Regulation
Какво е PCI DSS?
Също: PCI DSS 4.0, PCI DSS v4.0.1
Стандарт за сигурност на данните в индустрията за платежни карти, рамката, наложена от схемата за обработка на данни на картодържатели.
PCI DSS е Стандартът за сигурност на данните в индустрията за платежни карти, рамката, наложена от схемата за обработка на данни на картодържатели. Може да се появи и като PCI DSS 4.0, PCI DSS v4.0.1.
В платежните операции това не е просто етикет; той контролира как транзакция, идентификационни данни, рисково събитие или движение на средства се тълкуват от контрагентите. Механизмът се задвижва от законови правила, мандати на схеми или регулирана пазарна практика.
Оперативните детайли са важни, защото един и същ платежен поток може да носи различни задължения в зависимост от географията, типа клиент, инструмента и статуса на освобождаване. Обикновено се анализира заедно с токенизацията, хранилището за карти, защото тези съседни концепции определят търговския и оперативен резултат.
Практическите детайли обикновено се намират в регистрационните файлове на шлюза, отчетите на придобиващия, файловете на схемата, записите на обслужване на клиенти и извлеченията за сетълмент, а не в едно табло за управление.
Екипите трябва да записват стойността, времевия печат, контрагента, валутата, кода за отговор и всеки индикатор за освобождаване или отговорност, прикрепен към събитието. Често срещана грешка е да се третира PCI DSS като статична дефиниция.
На практика значението може да се променя според схемата, държавата, MCC, картовия продукт, издателя, канала за транзакции и дали плащането е инициирано от клиента или от търговеца.
Ето защо търговците с голям обем обикновено документират правила, наблюдават изключенията ежеседмично и преглеждат праговете, преди малък оперативен проблем да се превърне в проблем с обратно плащане, финансиране или съответствие.
Практически пример
Търговец преглежда транзакция от 500 евро, където PCI DSS е решаващият фактор. Търговецът проверява географията, вида на плащането, статуса на клиента и критериите за освобождаване, преди да реши кое третиране за съответствие се прилага.
Оперативните разходи се моделират при излагане на несъответствие, което може да надвиши маржа на обработка при продажбата, и съответното действие трябва да приключи при плащане или при регистрация.
Стъпка 1 е да се заснемат оригиналните данни на заявката, включително сума, валута, държава на издателя, MID и код за отговор или статус.
Стъпка 2 е да се приложи наборът от правила на търговеца, например дали да се опита отново, да се оспори, да се възстанови сумата, да се освободят стоки или да се задържат за преглед.
Стъпка 3 е да се съгласува резултатът с отчитането на придобиващия, така че финансите да могат да видят паричното въздействие. Ако правилото подобри резултата дори с 50 базисни точки при 2000 подобни месечни транзакции, търговецът защитава приблизително 10 допълнителни поръчки от избегнат провал или загуба.
Бележки на картовите схеми
Това не е изцяло специфично за схемата, тъй като регулаторните задължения произтичат от законодателство, регулатори и местни правила на платежната система, а не само от Visa или Mastercard.
Правилата на схемата все още са важни оперативно, защото те определят полетата на съобщенията, разпределението на отговорността, стандартите за доказателства и последствията от мониторинга.
Третирането в Обединеното кралство и ЕИП може да се различава след Brexit, а вътрешните схеми или банковите преводи могат да прилагат отделни правилници. Търговците трябва да третират съответствието със схемата и правното съответствие като припокриващи се контроли, а не като заместители.
Защо е важно за търговците
В търговски план това засяга разходите за съответствие, приемането на плащания, задълженията за възстановяване на суми и спорове, както и риска от регулаторно или схематично прилагане.
За търговец, обработващ 500 000 британски лири на месец, движение от 25 базисни точки струва 1250 британски лири преди вторични ефекти като спорове, резерви, билети за поддръжка или разходи за неуспешна доставка.
Въздействието е по-голямо при високорискови, абонаментни, туристически, дигитални стоки и трансгранични модели, тъй като решенията на издателя и мониторингът на схемата могат бързо да се натрупват.
Cardflo може да помогне, като комбинира достъп до придобиване, маршрутизиране на MID, правила за оркестрация, KYB преглед и инструменти за обратно плащане, където е уместно, така че търговецът да не зависи от една интерпретация на процесора или един фиксиран път на транзакция.
Често задавани
Какви са последиците от неспазването на PCI DSS?
Неспазването може да доведе до значителни месечни глоби от картовите схеми, често предавани чрез придобиващия. В случай на пробив в данните, несъответстващите субекти могат да се сблъскат с увеличени такси за транзакции, правни задължения и потенциално отнемане на техния търговски акаунт (MID).
Как версия 4.0 променя пейзажа на съответствието за търговците?
PCI DSS v4.0 въвежда по-строги изисквания относно многофакторната автентикация (MFA) и по-честото тестване на контролите за сигурност.
Той също така преминава към подход, основан на риска, което дава на организациите по-голяма гъвкавост в начина, по който демонстрират, че са постигнали конкретни цели за сигурност чрез персонализиран подход за валидиране.
Какви данни трябва да съхранява търговецът за PCI DSS?
Съхранявайте ID на транзакцията, MID, придобиващ, сума, валута, държава на издателя, схема на картата, код за отговор или статус, времеви печат и всякакви 3DS, освобождаване, възстановяване на сума или референция за спор.
За картови транзакции запазете идентификаторите за оторизация и клиринг, защото въпроси за сетълмент или обратно плащане могат да пристигнат 30 до 120 дни по-късно.
За регулирани потоци запазете съгласието на клиента и записите за доказателства поне за периода, изискван от местното законодателство или правилата на схемата. Добрите записи намаляват времето за разследване от часове до минути, когато отчитането на придобиващия не съвпада със системата за поръчки.
Колко често трябва да се преглежда PCI DSS?
Търговците с голям обем трябва да преглеждат нивата на изключенията ежеседмично и да проследяват основния показател ежемесечно по схема, придобиващ, държава на издателя, MCC и метод на плащане. Движение от 20 до 50 базисни точки може да бъде съществено, ако търговецът обработва хиляди поръчки.
Финансите трябва да съгласуват паричното въздействие на ниво сетълмент, докато рискът или платежните операции трябва да анализират основната причина. Преглеждането само на общите суми скрива проблеми, които се появяват в един BIN диапазон, регион или MID.
Какъв праг обикновено задейства действие по PCI DSS?
Прагът зависи от категорията, но търговците трябва да разследват всяка внезапна промяна над 10% относително движение или 25 базисни точки абсолютно движение.
За спорове и измами, прагове на схеми като 0,9% при мониторинг на Visa или 1,5% при Mastercard ECM могат да създадат незабавен риск от ескалация. За елементи на сетълмент или ценообразуване, дори 5 до 15 базисни точки могат да оправдаят маршрутизиране или преглед на договор.
Ключът е да се зададат прагове преди края на месеца, а не след като пристигне фактура от процесор или известие от схема.
Може ли PCI DSS да се различава между придобиващите?
Да. Придобиващите могат да картографират кодовете за отговор по различен начин, да прилагат различни правила за риск, да поддържат различни полета за данни и да се уреждат по различни цикли.
Един придобиващ може да върне общо отхвърляне, докато друг разкрива съвет от издателя, който позволява безопасно повторно опитване. Третирането на таксите също може да варира според договора, особено за трансгранични, валутни, премиум карти и алтернативни методи на плащане.
Ето защо търговците, използващи оркестрация, трябва да сравняват ефективността по придобиващ и схема, вместо да разчитат на едно общо одобрение или цифра за разходи.
Коя е първата стъпка за отстраняване, когато PCI DSS създава загуби?
Започнете с 30-дневна извадка и я разделете по схема, държава на издателя, продуктов тип карта, метод на плащане, MID и код за отговор или спор. Количествено определете стойността на риска в парично изражение, а не само в процентни пунктове.
След това решете дали корекцията е оперативна, като по-добри доказателства или комуникация с клиенти, техническа, като по-богати данни или 3DS индикатори, или търговска, като различен маршрут на придобиващия.
Проверете отново същия показател след пълен цикъл на сетълмент или спор, за да потвърдите, че промяната е проработила.
See how PCI DSS plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Свързани термини
Заместване на чувствителни данни за карта с нечувствителна заместваща стойност, която може да бъде съхранявана и използвана повторно без обхват на PCI.
Съвместимо с PCI DSS хранилище на токенизирани данни за карти, което позволява на търговеца да таксува карта отново, без да съхранява PAN.
Изискване на PSD2, че инициираните от клиента електронни плащания в ЕИП и Обединеното кралство трябва да бъдат удостоверени с два от следните фактори: знание, притежание, присъщност.
Регулирана проверка на самоличността на търговеца (KYB) и, когато е уместно, на клиентите на търговеца (KYC).
Свързани ръководства.
Готови ли сте да подобрите настройките за плащанията си?
Разкажете ни за вашия бизнес. Ние ще ви свържем с правилните банки акцептанти и правилния маршрут, обикновено в рамките на една седмица.