Questionário PCI SAQ: Encontre o seu SAQ correto em 2 minutos

Não está sozinho se a conformidade com o PCI lhe parece um jogo do gato e do rato regulamentar.

O seu processador de pagamentos envia-lhe um e-mail: "Preencha o seu SAQ anual do PCI até sexta-feira." Pesquisa "SAQ PCI" no Google e encontra cinco questionários diferentes — A, A-EP, B, C, D — cada um com requisitos diferentes.

Um tem 22 perguntas. Outro tem 329. Não faz ideia de qual se aplica à sua empresa.

Escolha o questionário errado e perderá horas a responder a perguntas irrelevantes. Ou, pior ainda, poderá ignorar controlos de que realmente precisa — ficando exposto a violações de segurança, multas ou penalizações do processador.

A solução? Este questionário.

O questionário pergunta como aceita pagamentos atualmente, por onde circulam os dados dos cartões e que sistemas lhes têm acesso. Dois minutos depois, obtém o seu tipo de SAQ, uma explicação clara e uma lista de verificação para pôr em prática.

Como funciona este questionário SAQ do PCI

O questionário analisa sistematicamente o seu ambiente de pagamentos:

1. Como os clientes introduzem os dados do cartão. Checkout alojado? Página de pagamento no seu site? Terminal autónomo? POS na sua rede? Terminal virtual? A resposta determina o âmbito de base.
2. Por onde circulam os dados dos cartões. Confirmará que sistemas têm acesso aos dados dos cartões e se algum os armazena (mesmo que temporariamente). O armazenamento altera tudo.
3. Verificações de P2PE e introdução manual. Os terminais validados para P2PE reduzem significativamente o âmbito. A introdução manual dos dados num navegador — mesmo que seja "apenas ocasionalmente" — aumenta-o.
4. Perguntas finais de verificação. Algumas perguntas de resposta sim/não esclarecem casos-limite e confirmam a sua configuração.
5. O seu resultado. Obtenha o seu tipo de SAQ, a razão pela qual se adequa à sua empresa e uma lista concreta de tarefas para alcançar a conformidade sem perder tempo.

O que obtém com o seu resultado

• O seu tipo exato de SAQ. Sem adivinhações. O questionário indica-lhe qual o questionário que deve preencher — A, A-EP, B, C ou D — com base na forma como realmente aceita pagamentos.
• Explicação clara. Verá por que motivo este SAQ se adequa à sua configuração, para que possa explicá-lo ao seu processador, auditor ou equipa sem parecer que está a ler um manual de conformidade.
• Lista de verificação prática. Próximos passos concretos — segmentar a sua rede, mudar para campos alojados, implementar P2PE — que transformam a conformidade num projeto que pode concluir neste trimestre, em vez de o prolongar durante meses.
• Contexto para uma aprendizagem mais aprofundada. É novo no PCI? Ligamos ao nosso guia sobre conformidade com o PCI para pequenas empresas para que possa compreender a razão de cada requisito.

Definições rápidas de SAQ — o que significa realmente cada tipo

SAQ A — Os dados dos cartões nunca entram nos seus sistemas

Comércio eletrónico totalmente alojado ou faturação recorrente. O seu site redireciona para uma página de pagamento ou utiliza um iframe no qual o fornecedor de pagamentos trata de tudo. Os seus sistemas nunca veem, processam ou armazenam dados dos cartões.

SAQ A-EP — O seu site aloja elementos de pagamento

O seu site aloja páginas de pagamento, JavaScript ou scripts que podem afetar o processo de pagamento. O âmbito é maior do que no SAQ A porque a sua infraestrutura entra em contacto com o processo de pagamento — mesmo que não armazene dados dos cartões.

SAQ B — Apenas terminais com ligação telefónica

Terminais autónomos que estabelecem ligação através de uma linha telefónica ou máquinas de impressão tradicionais. A ausência de ligação à Internet da sua rede significa um âmbito mínimo.

SAQ C — Terminais autónomos ligados por IP

Terminais de pagamento ligados à Internet, mas isolados da rede da sua empresa. É comum no comércio a retalho com configurações de POS segmentadas. Não existe armazenamento de dados dos cartões.

SAQ D — Tudo o resto

Fluxos de pagamento personalizados, qualquer armazenamento de dados dos cartões ou um âmbito de rede abrangente em que vários sistemas possam aceder aos dados de pagamento.

Este é o mais abrangente — 329 perguntas que cobrem todo o seu ambiente.

Erros comuns que o colocam no SAQ errado

• Partir do princípio de que está no SAQ A quando incorpora campos de pagamento. Os iFrames e os redirecionamentos alojados podem qualificar-se para o SAQ A — mas, se a sua página carregar os campos de pagamento diretamente (mesmo através de JavaScript), é provável que esteja perante o SAQ A-EP. O questionário esclarece rapidamente esta questão.
• Permitir que os funcionários introduzam dados dos cartões num navegador — mesmo que seja «apenas ocasionalmente». Um gerente de loja que introduza dados de cartões num terminal virtual através de um computador portátil não controlado aumenta o âmbito do PCI. Corrija o fluxo de trabalho utilizando terminais adequados ou uma configuração de terminal virtual bloqueada.
• Ignorar o P2PE. Os dispositivos de encriptação ponto a ponto garantem que os dados do cartão são encriptados no terminal e permanecem encriptados até chegarem ao seu processador. Os terminais validados para P2PE reduzem significativamente o âmbito — pergunte ao seu fornecedor por eles.
• Combinar sistemas numa rede plana. Os terminais POS estão na mesma rede que as suas estações de trabalho administrativas, a rede Wi-Fi e outros dispositivos? Isso aumenta o âmbito. Segmente a sua rede para que os sistemas de pagamento fiquem isolados. Dá menos trabalho do que pensa e evita muitos problemas nas auditorias mais tarde.
• Ignorar os pagamentos móveis. Se aceitar encomendas por telefone e introduzir os dados dos cartões num terminal virtual, isso conta. Se a sua aplicação processar pagamentos, isso também conta. O questionário tem estes cenários em consideração.

Próximos passos depois de obter o seu resultado

Se tiver recursos limitados, utilize a lista de verificação do questionário em conjunto com o nosso guia sobre conformidade com o PCI para pequenas empresas.

Avançará passo a passo sem contratar um consultor até precisar realmente de um.

Se estiver a migrar para outra plataforma ou a atualizar os sistemas, dê prioridade a fornecedores com campos alojados e suporte para P2PE.

A nossa comparação dos melhores fornecedores de portais de pagamento mostra quais as plataformas que facilitam a conformidade — e quais criam problemas.

Se o questionário o encaminhar para o SAQ D, não entre em pânico.

Sim, é o questionário mais longo, mas muitas empresas começam por aí e reduzem depois o âmbito.

Implemente terminais P2PE, mude para um processo de pagamento alojado no comércio eletrónico e segmente as redes. Dentro de alguns meses, poderá qualificar-se para um SAQ mais simples — e poupar tempo e dinheiro nas auditorias contínuas.

Porque é que isto é mais importante do que a maioria dos retalhistas pensa

O PCI não se resume a evitar multas — embora estas aumentem rapidamente. Trata-se de proteger a sua empresa dos custos de uma violação de dados, que têm uma média de 200 $ por cartão comprometido, de acordo com dados do setor.

Uma violação num retalhista de média dimensão que processe 500 cartões por mês poderá custar 100 000 $ em investigação forense, notificações, reemissão de cartões e danos para a marca.

O SAQ adequado significa que se concentra nos controlos que efetivamente reduzem o risco, em vez de numa conformidade baseada em listas de verificação para requisitos irrelevantes. É a diferença entre desperdiçar uma semana com o questionário errado e concluir a conformidade numa tarde, com uma lista de verificação clara.

Faça já o questionário — dois minutos para saber qual é o seu SAQ e depois agir em conformidade.