Quiz PCI SAQ: znajdź właściwy SAQ w 2 minuty

Nie jesteś sam, jeśli zgodność z PCI przypomina regulacyjną zabawę w kotka i myszkę.

Twój operator płatności wysyła wiadomość e-mail: "Wypełnij swoją roczną ankietę PCI SAQ do piątku". Wpisujesz w Google „PCI SAQ” i znajdujesz pięć różnych kwestionariuszy — A, A-EP, B, C, D — z których każdy ma inne wymagania.

Jeden ma 22 pytania. Inny — 329. Nie masz pojęcia, który dotyczy właśnie Ciebie.

Wybierz niewłaściwy, a stracisz godziny na odpowiadanie na nieistotne pytania. Co gorsza, możesz pominąć zabezpieczenia, których rzeczywiście potrzebujesz — i narazić się na wycieki danych, kary lub sankcje ze strony operatora płatności.

Rozwiązanie? Ten quiz.

Quiz pyta, jak obecnie przyjmujesz płatności, gdzie przepływają dane kart i jakie systemy mają z nimi kontakt. Dwie minuty później otrzymasz typ SAQ, uzasadnienie napisane prostym językiem oraz listę kontrolną do wykorzystania w praktyce.

Jak działa ten quiz PCI SAQ

Quiz systematycznie przeprowadza Cię przez środowisko płatnicze:

1. Jak klienci wprowadzają dane kart. Płatność w hostowanym formularzu? Strona płatności w Twojej witrynie? Samodzielny terminal? Punkt sprzedaży w Twojej sieci? Terminal wirtualny? Odpowiedź określa podstawowy zakres obowiązków.
2. Dokąd trafiają dane kart. Potwierdzisz, jakie systemy mają kontakt z danymi kart i czy cokolwiek je przechowuje, nawet tymczasowo. Przechowywanie zmienia wszystko.
3. Kontrola P2PE i ręcznego wprowadzania danych. Terminale zatwierdzone w ramach P2PE znacznie zmniejszają zakres obowiązków. Ręczne wpisywanie danych z klawiatury w przeglądarce — nawet „tylko czasami” — go rozszerza.
4. Końcowe pytania weryfikacyjne. Kilka pytań typu tak/nie pozwala rozstrzygnąć nietypowe przypadki i potwierdzić konfigurację.
5. Twój wynik. Otrzymasz typ SAQ, wyjaśnienie, dlaczego pasuje do Twojej firmy, oraz konkretną listę zadań, które pozwolą Ci osiągnąć zgodność bez marnowania czasu.

Co otrzymasz w wyniku

• Dokładny typ SAQ. Bez zgadywania. Quiz wskaże, który kwestionariusz należy wypełnić — A, A-EP, B, C czy D — na podstawie tego, jak faktycznie przyjmujesz płatności.
• Uzasadnienie napisane prostym językiem. Zobaczysz, dlaczego ten SAQ pasuje do Twojej konfiguracji, dzięki czemu wyjaśnisz to operatorowi płatności, audytorowi lub zespołowi bez wrażenia, że czytasz z podręcznika zgodności.
• Listę kontrolną z konkretnymi działaniami. Konkretne kolejne kroki — podział sieci na segmenty, przejście na hostowane pola, wdrożenie P2PE — zamienią zgodność w projekt, który możesz zakończyć w tym kwartale, zamiast ciągnąć go miesiącami.
• Kontekst do dalszej nauki. Dopiero zaczynasz poznawać PCI? Odsyłamy do naszego przewodnika zgodności z PCI dla małych firm, aby pomóc Ci zrozumieć, dlaczego każde wymaganie jest istotne.

Krótkie definicje SAQ — co naprawdę oznacza każdy typ

SAQ A — dane kart nigdy nie trafiają do Twoich systemów

W pełni hostowany handel elektroniczny lub płatności cykliczne. Twoja witryna przekierowuje klienta na stronę płatności albo korzysta z elementu iframe, w którym dostawca płatności obsługuje wszystko. Twoje systemy nigdy nie widzą, nie przetwarzają ani nie przechowują danych kart.

SAQ A-EP — Twoja witryna hostuje elementy płatności

Twoja witryna hostuje strony płatności, kod JavaScript lub skrypty, które mogą wpływać na przebieg płatności. Zakres jest większy niż w przypadku SAQ A, ponieważ Twoja infrastruktura ma kontakt z procesem płatności — nawet jeśli nie przechowuje danych kart.

SAQ B — wyłącznie terminale łączące się przez linię telefoniczną

Samodzielne terminale łączące się przez linię telefoniczną albo starsze urządzenia do wykonywania odbitek kart. Brak połączenia internetowego z Twoją siecią oznacza minimalny zakres obowiązków.

SAQ C — samodzielne terminale połączone z siecią IP

Terminale płatnicze połączone z internetem, ale odizolowane od sieci firmowej. To częste rozwiązanie w handlu detalicznym z podzielonymi na segmenty systemami punktów sprzedaży. Dane kart nie są przechowywane.

SAQ D — wszystko inne

Niestandardowe procesy płatności, jakiekolwiek przechowywanie danych kart lub szeroki zakres sieci, w którym wiele systemów może uzyskiwać dostęp do danych płatniczych.

To największy wariant — 329 pytań obejmujących całe Twoje środowisko.

Typowe błędy, przez które wybierasz niewłaściwy SAQ

• Zakładanie, że podlegasz SAQ A, gdy osadzasz pola płatności. Ramki iFrame i hostowane przekierowania mogą kwalifikować do SAQ A, ale jeśli Twoja strona ładuje pola płatności bezpośrednio (nawet za pośrednictwem JavaScriptu), prawdopodobnie podlegasz raczej A-EP. Quiz szybko to wyjaśnia.
• Pozwalanie pracownikom na wpisywanie danych kart do przeglądarki — nawet „tylko czasami”. Kierownik sklepu wpisujący dane karty do terminala wirtualnego na niezarządzanym laptopie rozszerza zakres PCI. Uporządkuj ten proces, korzystając z odpowiednich terminali lub zabezpieczonej konfiguracji terminala wirtualnego.
• Pomijanie P2PE. Urządzenia wykorzystujące szyfrowanie punkt-punkt sprawiają, że dane karty są szyfrowane w terminalu i pozostają zaszyfrowane aż do momentu dotarcia do operatora płatności. Terminale zatwierdzone pod kątem P2PE znacznie ograniczają zakres — zapytaj o nie swojego dostawcę.
• Łączenie systemów w płaskiej sieci. Terminale POS w tej samej sieci co stacje robocze administratorów, Wi-Fi i inne urządzenia? To niekontrolowane rozszerzanie zakresu. Podziel sieć na segmenty, aby systemy płatnicze były odizolowane. To prostsze, niż myślisz, i pozwala uniknąć wielu problemów podczas późniejszych audytów.
• Ignorowanie płatności mobilnych. Jeśli przyjmujesz zamówienia telefonicznie i wpisujesz dane kart do terminala wirtualnego, to również się liczy. Jeśli Twoja aplikacja przetwarza płatności, to również się liczy. Quiz uwzględnia te scenariusze.

Kolejne kroki po otrzymaniu wyniku

Jeśli masz ograniczone zasoby, skorzystaj z listy kontrolnej quizu wraz z naszym przewodnikiem dotyczącym zgodności z PCI dla małych firm.

Przejdziesz przez cały proces krok po kroku, bez zatrudniania konsultanta, dopóki rzeczywiście nie będzie Ci potrzebny.

Jeśli zmieniasz platformę lub modernizujesz systemy, wybieraj dostawców oferujących hostowane pola i obsługę P2PE.

Nasze porównanie najlepszych dostawców bramek płatniczych pokazuje, które platformy ułatwiają zapewnienie zgodności, a które powodują problemy.

Jeśli quiz wskaże Ci SAQ D, nie panikuj.

Tak, to najdłuższy kwestionariusz, ale wiele firm zaczyna właśnie od niego, a następnie ogranicza zakres, pracując wstecz.

Wdróż terminale P2PE, przejdź na hostowany proces płatności w handlu elektronicznym i podziel sieci na segmenty. W ciągu kilku miesięcy możesz kwalifikować się do prostszego SAQ, a także zaoszczędzić czas i pieniądze podczas bieżących audytów.

Dlaczego ma to większe znaczenie, niż sądzi większość sprzedawców

PCI nie dotyczy wyłącznie unikania kar — choć te szybko się sumują. Chodzi o ochronę firmy przed kosztami naruszenia bezpieczeństwa, które według danych branżowych wynoszą średnio 200 USD za każdą przejętą kartę.

Naruszenie bezpieczeństwa u średniej wielkości sprzedawcy, który przyjmuje dane 500 kart miesięcznie, może kosztować 100 000 USD z tytułu analiz kryminalistycznych, powiadomień, ponownego wydania kart i uszczerbku na reputacji marki.

Właściwy SAQ oznacza, że koncentrujesz się na mechanizmach kontroli, które rzeczywiście zmniejszają ryzyko, zamiast na odhaczaniu wymogów, które nie mają znaczenia. To różnica między zmarnowaniem tygodnia na niewłaściwy kwestionariusz a zakończeniem procesu zapewniania zgodności w jedno popołudnie dzięki przejrzystej liście kontrolnej.

Rozwiąż quiz teraz — poświęć dwie minuty, aby poznać swój SAQ, a następnie podejmij odpowiednie działania.