Інтернет-магазин запускає нову форму оплати, але банк або платіжний сервіс запитує підтвердження PCI DSS. Команді потрібно визначити, які документи надати, що перевірити та скільки коштуватиме підготовка.
Аудит PCI DSS в Україні варто планувати з аналізу платіжної схеми. Від того, де покупець вводить реквізити картки та через які системи вони проходять, залежать обсяг робіт, формат підтвердження відповідності й бюджет.
PCI DSS для інтернет-магазину: коли потрібна підготовка
Питання відповідності особливо актуальне, якщо бізнес приймає карткові дані на власному сайті, змінює платіжну інтеграцію або отримав конкретну вимогу від еквайра.
Наприклад, документація LiqPay передбачає підтвердження PCI DSS для прямої інтеграції server-to-server. Для Checkout і платіжного віджета описаний інший варіант підключення. Тому спосіб приймання платежів потрібно оцінювати ще до завершення розробки.
Використання стороннього платіжного сервісу може скоротити кількість застосовних вимог, але не скасовує відповідальності продавця. Потрібно розуміти, які обов’язки виконує провайдер, а які залишаються за магазином.
Що з’ясувати перед замовленням послуги
Перш ніж замовити підготовку до PCI DSS, отримайте від банку або платіжного партнера перелік очікуваних документів. Формулювання «потрібен сертифікат» недостатньо для визначення обсягу робіт.
Залежно від ситуації використовують анкету самооцінки SAQ, підтвердження відповідності AOC або звіт про перевірку ROC. Це різні інструменти, а не обов’язкові послідовні етапи для кожного бізнесу.
Для початкової оцінки підготуйте відповіді на п’ять запитань:
- Де покупець вводить реквізити картки?
- Чи отримує їх сервер інтернет-магазину?
- Чи можуть карткові дані потрапляти до CRM, журналів або служби підтримки?
- Які співробітники та підрядники мають доступ до відповідних систем?
- Які документи й до якої дати очікує платіжний партнер?
Ця інформація допоможе визначити межі перевірки та сформувати предметний запит виконавцю.
Від чого залежить вартість підготовки до PCI DSS
Вартість підготовки до PCI DSS залежить від платіжної архітектури, кількості систем, стану захисту та необхідного формату перевірки. Два інтернет-магазини з подібним оборотом можуть потребувати різного обсягу робіт.
До бюджету можуть входити оцінка готовності, усунення технічних прогалин, підготовка документів, необхідні сканування й тестування, а також робота залучених фахівців. Окремо слід врахувати час власних розробників та адміністраторів.
Порівнюючи пропозиції, уточніть, що включено в ціну: лише оцінювання чи також допомога з підготовкою, виправленнями та відповідями на зауваження. Перевірте, які роботи оплачуються окремо та які документи ви отримаєте.
Чому документи не замінюють підготовку
Політика доступу може бути затверджена, але обліковий запис колишнього підрядника досі працюватиме. Резервне копіювання може виконуватися щодня, але команда не матиме результатів перевірки відновлення.
Такі розбіжності створюють додаткові завдання під час оцінювання. Попередня перевірка готовності дозволяє виявити їх раніше, призначити відповідальних і спланувати виправлення.
Для керівника результатом має бути зрозумілий перелік робіт: що потрібно змінити, хто це виконує, які підтвердження зібрати та від чого залежать строки.
Де замовити підготовку до PCI DSS в Україні
Якщо банк уже запросив документи або компанія планує нову платіжну інтеграцію, обговоріть підготовку до PCI DSS в Україні з командою System Management.
У заявці зазначте адресу сайту, платіжного провайдера, спосіб інтеграції та бажаний строк. За наявності додайте вимоги банку — це допоможе точніше визначити необхідний обсяг послуг.
Залиште заявку, щоб обговорити готовність вашого бізнесу, уточнити формат супроводу й отримати індивідуальний розрахунок вартості. Так ви зможете спланувати бюджет і роботи до початку основної перевірки.
