PCI-compliancekostencalculator & handleiding

Of je systemen goed zijn vergrendeld of wagenwijd openstaan. Of je het zelf doet, een consultant inschakelt of het uitbesteedt aan een beheerde dienst. En of je medewerkers ooit—ooit—kaartgegevens in een browser invoeren in plaats van in een terminal.

Deze calculator maakt een einde aan de ruis.

Beantwoord een paar vragen over je betaalomgeving en beveiligingsniveau en je ziet de totalen voor het eerste jaar en de jaarlijkse kosten—plus wat deze bedragen bepaalt en hoe je het bedrag kunt verlagen zonder concessies te doen.

Deze PCI-compliancekostencalculator gebruiken

De calculator doorloopt je omgeving systematisch:

1. Kies hoe je betalingen accepteert. Alleen in de winkel, alleen online of beide? Elk kanaal brengt andere compliancewerkzaamheden met zich mee—e-commerce leidt tot scanvereisten, retail voegt apparaatbeheer toe en omnichannel betekent beide.
2. Voer locaties en terminals in. Meer winkels en POS-apparaten betekenen meer beleid om op te stellen, meer eindpunten om te beveiligen en meer apparaatbeheer. De calculator houdt hier automatisch rekening mee.
3. Selecteer je maandelijkse kaartvolume. Een hoger transactievolume vermenigvuldigt de kosten niet lineair, maar heeft wel invloed op auditvereisten en de controle door de betalingsverwerker. De calculator past de berekening dienovereenkomstig aan.
4. Verfijn de optionele instellingen. Kies het beveiligingsniveau van je systemen (Basis, Gemiddeld of Geavanceerd). Kies wie de compliance afhandelt—zelf doen, zelf doen met hulp van een consultant of volledig beheerd. Geef aan of medewerkers kaartgegevens in browsers invoeren en of terminals gevalideerde P2PE gebruiken. Deze keuzes hebben een grote invloed op het totaal.
5. Bekijk je schatting. Ontvang de kosten voor het eerste jaar (inclusief installatie) en de doorlopende jaarlijkse kosten. De uitsplitsing laat zien wat het totaal bepaalt—zodat je de dure onderdelen kunt aanpakken.

Wat bepaalt de kosten van PCI-compliance daadwerkelijk?

Een paar factoren bepalen het grootste deel van de rekening. Als je ze begrijpt, kun je betere beslissingen nemen voordat je contracten ondertekent.

• Betaalstroom en architectuur. Gehost afrekenen waarbij je website nooit kaartgegevens aanraakt? Minimale reikwijdte, minimale kosten. Lokale POS-systemen op je vlakke bedrijfsnetwerk? Maximale reikwijdte, maximale kosten. P2PE-gevalideerde terminals die kaartgegevens bij invoer versleutelen? Ergens daartussenin—maar veel dichter bij minimaal.
• Aantal locaties en terminals. Elke winkellocatie heeft beleid, training van medewerkers en mogelijk afzonderlijke scans nodig. Elke terminal heeft apparaatbeheer, configuratiestandaarden en beveiligingspatches nodig. Vijf locaties met 20 terminals kosten meer dan één locatie met vijf terminals—maar niet evenredig meer als je het slim aanpakt.
• Volwassenheid van de beveiliging. Systemen die al goed zijn vergrendeld met gesegmenteerde netwerken, patchbeheer, toegangscontroles en gedocumenteerd beleid? Lagere kosten omdat je minder hoeft te herstellen. Volledig open netwerken waarop POS-infrastructuur wordt gedeeld met wifi, gastapparaten en werkstations van beheerders? Hogere kosten omdat je vanaf nul begint.
• Zelf doen versus beheerde diensten. Consultants kosten geld. Zelf doen kost tijd. De vraag is niet wat goedkoper is—maar wat op schema wordt opgeleverd. Als je een IT-team hebt dat netwerksegmentatie kent en kwetsbaarheidsscans kan uitvoeren, werkt zelf doen. Als je een operationeel team van twee personen bent dat 15 winkels runt, betaal dan iemand. Met de calculator kun je beide opties vergelijken.
• Mensen en processen. Het duurste wat je kunt doen, is medewerkers kaartgegevens in browsers laten invoeren—even af en toe. Eén winkelmanager die kaartgegevens in een virtuele terminal op een onbeveiligde laptop invoert, vergroot je reikwijdte van een paar terminals naar elk apparaat op je netwerk. Los eerst de werkwijze op en begroot daarna de compliance.

Hoe je deze schatting omzet in actie

Begin met de huidige kosten.

Voer de calculator uit met je huidige configuratie—met alle tekortkomingen erbij. Voeren medewerkers kaartgegevens in browsers in? Vink het aan. Vlak netwerk? Kies de beveiligingsinstelling "Basis". Doe je het zelf? Selecteer dat. Dat is je uitgangspunt.

Vergelijk dit met het risico op een datalek.

Een datalek kost volgens schattingen uit de sector gemiddeld $200 per gecompromitteerde kaart voor forensisch onderzoek, kennisgeving, opnieuw uitgeven en reputatieschade.

Als je 1,000 kaarten per maand verwerkt en slachtoffer wordt van een datalek, is dat een blootstelling van $200,000. Plotseling lijkt een jaarlijks complianceprogramma van $10,000 goedkoop.

Bereken de geoptimaliseerde versie.

Voer de calculator nu opnieuw uit met P2PE-terminals, gehoste checkout voor e-commerce en gesegmenteerde netwerken.

Zie je het verschil? Dat is je routekaart. Als upgraden naar P2PE jaarlijks $15,000 aan compliance-overhead bespaart, verdient het zichzelf snel terug.

Houd rekening met boetes van verwerkers.

Veel verwerkers brengen kosten voor niet-naleving in rekening—$50 tot $200 per maand totdat je je SAQ en verklaring hebt voltooid. Alleen die kosten kunnen een consultant of beheerde dienst betalen.

Onze gids over PCI-naleving voor kleine bedrijven zet de boetestructuren per type verwerker uiteen.

Breng het in kaart aan de hand van je SAQ.

Als de calculator hoge kosten laat zien en je verrast bent, controleer dan met behulp van onze PCI SAQ-quiz onder welke SAQ je valt. Als je vastzit aan SAQ D (het monster met 329 vragen), laat de calculator zien waarom—en hoe je door de reikwijdte te verkleinen naar een eenvoudigere SAQ kunt overstappen.

Concrete manieren om de totale kosten te verlagen zonder concessies te doen

• Kies voor gehoste checkout bij e-commerce. Houd kaartgegevens volledig van je website weg. Gebruik gehoste checkoutpagina's, iframes of betaalvelden die door je gateway worden aangeboden—in plaats van door je CMS. Hierdoor ga je van SAQ A-EP of D naar SAQ A, waardoor de jaarlijkse kosten met duizenden worden verlaagd.
• Gebruik P2PE-gevalideerde terminals. Point-to-point-encryptie betekent dat kaartgegevens op de terminal worden versleuteld en versleuteld blijven totdat je verwerker ze ontsleutelt. Geen kaartgegevens in leesbare tekst in je omgeving betekent een kleinere reikwijdte, minder beheersmaatregelen en kortere audits. Vraag je verwerker naar P2PE-opties—de kosten van de terminal zijn snel terugverdiend.
• Segmenteer je netwerken. POS- en betaalterminals mogen geen netwerkinfrastructuur delen met wifi, beheerapparaten of gasttoegang. Een gesegmenteerd VLAN voor betaalsystemen verkleint je CDE (omgeving met kaarthoudergegevens) van je volledige netwerk tot alleen het betaal-subnet. Deze ene wijziging kan het nalevingswerk met 60% verminderen.
• Automatiseer scans en patchbeheer. Voor de meeste SAQ's zijn elk kwartaal kwetsbaarheidsscans vereist. Maandelijkse scans zijn beter—ze signaleren problemen voordat die auditproblemen worden. Geautomatiseerd patchbeheer houdt systemen actueel zonder paniekacties. Beide verminderen onverwacht werk tijdens nalevingscycli.
• Documenteer alles vanaf dag één. Beleid, trainingsregistraties, wijzigingslogboeken en inventarislijsten. Als het niet is gedocumenteerd, is het niet gebeurd—en auditors zullen je het werk opnieuw laten doen. Leg dingen vast terwijl je bezig bent, in plaats van je voor je jaarlijkse validatie in allerlei bochten te moeten wringen.
• Train medewerkers in het waarom, niet alleen in het wat. "Schrijf kaartnummers niet op" is een regel. "Kaartnummers opschrijven betekent dat ze binnen de reikwijdte vallen, waardoor onze nalevingskosten verdrievoudigen en we aansprakelijk worden bij een datalek" is een reden. Getrainde medewerkers volgen beleid—medewerkers die het waarom begrijpen, handhaven beleid.
• Beveilig virtuele terminals. Als je team virtuele terminals gebruikt (webgebaseerde invoer van kaartgegevens), beperk de toegang dan tot specifieke apparaten, gebruik meervoudige authenticatie en log elke sessie. Nog beter: schaf virtuele terminals volledig af door terminals te installeren op elke locatie waar betalingen moeten worden geaccepteerd.

Wanneer je het zelf kunt doen en wanneer je hulp moet inhuren

Zelf doen werkt wanneer:

• Je minder dan vijf locaties en een beperkt transactievolume hebt
• Je IT-team verstand heeft van netwerksegmentatie, kwetsbaarheidsscans en toegangsbeheer
• Je al gehoste checkout of P2PE-terminals gebruikt (minimale reikwijdte)
• Je tijd hebt om de PCI-vereisten te leren en alles te documenteren

Huur een consultant in wanneer:

• Je vastzit aan SAQ D en niet weet hoe je de reikwijdte kunt verkleinen
• Je complexe omgevingen hebt—detailhandel met meerdere locaties en gecentraliseerde systemen
• Je IT-team volledig bezet is en geen nalevingswerk kan oppakken
• Je iemand nodig hebt om PCI-vereisten te vertalen naar concrete technische oplossingen

Kies voor volledig beheer wanneer:

• Je geen interne IT hebt naast basisondersteuning
• Je snel groeit en naleving steeds problemen veroorzaakt
• De berekening klopt—beheerde diensten kosten minder dan de tijd van je team plus consultantkosten
• Je gegarandeerde jaarlijkse validatie wilt zonder intern projectbeheer

Met de calculator kun je alle drie de benaderingen modelleren. Vergelijk de cijfers en beslis vervolgens op basis van de capaciteit van je team—niet alleen op basis van de kosten.

De verborgen kosten: het verkeerd aanpakken

De calculator toont directe kosten—hulpmiddelen, diensten en tijd. De kosten van het verkeerd uitvoeren van PCI-naleving worden niet weergegeven.

• Kosten van een datalek. Gemiddeld $200 per kaart volgens schattingen uit de sector. Kleine retailers die 500 kaarten per maand verwerken, lopen bij een volledige inbreuk $100,000 aan risico—forensisch onderzoek, meldingen, het opnieuw uitgeven van kaarten, juridische kosten en merkschade.
• Boetes van verwerkers. Kosten voor niet-naleving van $50 tot $200 per maand lopen op tot $2,400 per jaar. Dat is een consultant. Dat zijn P2PE-terminals. Dat is een beheerde dienst. Je betaalt hoe dan ook—je kunt net zo goed voor naleving betalen in plaats van voor boetes.
• Mislukte audits. Als je verwerker een nalevingsrapport (Report on Compliance, ROC) vereist in plaats van een zelfbeoordeling en je zakt, krijg je te maken met herstelkosten plus nog een auditcyclus. Het budget loopt uit de hand. Projecten lopen vertraging op. Teams raken gestrest.
• Scope-uitbreiding door snelkoppelingen. Die ene keer dat je een manager toestond een kaart in te voeren op een laptop zonder controle? Gefeliciteerd, je compliance-scope is zojuist uitgebreid van drie terminals naar elk apparaat op je netwerk. De kosten om dat te herstellen zijn 10x zo hoog als de kosten voor het inzetten van nog één terminal.
• Bereken het werkelijke bedrag—en onderneem vervolgens actie. Gebruik deze tool om de kosten te begrijpen. Gebruik vervolgens onze PCI SAQ-quiz om je SAQ-type te bevestigen en onze gids voor PCI-compliance voor kleine bedrijven om je routekaart op te stellen.

Wat als je bedrag hoger is dan verwacht?

Als de calculator kosten laat zien die je niet had verwacht, raak dan niet in paniek. Je hebt opties.

• Controleer eerst je SAQ.

Gebruik onze PCI SAQ-quiz om te bevestigen dat je de juiste vragenlijst invult.

Veel bedrijven gaan ervan uit dat ze onder SAQ D vallen, terwijl ze met kleine wijzigingen mogelijk in aanmerking komen voor B of C. Overstappen naar een eenvoudigere SAQ verlaagt de kosten onmiddellijk.

• Richt je op architectuurwijzigingen.

Overstappen van betaalpagina's op locatie naar gehost afrekenen kan de jaarlijkse kosten met $10,000+ verlagen.

Het inzetten van P2PE-terminals in plaats van standaardterminals bespaart doorlopend scan- en auditwerk. Dit zijn geen tijdelijke lapmiddelen—het zijn permanente kostenverlagingen.

• Voer het werk gefaseerd uit.

Je hoeft niet alles in één keer op te lossen.

Begin met de wijzigingen met de grootste impact—netwerksegmentatie, de implementatie van P2PE en gehost afrekenen—en pak daarna het beleid en de documentatie aan. De calculator toont de totale kosten, maar je kunt het werk over meerdere kwartalen spreiden.

• Vergelijk je dienstverleners.

Betaalgateways verschillen enorm in de hoeveelheid PCI-overhead die ze veroorzaken.

Sommige regelen de compliance voor je. Andere schuiven alles naar jou door. Onze vergelijking van de beste betaalgatewayaanbieders bevat PCI-overwegingen—want de goedkoopste gateway is niet goedkoop als deze je compliancekosten verdrievoudigt.

• Vraag concurrerende offertes aan.

Als de calculator aangeeft dat je hulp nodig hebt, vraag dan offertes aan bij meerdere QSA's (gekwalificeerde beveiligingsbeoordelaars) of aanbieders van beheerde diensten.

De prijzen verschillen 3x tussen aanbieders voor identiek werk. Vergelijk ze.