pci dss per a venedors online: saq a, dades a no guardar i el rol de la passarel·la de pagament

El Payment Card Industry Data Security Standard (PCI DSS) és un conjunt de requisits de seguretat dissenyats per garantir que totes les empreses que processen, emmagatzemen o transmeten informació de targetes de crèdit o dèbit mantinguin un entorn segur. El seu objectiu principal és protegir les dades sensibles dels titulars de les targetes contra el frau i les bretxes de seguretat. Per als venedors online, entendre PCI DSS és fonamental, ja que l'incompliment pot comportar multes significatives, pèrdua de reputació i la impossibilitat de processar pagaments amb targeta. Aquest és un aspecte clau dins de la seguretat dels pagaments en l'àmbit digital.

Sovint, les empreses creuen que la complexitat de PCI DSS és inabordable. No obstant això, per a molts negocis online, especialment aquells que deleguen la gestió de dades de targeta a tercers especialitzats, el camí cap a la conformitat se simplifica notablement a través del que es coneix com el Self-Assessment Questionnaire A, o SAQ A.

SAQ A: simplificant la conformitat per a l'e-commerce

El Self-Assessment Questionnaire (SAQ) és un document que permet als comerciants autoavaluar el seu nivell de compliment amb PCI DSS. Existeixen diferents tipus de SAQ, cadascun dissenyat per a escenaris específics de processament de pagaments. Per a la majoria dels negocis d'e-commerce que no emmagatzemen, processen ni transmeten dades sensibles de titulars de targeta directament en els seus propis sistemes, el SAQ A és el més rellevant.

El SAQ A està dirigit a comerciants les operacions de pagament dels quals compleixen amb una condició clau: la totalitat del processament de dades del titular de la targeta ha estat externalitzada a un proveïdor de serveis extern validat per PCI DSS. Això significa que el lloc web del comerciant no té accés directe ni emmagatzema el número de compte principal (PAN), el codi de verificació (CVV/CVC) ni la data de caducitat de la targeta en els seus propis servidors. A la pràctica, això s'aconsegueix mitjançant una integració que redirigeix el client a una pàgina de pagament allotjada per la passarel·la de pagament, o a través d'un iframe o camps incrustats que es carreguen directament des de la passarel·la, sense que les dades de la targeta passin pel servidor del comerciant.

La importància del SAQ A resideix en el fet que redueix dràsticament l'abast de la conformitat PCI DSS per al comerciant. Al no gestionar dades sensibles, les responsabilitats de seguretat es limiten principalment a assegurar la pròpia infraestructura web (per evitar injeccions de codi maliciós o Cross-Site Scripting que puguin afectar la integració) i garantir que la passarel·la de pagament utilitzada sigui realment compatible amb PCI DSS.

Dades que mai has de guardar (ni tocar)

La regla d'or de la seguretat de dades per a pagaments online és simple: si no necessites una dada, no la demanis; si la necessites, no la guardis si pots evitar-ho; i si no pots evitar-ho, guarda-la de la manera més segura possible i només el temps estrictament necessari. Per als comerciants que s'acullen a l'SAQ A, això es tradueix en no guardar ni tan sols tocar en cap moment el número de compte principal (PAN) complet, el codi de verificació (CVV/CVC) o la data de caducitat de la targeta.

Guardar qualsevol d'aquestes dades en el teu propi servidor (fins i tot de forma xifrada) et trauria de l'abast de l'SAQ A i t'obligaria a complir amb requisits PCI DSS molt més complexos i costosos, com els d'un SAQ D, que impliquen auditories i controls de seguretat de xarxa exhaustius. A més, l'emmagatzematge d'aquestes dades augmenta exponencialment el risc en cas d'una bretxa de seguretat. Si les dades completes de les targetes cauen en mans equivocades, les conseqüències poden ser devastadores, incloent fraus massius, multes reglamentàries i danys irreparables a la reputació del teu negoci.

Una pràctica segura, quan es necessita referenciar una targeta per a, per exemple, pagaments recurrents, és la tokenització. En aquest procés, la passarel·la de pagament genera un identificador únic (token) per cada targeta, que el comerciant pot emmagatzemar de forma segura. Aquest token, per si sol, no conté informació sensible de la targeta i només la passarel·la de pagament pot relacionar-lo amb les dades reals de la targeta. Així, el comerciant pot iniciar cobraments futurs sense haver de gestionar directament les dades sensibles. Pots aprofundir en la importància de gestionar correctament les dades i com els webhooks signats contribueixen a aquesta seguretat.

Què delega una passarel·la de pagament PCI DSS compliant

Triar una passarel·la de pagament que compleixi amb PCI DSS és la decisió més important per a un venedor online que busqui la conformitat SAQ A. En fer-ho, el comerciant delega la major part de la càrrega de complir amb els rigorosos estàndards de seguretat relacionats amb la gestió de dades de targetes.

Una passarel·la de pagament PCI DSS compliant assumeix responsabilitats clau com:

• Emmagatzematge segur: La passarel·la s'encarrega d'emmagatzemar les dades sensibles de la targeta de forma xifrada i segura en els seus propis sistemes, utilitzant mesures de protecció física i lògica d'alt nivell.
• Transmissió segura: Garanteix que totes les dades de la targeta es transmetin de forma xifrada (per exemple, mitjançant TLS) des del navegador del client fins als seus servidors, i des dels seus servidors a les xarxes de les marques de targetes.
• Seguretat de la xarxa i sistemes: Implementa i manté tallafocs, sistemes de detecció d'intrusions, controls d'accés robustos, monitorització contínua i pedaços de seguretat per protegir els seus propis sistemes on resideixen les dades de les targetes.
• Gestió de vulnerabilitats: Realitza escanejos regulars i proves de penetració per identificar i corregir possibles debilitats de seguretat.

No obstant això, és crucial entendre que la delegació no és total. El comerciant segueix sent responsable de:

• La seguretat del seu propi entorn: Assegurar que el seu lloc web o aplicació estigui lliure de vulnerabilitats que puguin comprometre la integració amb la passarel·la. Això inclou protecció contra injeccions SQL, Cross-Site Scripting (XSS) i altres atacs web.
• La tria d'una passarel·la certificada: Verificar activament que la passarel·la de pagament que utilitza posseeix una Declaració de Conformitat (AoC) vàlida que demostri la seva conformitat amb PCI DSS.
• La integració adequada: Assegurar-se que la integració amb la passarel·la es realitzi segons les millors pràctiques i no introdueixi punts de vulnerabilitat.
• Gestió d'altres dades: La seguretat de qualsevol altra dada del client (adreces, noms, historials de compra) que no siguin dades de targeta continua sent responsabilitat exclusiva del comerciant.

Per entendre el procés complet de com es gestionen els pagaments i on entren en joc aquestes mesures de seguretat, pots consultar el nostre article sobre com funciona un cobrament amb targeta online.

Conclusió pràctica

PCI DSS, i específicament l'opció SAQ A, ofereix un marc clar perquè els venedors online puguin operar de forma segura i legalment conforme. En triar una passarel·la de pagament certificada per PCI DSS i adoptar les integracions adequades (com redireccions o iframes), el teu negoci pot delegar la complexa responsabilitat de la gestió de dades de targetes, minimitzant el teu propi risc i l'àmbit de compliment requerit. La clau està en no tocar ni emmagatzemar dades sensibles de targetes i en mantenir sempre la seguretat del teu propi entorn web. Això et permetrà concentrar-te en el teu negoci, sabent que la informació dels teus clients està protegida.