Чому обсяг вимог залежить від шляху даних карти
PCI DSS (Payment Card Industry Data Security Standard) існує для захисту даних власника картки там, де вони зберігаються, обробляються чи передаються. Для мерчанта практична вага цього стандарту різна залежно від бізнесу. Все залежить від того, які саме з ваших систем реально стикаються з номером картки, терміном дії чи CVV під час транзакції. Чим більше вашої власної інфраструктури бере участь у цьому шляху, тим більша її частина підпадає під вимоги PCI DSS.
Коли номер картки взагалі не доходить до вас
У деяких мерчантів необроблений номер картки ніколи не потрапляє на власні сервери. Покупець вводить дані картки на сторінці, яку надає і захищає платіжний провайдер, а системи мерчанта отримують лише результат (успішно чи відмовлено) і посилання на транзакцію. У такій моделі власне середовище мерчанта здебільшого залишається поза тією частиною PCI DSS, що стосується зберігання чи передачі даних карти, бо ці дані туди реально не потрапляють.
Редирект і хостинговий checkout
Поширений спосіб досягти цього — відправляти покупця на хостинговий checkout, наприклад той, що пропонує omwio, замість того щоб самостійно будувати форму введення картки. Покупця переадресовують на хостинг-сторінку, він завершує оплату там і повертається на сайт мерчанта після завершення транзакції. Оскільки власний сайт мерчанта ніколи не збирає і не торкається полів картки, цей підхід виводить значну частину вимог PCI DSS за межі систем мерчанта.
Коли ваші системи обробляють чи зберігають дані картки самостійно
Інші мерчанти будують власні форми введення картки, пропускають дані картки через власні сервери перед передачею процесору або зберігають дані картки для подальшого використання. Будь-який з цих варіантів залучає власні системи мерчанта саме до тієї частини, якою PCI DSS займається найбільш безпосередньо: зберігання, обробка та передача. У такому випадку люди, процеси і системи, що торкаються даних картки під час транзакції, а також будь-яке місце їх зберігання, потрібно враховувати як частину картини відповідності мерчанта.
Як тримати зону відповідності невеликою
Незалежно від розміру бізнесу, загальна закономірність зберігається: чим менше власних систем бачать необроблені дані картки і чим менше часу будь-яка система їх утримує, тим менша частина вашого бізнесу підпадає під вимоги PCI DSS у повному обсязі. Токенізація, хостингові платіжні сторінки або checkout-флоу самого провайдера — усе це способи, якими мерчанти зменшують, наскільки власне середовище безпосередньо залучене до роботи з номерами карт, замість того щоб будувати й підтримувати таку обробку самостійно.
Обговорюйте це з банком-еквайром і платіжним партнером
Зобов'язання за PCI DSS, вимоги до підтвердження відповідності та те, як вони застосовуються до конкретного бізнесу, зрештою визначаються у взаємодії мерчанта, його банку-еквайра і, де потрібно, кваліфікованого аудитора. Ця стаття — загальний орієнтир щодо того, як потік даних картки змінює постановку питання, а не заміна такої розмови. Перш ніж обирати, як ваш checkout працюватиме з даними картки, варто безпосередньо запитати свого еквайра чи платіжного провайдера, що саме цей вибір означає для ваших конкретних зобов'язань.
- Дані картки не доходять до ваших серверів: ваша зона PCI DSS менша.
- Покупців переадресовують на хостинговий checkout: ваш сайт лишається поза шляхом даних картки.
- Ваші системи приймають, передають чи зберігають номери карт: ці системи входять у зону вашої відповідності.
- Завжди уточнюйте конкретні зобов'язання у свого еквайра чи кваліфікованого аудитора.
