Czemu zakres zależy od tego, jak przemieszczają się dane karty
PCI DSS (Payment Card Industry Data Security Standard) istnieje, aby chronić dane posiadacza karty wszędzie, gdzie są przechowywane, przetwarzane lub przesyłane. Dla merchanta praktyczny ciężar tego standardu nie jest taki sam dla każdej firmy. Zależy od tego, które z Twoich systemów faktycznie mają kontakt z numerem karty, datą ważności lub kodem CVV w trakcie transakcji. Im więcej Twojej własnej infrastruktury znajduje się na tej ścieżce, tym większa jej część podlega zakresowi PCI DSS.
Gdy nigdy nie widzisz numeru karty
Niektórzy merchanci nigdy nie mają do czynienia z surowym numerem karty przechodzącym przez ich własne serwery. Kupujący wprowadza dane karty na stronie udostępnionej i zabezpieczonej przez dostawcę płatności, a systemy merchanta otrzymują jedynie wynik (zatwierdzono, odrzucono) oraz referencję transakcji. W takim modelu środowisko merchanta pozostaje w dużej mierze poza częścią PCI DSS dotyczącą przechowywania lub przesyłania danych karty, ponieważ dane te po prostu nigdy tam nie docierają.
Przekierowania i hostowane strony płatności
Powszechnym sposobem osiągnięcia tego przez merchantów jest przekierowanie kupującego na hostowaną stronę płatności, taką jak ta udostępniana przez omwio, zamiast budowania własnego formularza do wprowadzania danych karty. Kupujący jest przekierowywany na hostowaną stronę, dokonuje tam płatności, a następnie wraca na stronę merchanta po zakończeniu transakcji. Ponieważ strona merchanta nigdy nie zbiera ani nie dotyka pól z danymi karty, taki model pozostawia dużą część wymogów PCI DSS poza własnymi systemami merchanta.
Gdy Twoje systemy przetwarzają lub przechowują dane karty bezpośrednio
Inni merchanci budują własne formularze do wprowadzania danych karty, przesyłają dane karty przez własne serwery, zanim trafią one do procesora, albo przechowują dane karty do późniejszego wykorzystania. Każda z tych decyzji wprowadza systemy merchanta w tę część danych karty, którą PCI DSS reguluje najbardziej bezpośrednio: przechowywanie, przetwarzanie i przesyłanie. W takiej konfiguracji ludzie, procesy i systemy, które mają kontakt z danymi karty w trakcie transakcji, oraz każde miejsce, w którym te dane są przechowywane, muszą być uwzględnione w obrazie zgodności merchanta.
Jak utrzymać mały zakres zgodności
Niezależnie od wielkości firmy, ogólna zasada pozostaje ta sama: im mniej Twoich własnych systemów styka się z surowymi danymi karty i im krótszy czas jakikolwiek system je przechowuje, tym mniejsza część Twojej firmy w pełni podlega wymogom PCI DSS. Stosowanie tokenizacji, hostowanych stron płatności lub własnego procesu checkout dostawcy to sposoby, dzięki którym merchanci ograniczają, jak duża część ich własnego środowiska jest bezpośrednio zaangażowana w obsługę numerów kart, zamiast samodzielnie budować i utrzymywać tę obsługę.
Skonsultuj się ze swoim acquirerem i partnerem płatniczym
Obowiązki wynikające z PCI DSS, wymogi walidacji oraz sposób, w jaki odnoszą się do konkretnej firmy, są ostatecznie ustalane między merchantem, jego acquirerem oraz, w odpowiednich przypadkach, wykwalifikowanym assessorem. Ten artykuł stanowi ogólne wprowadzenie do tego, jak przepływ danych karty zmienia charakter tego zagadnienia, a nie zastępuje takiej rozmowy. Przed podjęciem decyzji, jak Twój checkout obsługuje dane karty, warto zapytać wprost swojego acquirera lub dostawcę płatności, co ten wybór oznacza dla Twoich konkretnych obowiązków w zakresie zgodności.
- Dane karty nigdy nie docierają do Twoich serwerów: Twój zakres PCI DSS jest mniejszy.
- Kupujący są przekierowywani na hostowaną stronę płatności: Twoja strona pozostaje poza ścieżką danych karty.
- Twoje własne systemy przechwytują, przesyłają lub przechowują numery kart: te systemy wchodzą w zakres Twojej zgodności.
- Zawsze potwierdzaj konkretne obowiązki ze swoim acquirerem lub wykwalifikowanym assessorem.
