhet. Systemer som allerede er låst ned med segmenterte nettverk, oppdateringsadministrasjon, tilgangskontroller og dokumenterte retningslinjer? Lavere kostnader fordi du må utbedre mindre. Vidåpne nettverk der POS deler infrastruktur med WiFi, gjesteenheter og arbeidsstasjoner for administrasjon? Høyere kostnader fordi du bygger fra grunnen av.
• Gjør det selv kontra administrerte tjenester. Konsulenter koster penger. Å gjøre det selv koster tid. Spørsmålet er ikke hva som er billigst – men hva som blir ferdig i tide. Hvis du har et IT-team som kan nettverkssegmentering og kjøre sårbarhetsskanninger, fungerer det å gjøre det selv. Hvis du er et driftsteam på to personer som driver 15 butikker, bør du betale noen for å gjøre det. Kalkulatoren lar deg sammenligne begge deler.
• Mennesker og prosesser. Det dyreste du kan gjøre, er å la ansatte taste kort inn i nettlesere – selv bare av og til. En butikksjef som taster kortopplysninger inn i en virtuell terminal på en usikret bærbar datamaskin, utvider omfanget ditt fra noen få terminaler til alle enheter på nettverket. Fiks arbeidsflyten først, og budsjetter deretter for samsvar.

Slik gjør du dette estimatet handlingsrettet

Start med kostnaden i dag.

Kjør kalkulatoren med det nåværende oppsettet ditt – med alle mangler og svakheter. Taster ansatte kort inn i nettlesere? Kryss av i boksen. Flatt nettverk? Velg «Grunnleggende» sikkerhet. Gjør du det selv? Velg det. Dette er utgangspunktet ditt.

Sammenlign med risikoen for datainnbrudd.

Et datainnbrudd koster i gjennomsnitt 200 dollar per kompromitterte kort for etterforskning, varsling, utstedelse av nye kort og omdømmeskade, ifølge bransjeestimater.

Hvis du behandler 1 000 kort per måned og blir utsatt for et datainnbrudd, er det en eksponering på 200 000 dollar. Plutselig ser et årlig samsvarsprogram til 10 000 dollar billig ut.

Lag en modell av den optimaliserte versjonen.

Kjør kalkulatoren på nytt med P2PE-terminaler, vertsbasert utsjekking for netthandel og segmenterte nettverk.

Ser du forskjellen? Det er veikartet ditt. Hvis oppgradering til P2PE sparer 15,000 dollar årlig i kostnader til etterlevelse, har investeringen betalt seg raskt.

Ta med gebyrer fra betalingsinnløseren i beregningen.

Mange betalingsinnløsere krever gebyrer for manglende etterlevelse—50 til 200 dollar per måned frem til du har fullført SAQ-en og bekreftelsen. Disse gebyrene alene kan betale for en konsulent eller en administrert tjeneste.

Veiledningen vår om PCI-etterlevelse for små bedrifter bryter ned gebyrstrukturene etter type betalingsinnløser.

Knytt det til SAQ-en din.

Hvis kalkulatoren viser høye kostnader og du blir overrasket, kan du sjekke hvilken SAQ du omfattes av ved hjelp av vår PCI SAQ-quiz. Hvis du sitter fast med SAQ D (beistet med 329 spørsmål), viser kalkulatoren hvorfor—og hvordan du kan komme over på en enklere SAQ ved å redusere omfanget.

Konkrete måter å redusere totalkostnadene uten å ta snarveier

• Bruk vertsbasert utsjekking for netthandel. Hold kortdata helt borte fra nettstedet ditt. Bruk vertsbaserte utsjekkingssider, iframe-elementer eller betalingsfelt som leveres av betalingsløsningen din—ikke av CMS-et ditt. Dette flytter deg fra SAQ A-EP eller D til SAQ A og reduserer de årlige kostnadene med tusenvis.
• Ta i bruk P2PE-validerte terminaler. Punkt-til-punkt-kryptering betyr at kortdata krypteres i terminalen og forblir kryptert frem til betalingsinnløseren dekrypterer dem. Når du ikke har kortdata i klartekst i miljøet ditt, får du mindre omfang, færre kontroller og kortere revisjoner. Spør betalingsinnløseren om P2PE-alternativer—kostnaden for terminalen tjenes raskt inn.
• Segmenter nettverkene dine. POS- og betalingsterminaler bør ikke dele nettverksinfrastruktur med WiFi, administrative enheter eller gjestetilgang. Et segmentert VLAN for betalingssystemer reduserer CDE-et ditt (miljøet for kortholderdata) fra hele nettverket til bare betalingssubnettet. Denne ene endringen kan redusere arbeidet med etterlevelse med 60 %.
• Automatiser skanning og oppdatering. Kvartalsvise sårbarhetsskanninger kreves for de fleste SAQ-er. Månedlige skanninger er bedre—de oppdager problemer før de blir avvik i revisjonen. Automatisert oppdateringshåndtering holder systemene oppdaterte uten brannslukking. Begge deler reduserer uforutsett arbeid i forbindelse med etterlevelsessykluser.
• Dokumenter alt fra dag én. Retningslinjer, opplæringslogger, endringslogger og beholdningslister. Hvis det ikke er dokumentert, har det ikke skjedd—og revisorene vil få deg til å gjøre arbeidet på nytt. Skriv det ned underveis i stedet for å stresse før den årlige valideringen.
• Lær opp de ansatte i hvorfor, ikke bare hva. «Ikke skriv ned kortnumre» er en regel. «Når vi skriver ned kortnumre, omfattes de av kravene, noe som tredobler kostnadene våre for etterlevelse og utsetter oss for ansvar ved datainnbrudd» er en begrunnelse. Opplærte ansatte følger retningslinjene—ansatte som forstår hvorfor, håndhever retningslinjene.
• Sikre virtuelle terminaler. Hvis teamet ditt bruker virtuelle terminaler (nettbasert registrering av kort), bør du begrense tilgangen til bestemte enheter, bruke flerfaktorautentisering og loggføre hver økt. Enda bedre er det å fjerne virtuelle terminaler helt ved å ta i bruk terminaler på alle steder som trenger å ta imot betalinger.

Når du kan gjøre det selv, og når du bør leie inn hjelp

Det fungerer å gjøre det selv når:

• Du har færre enn fem lokasjoner og et begrenset transaksjonsvolum
• IT-teamet ditt forstår nettverkssegmentering, sårbarhetsskanning og tilgangskontroller
• Du allerede bruker vertsbasert utsjekking eller P2PE-terminaler (begrenset omfang)
• Du har tid til å lære deg PCI-kravene og dokumentere alt

Lei inn en konsulent når:

• Du sitter fast med SAQ D og ikke vet hvordan du kan redusere omfanget
• Du har komplekse miljøer—detaljhandel på flere lokasjoner med sentraliserte systemer
• IT-teamet ditt er overbelastet og ikke kan ta på seg arbeid med etterlevelse
• Du trenger noen som kan oversette PCI-krav til konkrete tekniske tiltak

Velg en fullt administrert løsning når:

• Du ikke har intern IT-kompetanse utover grunnleggende brukerstøtte
• Du vokser raskt og etterlevelsen stadig svikter
• Regnestykket går opp—administrerte tjenester koster mindre enn tiden til teamet ditt pluss konsulenthonorarer
• Du ønsker garantert årlig validering uten intern prosjektstyring

Kalkulatoren lar deg modellere alle tre tilnærmingene. Sammenlign tallene, og bestem deg deretter basert på teamets kapasitet—ikke bare kostnaden i kroner.

Den skjulte kostnaden: Å gjøre det feil

Kalkulatoren viser direkte kostnader—verktøy, tjenester og tid. Den viser ikke kostnaden ved å gjøre PCI-etterlevelsen feil.

• Kostnader ved datainnbrudd. Gjennomsnittlig 200 dollar per kort ifølge bransjeestimater. Små forhandlere som håndterer 500 kort per måned, står overfor en eksponering på 100 000 dollar ved et fullstendig kompromiss – etterforskning, varsling, utstedelse av nye kort, juridiske gebyrer og omdømmeskade.
• Gebyrer fra betalingsformidleren. Gebyrer for manglende samsvar på mellom 50 og 200 dollar per måned utgjør opptil 2 400 dollar i året. Det er en konsulent. Det er P2PE-terminaler. Det er en administrert tjeneste. Du betaler uansett – da kan du like gjerne betale for samsvar i stedet for gebyrer.
• Mislykkede revisjoner. Hvis betalingsformidleren krever en samsvarsrapport (ROC) i stedet for en egenerklæring, og du ikke består, må du betale for utbedring samt en ny revisjonsrunde. Budsjettet sprekker. Prosjekter blir forsinket. Team blir stresset.
• Omfangsutvidelse som følge av snarveier. Den ene gangen du lot en leder registrere et kort på en ukontrollert bærbar datamaskin? Gratulerer, samsvarsomfanget ditt har nettopp utvidet seg fra tre terminaler til alle enheter på nettverket ditt. Kostnaden for å rette opp dette er ti ganger høyere enn kostnaden for å ta i bruk én terminal til.
• Beregn det faktiske tallet – og gjør noe med det. Bruk dette verktøyet til å forstå kostnadene. Bruk deretter vår PCI SAQ-quiz for å bekrefte SAQ-typen din, og vår veiledning om PCI-samsvar for små bedrifter for å lage veikartet ditt.

Hva om tallet ditt er høyere enn forventet?

Hvis kalkulatoren viser kostnader du ikke hadde forventet, må du ikke få panikk. Du har alternativer.

• Valider SAQ-en din først.

Bruk vår PCI SAQ-quiz for å bekrefte at du fyller ut riktig spørreskjema.

Mange virksomheter antar at de må bruke SAQ D, selv om de kunne kvalifisere for B eller C med mindre endringer. Ved å gå over til en enklere SAQ reduserer du kostnadene umiddelbart.

• Fokuser på arkitekturendringer.

Ved å gå fra betalings­sider på eget nettverk til et vertsbasert betalings­trinn kan du redusere de årlige kostnadene med over 10 000 dollar.

Ved å ta i bruk P2PE-terminaler i stedet for standardterminaler sparer du løpende arbeid med skanning og revisjoner. Dette er ikke midlertidige løsninger – det er varige kostnadsreduksjoner.

• Del opp arbeidet i faser.

Du trenger ikke å fikse alt på én gang.

Begynn med endringene som har størst effekt – nettverkssegmentering, innføring av P2PE og vertsbasert betalings­trinn – og ta deretter for deg retningslinjer og dokumentasjon. Kalkulatoren viser de totale kostnadene, men du kan fordele arbeidet over flere kvartaler.

• Sammenlign leverandørene dine.

Betalingsgatewayer varierer kraftig når det gjelder hvor mye PCI-arbeid de medfører.

Noen håndterer samsvar for deg. Andre overlater alt til deg. Vår sammenligning av de beste leverandørene av betalingsgatewayer inkluderer PCI-hensyn – fordi den billigste betalingsgatewayen ikke er billig hvis den tredobler samsvarskostnadene dine.

• Innhent konkurrerende tilbud.

Hvis kalkulatoren antyder at du trenger hjelp, bør du innhente tilbud fra flere QSA-er (kvalifiserte sikkerhetsvurderere) eller leverandører av administrerte tjenester.

Prisene varierer tre ganger mellom leverandører for identisk arbeid. Sammenlign tilbudene.