pregunta de conformidad con PCI de un comerciante

En primer lugar, cualquier persona que diga "el cumplimiento de PCI es absurdo" es incompetente ; Absolutamente hiciste lo correcto al alejarte de ellos. También tenga en cuenta que la responsabilidad de PCI significa que está enganchado no solo por multas y reemplazos de tarjetas, sino por todo el fraude cometido con los datos de tarjetas robados de su entorno. Si los ladrones compran una flota de Ferraris, ya están casi listos. (Hay otros matices en la responsabilidad de PCI, pero las ventas por Internet tienen la garantía de ser la opción menos segura, y siempre serán más responsables).

Con respecto al software de subasta, considere buscar un software que realice las funciones que desea ofrecer, pero que no realice el procesamiento de pagos. Hay muchos jugadores en el juego de procesamiento de pagos; Debido a que la política de intercambio de pila de seguridad prohíbe las recomendaciones de productos, no podemos ofrecerle una lista específica. Hay muchas grandes empresas de renombre que llevan dinero por la web; Usted no debería tener problemas para encontrar uno.

Una buena manera de encontrar una compañía de pagos es observar cómo funcionan. La próxima vez que compre en línea, vea si la compañía de pagos lo lleva al sitio web de su marca para el procesamiento de pagos y luego lo regresa al sitio de la tienda después de que se apruebe su pago. Ese es el tipo de compañía de pago que deberías buscar contratar; mantiene todo el riesgo de PCI fuera de sus manos.

Una vez que haya visto cómo operan los distintos jugadores en el espacio de pago, sabrá qué buscar y a quién preguntar en la compra de su software de subastas. Algunos pueden preferir una pasarela de pago sobre otra, u ofrecer solo una opción; eso podría estar bien si no te importa su elección de proveedores. Si la empresa de software de subastas no ofrece ya dicha integración integrada en su paquete fuera del rack, pregunte cuándo planean ofrecerlo, no si . Hágales saber que solo va a comprar un paquete que le ofrece aislamiento completo del entorno de pago.

Es extraño que las tarjetas de crédito sean ubicuas y, sin embargo, el cumplimiento de PCI es relativamente desconocido, tal vez porque es difícil acercarse y los consultores se aprovechan. Es fundamentalmente defectuoso en realidad, poner todo el riesgo en el comerciante, a través de un sistema mal diseñado, y tomar todas las ganancias. Esperemos que las monedas criptográficas ayuden en esta área en el futuro.

De todos modos, prácticamente hablando:

1. consulte el sitio web del consejo de pci para obtener documentación oficial, también tienen una lista de QSA oficiales.

2. Busque un proveedor de servicios compatible con PCI, obtenga su certificado de cumplimiento e informe sobre el cumplimiento (haga esto anualmente), asegúrese de que en el contrato que tiene con ellos diga que cumplen con pci. De esta manera, la responsabilidad se traslada a ellos si sus sistemas tienen una infracción.

3. Si desea configurar la parte de pago por sí mismo, use un iframe o una solución de redireccionamiento de Stripe / Paypal (prácticamente todas las pasarelas de pago tienen esta opción), entonces solo necesita SAQ A (el cuestionario de autoevaluación más simple). .

4. Puedes intentar hablar con tu banco mercantil, a menudo son muy útiles. Y / o puede hablar con un QSA que le dará consejos sobre qué hacer.

No debería ser un gran problema a menos que estés tratando de hacer algo elegante, solo asegúrate de cubrir tus bases. Buena suerte!

El cumplimiento de PCI solo es un obstáculo si desea aceptar pagos con tarjetas de crédito. No creo que esto sea exclusivo de su industria, ya que cualquiera que desee realizar pagos en línea debe cumplir con la industria de tarjetas de pago.

Lo mejor que puede hacer es contratar a un consultor para ayudarlo a desarrollar el cumplimiento de PCI de su empresa. Puede que no sea barato, pero es mucho mejor que la alternativa. Lamentablemente, aquí en SE, está fuera del alcance aconsejar exactamente qué hacer o a quién involucrar.