Estoy en medio de configurar una solución de comercio electrónico en un sitio web comercial. Mi sistema almacenará el número de tarjeta en la forma de: xxxx-xxxx-xxxx-4000 (solo los últimos 4 dígitos) y XXX (nada) para el código CVV. Los detalles completos se envían a una puerta de enlace externa (raven).
Solo me gustaría saber qué nivel de cumplimiento de PCI DSS necesito para mis servidores.
A continuación se muestran quizás 4 niveles diferentes de opciones de seguridad.
Saludos cordiales,
PCI-DSS requiere que cumpla con los requisitos si almacena, transmite o procesa tarjetas de crédito. Aunque no los almacena por completo, ¿reside el número completo de la tarjeta de crédito (incluso temporalmente) en su sitio? Si es así, estás sujeto a la SAQ-D.
El único nivel (singular) para el que califica potencialmente es el SAQ-A que se ocupa de los comerciantes que tienen transacciones de comercio electrónico o de pedidos por correo o teléfono.
Estados de SAQ-A
SAQ-B es para comerciantes que usan dispositivos de lectura de tarjetas.
SAQ-C es básicamente para empresas que utilizan sistemas de computación en puntos de venta o terminales virtuales.
SAQ-D es para todos los demás.
Parece que los detalles de la tarjeta están ingresando en su sistema. Aunque sus intenciones son utilizar un procesador de terceros, esta no es la intención de SAQ-A. SAQ-A está diseñado para el procesamiento de terceros, de modo que los detalles de la tarjeta NUNCA ingresen en su sistema (piense en Paypal).
Lea otras preguntas en las etiquetas pci-dss