Perché l'ambito dipende dal percorso dei dati di carta
Il PCI DSS (Payment Card Industry Data Security Standard) esiste per proteggere i dati del titolare carta ovunque vengano archiviati, elaborati o trasmessi. Per un merchant, il peso concreto di questo standard non è lo stesso per ogni attività. Dipende da quali dei tuoi sistemi entrano effettivamente in contatto con un numero di carta, una data di scadenza o un CVV durante una transazione. Più la tua infrastruttura è coinvolta in questo percorso, maggiore è la parte che rientra nell'ambito del PCI DSS.
Quando non vedi mai il numero di carta
Alcuni merchant non vedono mai il numero di carta grezzo transitare sui propri server. L'acquirente inserisce i dati della carta su una pagina fornita e protetta da un payment provider, e i sistemi del merchant ricevono solo un esito (approvato, respinto) e un riferimento alla transazione. In questo modello, l'ambiente del merchant resta in gran parte fuori dalla parte del PCI DSS relativa all'archiviazione o alla trasmissione dei dati di carta, perché questi dati semplicemente non arrivano mai lì.
Reindirizzamenti e pagine di pagamento hosted
Un modo comune con cui i merchant ottengono questo risultato è inviare l'acquirente a una pagina di pagamento hosted, come quella offerta tramite omwio, invece di costruire autonomamente un modulo di inserimento carta. L'acquirente viene reindirizzato alla pagina hosted, completa il pagamento lì e torna sul sito del merchant una volta conclusa la transazione. Poiché il sito del merchant non raccoglie né entra mai in contatto con i campi della carta, questo schema mantiene gran parte dei requisiti PCI DSS fuori dai sistemi del merchant.
Quando i tuoi sistemi elaborano o archiviano direttamente i dati di carta
Altri merchant costruiscono propri moduli di inserimento carta, instradano i dati di carta attraverso i propri server prima che raggiungano un processor, oppure archiviano i dati di carta per un uso successivo. Ciascuna di queste scelte porta i sistemi del merchant nella parte dei dati di carta che il PCI DSS disciplina più direttamente: archiviazione, elaborazione e trasmissione. In questo contesto, le persone, i processi e i sistemi che entrano in contatto con i dati di carta durante una transazione, e ogni luogo in cui tali dati vengono archiviati, devono rientrare nel quadro di conformità del merchant.
Mantenere ridotto il proprio perimetro di conformità
Indipendentemente dalle dimensioni, il principio generale resta valido: meno sistemi propri vedono dati di carta grezzi, e minore è il tempo in cui un sistema li detiene, più piccola è la parte della tua attività a cui i requisiti PCI DSS si applicano in pieno. Usare la tokenizzazione, pagine di pagamento hosted o il flusso di checkout proprio di un provider sono tutti modi con cui i merchant riducono quanto del proprio ambiente è direttamente coinvolto con i numeri di carta, invece di costruire e mantenere questa gestione in autonomia.
Parla con il tuo acquirer e il tuo partner di pagamento
Gli obblighi PCI DSS, i requisiti di validazione e il modo in cui si applicano a una specifica attività vengono in ultima analisi definiti tra un merchant, il proprio acquirer e, dove rilevante, un assessor qualificato. Questo articolo è un orientamento generale su come il percorso dei dati di carta cambi la natura della domanda, non un sostituto di quel confronto. Prima di decidere come il tuo checkout gestisce i dati di carta, vale la pena chiedere direttamente al tuo acquirer o payment provider cosa comporta questa scelta per i tuoi specifici obblighi di conformità.
- I dati di carta non raggiungono mai i tuoi server: il tuo perimetro PCI DSS è più piccolo.
- Gli acquirenti vengono reindirizzati a una pagina di pagamento hosted: il tuo sito resta fuori dal percorso dei dati di carta.
- I tuoi sistemi catturano, instradano o archiviano numeri di carta: quei sistemi fanno parte del tuo ambito di conformità.
- Verifica sempre gli obblighi specifici con il tuo acquirer o con un assessor qualificato.
