Почему объём требований зависит от пути данных карты
PCI DSS (Payment Card Industry Data Security Standard) существует для защиты данных держателя карты там, где они хранятся, обрабатываются или передаются. Для мерчанта практический вес этого стандарта разный в зависимости от бизнеса. Всё зависит от того, какие именно ваши системы реально сталкиваются с номером карты, сроком действия или CVV во время транзакции. Чем больше вашей собственной инфраструктуры участвует в этом пути, тем большая её часть подпадает под требования PCI DSS.
Когда номер карты вообще не доходит до вас
У некоторых мерчантов необработанный номер карты никогда не попадает на собственные серверы. Покупатель вводит данные карты на странице, которую предоставляет и защищает платёжный провайдер, а системы мерчанта получают только результат (успешно или отказано) и ссылку на транзакцию. В такой модели собственная среда мерчанта в основном остаётся вне той части PCI DSS, которая касается хранения или передачи данных карты, потому что эти данные туда реально не попадают.
Редирект и хостинговый checkout
Распространённый способ добиться этого — отправлять покупателя на хостинговый checkout, например тот, что предлагает omwio, вместо того чтобы самостоятельно строить форму ввода карты. Покупателя переадресовывают на хостинг-страницу, он завершает оплату там и возвращается на сайт мерчанта после завершения транзакции. Поскольку собственный сайт мерчанта никогда не собирает и не касается полей карты, такой подход выводит значительную часть требований PCI DSS за пределы систем мерчанта.
Когда ваши системы обрабатывают или хранят данные карты самостоятельно
Другие мерчанты строят собственные формы ввода карты, пропускают данные карты через собственные серверы перед передачей процессору или хранят данные карты для последующего использования. Любой из этих вариантов вовлекает собственные системы мерчанта именно в ту часть, которой PCI DSS занимается наиболее непосредственно: хранение, обработку и передачу. В этом случае люди, процессы и системы, касающиеся данных карты во время транзакции, а также любое место их хранения, нужно учитывать как часть картины соответствия мерчанта.
Как держать зону соответствия небольшой
Независимо от размера бизнеса, общая закономерность сохраняется: чем меньше собственных систем видят необработанные данные карты и чем меньше времени любая система их удерживает, тем меньшая часть вашего бизнеса подпадает под требования PCI DSS в полном объёме. Токенизация, хостинговые платёжные страницы или checkout-флоу самого провайдера — это способы, которыми мерчанты уменьшают степень вовлечённости собственной среды в работу с номерами карт, вместо того чтобы строить и поддерживать такую обработку самостоятельно.
Обсуждайте это с банком-эквайром и платёжным партнёром
Обязательства по PCI DSS, требования к подтверждению соответствия и то, как они применяются к конкретному бизнесу, в итоге определяются во взаимодействии мерчанта, его банка-эквайра и, где требуется, квалифицированного аудитора. Эта статья — общий ориентир относительно того, как поток данных карты меняет постановку вопроса, а не замена такого разговора. Перед тем как выбирать, как ваш checkout будет работать с данными карты, стоит напрямую спросить своего эквайра или платёжного провайдера, что именно этот выбор значит для ваших конкретных обязательств.
- Данные карты не доходят до ваших серверов: ваша зона PCI DSS меньше.
- Покупателей переадресовывают на хостинговый checkout: ваш сайт остаётся вне пути данных карты.
- Ваши системы принимают, передают или хранят номера карт: эти системы входят в зону вашей ответственности.
- Всегда уточняйте конкретные обязательства у своего эквайра или квалифицированного аудитора.
