PCI SAQ-quiz: Finn riktig SAQ på 2 minutter

Du er ikke alene hvis PCI-samsvar føles som et endeløst spill med regulatorisk kattesekk.

Betalingsformidleren din sender en e-post: "Fullfør den årlige PCI SAQ-en innen fredag." Du googler "PCI SAQ" og finner fem forskjellige spørreskjemaer—A, A-EP, B, C, D—alle med ulike krav.

Det ene har 22 spørsmål. Et annet har 329. Du har ingen anelse om hvilket som gjelder for deg.

Velg feil, og du kaster bort timer på å svare på irrelevante spørsmål. Eller enda verre: Du hopper over kontroller du faktisk trenger—og utsetter deg for datainnbrudd, bøter eller sanksjoner fra betalingsformidleren.

Løsningen? Denne quizen.

Den spør hvordan du tar imot betalinger i dag, hvor kortdata flyter, og hvilke systemer som berører dem. To minutter senere får du SAQ-typen din, en forklaring i klart språk og en sjekkliste du kan følge opp.

Slik fungerer denne PCI SAQ-quizen

Quizen går systematisk gjennom betalingsmiljøet ditt:

1. Hvordan kundene oppgir kortdata. Vertskontrollert betaling? Betalingsside på nettstedet ditt? Frittstående terminal? Kassepunkt på nettverket ditt? Virtuell terminal? Svaret avgjør det grunnleggende omfanget.
2. Hvor kortdata flyter. Du bekrefter hvilke systemer som berører kortdata, og om noe lagrer dem (selv midlertidig). Lagring endrer alt.
3. Kontroller av P2PE og manuell inntasting. P2PE-validerte terminaler reduserer omfanget dramatisk. Manuell inntasting i en nettleser—selv «bare av og til»—utvider det.
4. Avsluttende kontrollspørsmål. Noen få ja/nei-spørsmål avklarer spesielle tilfeller og bekrefter oppsettet ditt.
5. Resultatet ditt. Få SAQ-typen din, hvorfor den passer virksomheten din, og en konkret oppgaveliste for å oppnå samsvar uten å kaste bort tid.

Dette får du fra resultatet ditt

• Din nøyaktige SAQ-type. Ingen gjetting. Quizen forteller deg hvilket spørreskjema du skal fylle ut—A, A-EP, B, C eller D—basert på hvordan du faktisk tar imot betalinger.
• Forklaring i klart språk. Du får se hvorfor denne SAQ-en passer oppsettet ditt, slik at du kan forklare det for betalingsformidleren, revisoren eller teamet ditt uten å høres ut som om du leser fra en samsvarsmanual.
• Handlingsrettet sjekkliste. Konkrete neste steg—segmenter nettverket, bytt til vertsbaserte felt, ta i bruk P2PE—som gjør samsvar til et prosjekt du kan fullføre dette kvartalet, i stedet for å trekke det ut i månedsvis.
• Bakgrunn for videre læring. Ny på PCI? Vi lenker til veiledningen vår om PCI-samsvar for små bedrifter, slik at du kan forstå hvorfor hvert krav finnes.

Korte SAQ-definisjoner—hva hver type faktisk betyr

SAQ A — Kortdata berører aldri systemene dine

Fullstendig vertsbasert netthandel eller gjentakende fakturering. Nettstedet ditt videresender kunden til en betalingsside eller bruker en iframe der betalingstilbyderen håndterer alt. Systemene dine ser, behandler eller lagrer aldri kortdata.

SAQ A-EP — Nettstedet ditt er vert for betalingselementer

Nettstedet ditt er vert for betalingssider, JavaScript eller skript som kan påvirke betalingsflyten. Større omfang enn SAQ A fordi infrastrukturen din berører betalingsprosessen—selv om den ikke lagrer kortdata.

SAQ B — Kun oppringte terminaler

Frittstående terminaler som ringer ut over en telefonlinje, eller gammeldagse avtrykksmaskiner. Ingen internettilkobling til nettverket ditt betyr minimalt omfang.

SAQ C — Frittstående IP-tilkoblede terminaler

Betalingsterminaler som er koblet til internett, men isolert fra virksomhetsnettverket ditt. Vanlig i detaljhandelen med segmenterte kassepunktoppsett. Ingen lagring av kortdata.

SAQ D — Alt annet

Tilpassede betalingsflyter, all lagring av kortdata eller et bredt nettverksomfang der flere systemer kan få tilgang til betalingsdata.

Dette er den omfattende—329 spørsmål som dekker hele miljøet ditt.

Vanlige feil som plasserer deg i feil SAQ

• Å anta at du har SAQ A når du bygger inn betalingsfelter. iFrames og vertsbaserte viderekoblinger kan kvalifisere for SAQ A – men hvis siden din laster inn betalingsfelter direkte (selv via JavaScript), er det sannsynlig at du i stedet må bruke A-EP. Quizzen avklarer dette raskt.
• La ansatte taste inn kortopplysninger i en nettleser – selv «bare av og til». Når en butikksjef skriver inn kortopplysninger i en virtuell terminal på en bærbar datamaskin uten kontroll, utvides PCI-omfanget ditt. Korriger arbeidsflyten med riktige terminaler eller et låst oppsett for virtuell terminal.
• Hoppe over P2PE. Punkt-til-punkt-krypteringsenheter innebærer at kortopplysninger krypteres i terminalen og forblir kryptert til de når betalingsleverandøren din. P2PE-validerte terminaler reduserer omfanget betydelig – spør leverandøren din om dem.
• Blande systemer på et flatt nettverk. Har du POS-terminaler på samme nettverk som administratorenes arbeidsstasjoner, Wi-Fi og andre enheter? Det er en utvidelse av omfanget. Segmenter nettverket slik at betalingssystemene er isolert. Det krever mindre arbeid enn du tror og sparer deg for store revisjonsproblemer senere.
• Ignorere mobilbetalinger. Hvis du tar imot bestillinger via telefon og taster inn kortopplysninger i en virtuell terminal, teller det. Hvis appen din behandler betalinger, teller det. Quizzen tar høyde for disse scenarioene.

Neste steg etter at du har fått resultatet

Hvis du har begrensede ressurser, kan du bruke sjekklisten i quizzen sammen med veiledningen vår om PCI-samsvar for små bedrifter.

Du går trinn for trinn frem uten å ansette en konsulent før du faktisk trenger en.

Hvis du bytter plattform eller oppgraderer systemene, bør du prioritere leverandører med vertsbaserte felter og støtte for P2PE.

Sammenligningen vår av de beste leverandørene av betalingsgatewayer viser hvilke plattformer som gjør samsvar enklere – og hvilke som skaper problemer.

Hvis quizzen viser at du må bruke SAQ D, trenger du ikke få panikk.

Ja, det er det lengste spørreskjemaet, men mange virksomheter starter der og arbeider seg bakover ved å redusere omfanget.

Ta i bruk P2PE-terminaler, bytt til vertsbasert utsjekking for netthandel, og segmenter nettverkene. I løpet av noen måneder kan du kvalifisere for en enklere SAQ – og spare tid og penger på løpende revisjoner.

Hvorfor dette er viktigere enn de fleste detaljhandlere tror

PCI handler ikke bare om å unngå bøter – selv om de raskt kan bli kostbare. Det handler om å beskytte virksomheten din mot kostnader ved datainnbrudd, som i gjennomsnitt er 200 dollar per kompromitterte kort, ifølge bransjedata.

Et datainnbrudd hos en mellomstor detaljhandler som håndterer 500 kort per måned, kan koste 100 000 dollar i etterforskning, varsling, utstedelse av nye kort og omdømmeskade.

Riktig SAQ betyr at du kan fokusere på kontroller som faktisk reduserer risikoen, i stedet for avkrysningssamsvar med irrelevante krav. Det er forskjellen mellom å kaste bort en uke på feil spørreskjema og å fullføre samsvarsarbeidet på en ettermiddag med en tydelig sjekkliste.

Ta quizzen nå – bruk to minutter på å finne ut hvilken SAQ du trenger, og gjør deretter noe med resultatet.