Сертификация PCI DSS

Question

[budyakov]

Стоит задача пройти сертификацию PCI DSS для e-commerce сайта для приема карточек на сайте.
Все компании, оказывающие такие услуги не сообщают ничего конкретного пока не заполнишь несколько анкет.
Поэтому прошу помощи у хабовчан:
1. Сколько (приблизительно) может стоить такая сертификация? В Level 4 мы укладываемся по количеству транзакций.
2. Сколько (приблизительно) времени занимает такая сертификация?

Ну и оффтоп вопрос:
3. Встречался ли кто-то может на собственном примере, может видел какие-то исследования, как меняется конверсия при переходе к системе, когда пользователь вводит данные карт непосредственно на сайте магазина?

Answer 1

[Bezgodov]

Привет, я QSA-аудитор, если ты Интернет-магазин 4 уровня, то тебе нужен SAQ и ASV. SAQ — это лист самооценки соответствия PCI DSS. ASV — это сканирование сайта на наличие уязвимостей.
Если хочешь хранить карточные данные в своей системе, то тебе нужен SAQ D — это стоит ококло 10K USD и 4 месяца, а если только передаёшь их через свой сайт в платежный шлюз или банк и не хранишь у себя, то SAQ C — это около 6K USD и 2 месяца, если же и не передаешь, а отправляешь покупателя на форму платёжного шлюза — то около 2K USD и 2 недели всего. Могу помочь, пиши.

Comments

[budyakov]

Мне нужно выводить форму оплаты у себя на сайте, после ввода данные будут передавать эквайеру, которых их будет обрабатывать и возвращать статус платежа. Никакие платежные данные покупателей храниться на сервере не будут.

[Bezgodov]

Тогда это SAQ C. Подробнее Ваш проект предлагаю обсудить лично )

[Артем Чуканов]

Евгений, как я понял, ASV-сканирование осуществляется ежеквартально (SAQ A). Означает ли это, что каждые три месяца нужно заплатить 2000USD QSA-аудитору? Или же данная сумма подразумевает подписку на данные сканирования на определённый период?

[Bezgodov]

Нет, каждые три месяца по 2000 USD платить не нужно. Эта сумма, кроме всего прочего, включает годовую подписку на ASV-сканирование для трех IP-адресов. Количество запусков сканера не ограничено — можно хоть каждый день запускать. Кстати, стоимость этой подписки всего около 550 USD. Остальное это услуги по внедрению стандарта и подтверждению соответствия.

Answer 2

[FilimoniC]

Напоминаю, что с PCI 1.2 аудитор несет материальную и репутационную ответственность за проверяемую компанию, так что шоколадки можно спрятать в стол )

Comments

[Bezgodov]

Так точно :) Да и потом, PCI DSS это не rocket science — он выполним, а с грамотным консультантом и того проще. Только поправлю, что актуальная версия PCI DSS — 2.0.

[FilimoniC]

Ну я проходил на 1.2, потом сменмл город проживания и соответственно, ушел из той компании. Вроде как во времена 1.1 аудитор нес куда меньше ответственности по сравнению с 1.2

Answer 3

[himik]

1. сумма сильно зависит от специфики вашей. от 10к евро ориентируйтесь
2. по времени все бумаги, потом проверки и аудиты занимают не меньше 4 месяцев-полугода
3. все зависит от ваших дальнейших действий. вам ведь надо еще наладить работу с платежным шлюзом, настроить с вашей или их стороны какой-то антифрод и т.д. очень много ньюансов
и еще вам нужен будет очень толковый админ

Comments

[budyakov]

Спасибо. Админ есть, работать будем через эквайера и весь процесс по сути уже налажен.

По сумме и срокам я, если честно, ожидал меньших ресурсов. Не посоветуете аудитора?

[himik]

sql.cnews.ru/news/line/index.shtml?2012/08/20/499874
мы на Украине сертификацию проходили у сиснета. это вроде они же, но в России

Answer 4

[esinev]

Все зависит от объема.
Если Level 1 — то да, от 10k, аудит на месте. Можно быстрее 4 месяцев, тут все зависит от загруженности аудитора и вашей готовности.
Если Level 2 — то просто заполнение опросного листа и сканирование на уязвимости. Сумма будет в несколько раз меньше.

> как меняется конверсия при переходе к системе, когда пользователь вводит данные карт непосредственно на сайте магазина?
Думаю, покупатель больше доверит данные своей карты платежному шлюзу, где все будет сделано безопаснее.

Comments

[budyakov]

Возможно, у меня есть догадки как в пользу перехода на шлюз, так и в пользу ввода данных карточек непосредственно на сайте магазина. Хотелось бы получить данные, доказывающие либо одну версию, либо другую.

Сейчас конверсия по оплате (оплаченные счета к выставленным) составляет порядка 70%, хочется этот показатель увеличить.

Answer 5

[belkaU]

очевидно, что некропостинг, однако нет никакого смысла делать PCI DSS ради ВВОДА данных на страницах сайта, т.к. любой вменяемый PSP и так предоставляет такую функцию.

Другое дело, что PCI DSS делают для ХРАНЕНИЕ данных карт. И если у вас нет прямой необходимости хранить данные о картах покупателей, никакого смысла делать PCI DSS нет.