Czym jest PCI DSS?
Także: PCI DSS 4.0, PCI DSS v4.0.1
Standard bezpieczeństwa danych w branży kart płatniczych, narzucone przez systemy płatnicze ramy postępowania z danymi posiadaczy kart.
PCI DSS to Payment Card Industry Data Security Standard, czyli standard bezpieczeństwa danych w branży kart płatniczych, narzucone przez systemy płatnicze ramy postępowania z danymi posiadaczy kart. Może również występować jako PCI DSS 4.0, PCI DSS v4.0.1.
W operacjach płatniczych nie jest to tylko etykieta; kontroluje, w jaki sposób transakcja, dane uwierzytelniające, zdarzenie ryzyka lub ruch środków są interpretowane przez kontrahentów. Mechanizm ten jest napędzany przez przepisy ustawowe, mandaty systemów płatniczych lub regulowaną praktykę rynkową.
Szczegóły operacyjne mają znaczenie, ponieważ ten sam przepływ płatności może wiązać się z różnymi obowiązkami w zależności od geografii, typu klienta, instrumentu i statusu zwolnienia. Jest on powszechnie analizowany wraz z Tokenizacją, Skarbcem kart, ponieważ te sąsiadujące koncepcje określają wynik handlowy i operacyjny.
Praktyczne szczegóły zazwyczaj znajdują się w logach bramki płatniczej, raportach akceptanta, plikach systemów płatniczych, rejestrach obsługi klienta i wyciągach rozliczeniowych, a nie w jednym panelu kontrolnym. Zespoły powinny rejestrować wartość, znacznik czasu, kontrahenta, walutę, kod odpowiedzi oraz wszelkie wskaźniki zwolnienia lub odpowiedzialności przypisane do zdarzenia.
Częstym błędem jest traktowanie PCI DSS jako statycznej definicji. W praktyce znaczenie może się zmieniać w zależności od systemu płatniczego, kraju, MCC, produktu karty, wystawcy, kanału transakcji oraz tego, czy płatność jest inicjowana przez klienta, czy przez sprzedawcę.
Dlatego sprzedawcy o dużym wolumenie transakcji zazwyczaj dokumentują zasady, monitorują wyjątki co tydzień i przeglądają progi, zanim mały problem operacyjny stanie się problemem związanym z obciążeniem zwrotnym, finansowaniem lub zgodnością.
Przykład praktyczny
Sprzedawca przegląda transakcję o wartości 500 EUR, w której PCI DSS jest czynnikiem decydującym. Sprzedawca sprawdza geografię, typ płatności, status klienta i kryteria zwolnienia, zanim zdecyduje, które traktowanie zgodności ma zastosowanie.
Koszt operacyjny jest modelowany na podstawie narażenia na niezgodność, które może przekroczyć marżę przetwarzania na sprzedaży, a odpowiednie działanie musi zostać zakończone przy kasie lub podczas onboardingu.
Krok 1 to przechwycenie oryginalnych danych żądania, w tym kwoty, waluty, kraju wystawcy, MID oraz kodu odpowiedzi lub statusu. Krok 2 to zastosowanie zestawu reguł sprzedawcy, na przykład czy ponowić próbę, zakwestionować, zwrócić, zwolnić towary lub wstrzymać do przeglądu.
Krok 3 to uzgodnienie wyniku z raportowaniem akceptanta, aby finanse mogły zobaczyć wpływ na przepływy pieniężne. Jeśli reguła poprawia wynik o nawet 50 punktów bazowych na 2000 podobnych miesięcznych transakcji, sprzedawca chroni około 10 dodatkowych zamówień przed możliwą do uniknięcia awarią lub stratą.
Uwagi organizacji kartowych
Nie jest to w pełni specyficzne dla systemu płatniczego, ponieważ obowiązki regulacyjne wynikają z ustawodawstwa, organów regulacyjnych i lokalnych zasad systemów płatniczych, a nie tylko z Visa czy Mastercard.
Zasady systemów płatniczych nadal mają znaczenie operacyjne, ponieważ definiują pola wiadomości, alokację odpowiedzialności, standardy dowodowe i konsekwencje monitorowania. Traktowanie w Wielkiej Brytanii i EOG może się różnić po Brexicie, a krajowe systemy płatnicze lub systemy przelewów bankowych mogą stosować oddzielne zbiory zasad.
Sprzedawcy powinni traktować zgodność z systemem płatniczym i zgodność prawną jako nakładające się kontrole, a nie substytuty.
Dlaczego to ważne dla sprzedawców
Komercyjnie wpływa to na koszty zgodności, akceptację płatności, obowiązki związane ze zwrotami i sporami oraz ryzyko egzekwowania przepisów regulacyjnych lub systemowych.
Dla sprzedawcy przetwarzającego 500 000 GBP miesięcznie, ruch o 25 punktów bazowych jest wart 1250 GBP przed skutkami wtórnymi, takimi jak spory, rezerwy, zgłoszenia do obsługi klienta lub koszty nieudanej dostawy.
Wpływ jest większy w modelach wysokiego ryzyka, subskrypcji, podróży, towarów cyfrowych i transgranicznych, ponieważ decyzje wystawców i monitorowanie systemów płatniczych mogą szybko się kumulować.
Cardflo może pomóc, łącząc dostęp do akceptacji, routing MID, reguły orkiestracji, przegląd KYB i narzędzia do obsługi obciążeń zwrotnych, tam gdzie jest to istotne, dzięki czemu sprzedawca nie jest zależny od jednej interpretacji procesora lub jednej stałej ścieżki transakcji.
Często zadawane
Jakie są konsekwencje nieprzestrzegania PCI DSS?
Nieutrzymanie zgodności może skutkować znacznymi miesięcznymi karami finansowymi od systemów kart płatniczych, często przekazywanymi przez akceptanta. W przypadku naruszenia danych, podmioty niezgodne z przepisami mogą ponieść zwiększone opłaty transakcyjne, odpowiedzialność prawną i potencjalne cofnięcie ich konta handlowego (MID).
Jak wersja 4.0 zmienia krajobraz zgodności dla sprzedawców?
PCI DSS v4.0 wprowadza bardziej rygorystyczne wymagania dotyczące uwierzytelniania wieloskładnikowego (MFA) i częstszych testów kontroli bezpieczeństwa. Przechodzi również na podejście oparte na ryzyku, dając organizacjom większą elastyczność w demonstrowaniu, że spełniły określone cele bezpieczeństwa poprzez dostosowane podejście walidacyjne.
Jakie dane powinien przechowywać sprzedawca dla PCI DSS?
Przechowuj identyfikator transakcji, MID, akceptanta, kwotę, walutę, kraj wystawcy, system kart płatniczych, kod odpowiedzi lub statusu, znacznik czasu oraz wszelkie odniesienia do 3DS, zwolnienia, zwrotu lub sporu.
W przypadku transakcji kartowych zachowaj identyfikatory autoryzacji i rozliczenia, ponieważ pytania dotyczące rozliczenia lub obciążenia zwrotnego mogą pojawić się 30 do 120 dni później.
W przypadku regulowanych przepływów zachowaj zgodę klienta i zapisy dowodowe przez co najmniej okres wymagany przez lokalne prawo lub zasady systemu płatniczego. Dobre zapisy skracają czas dochodzenia z godzin do minut, gdy raportowanie akceptanta nie pasuje do systemu zamówień.
Jak często należy przeglądać PCI DSS?
Sprzedawcy o dużym wolumenie transakcji powinni co tydzień przeglądać wskaźniki wyjątków i co miesiąc analizować główny wskaźnik według systemu płatniczego, akceptanta, kraju wystawcy, MCC i metody płatności. Ruch o 20 do 50 punktów bazowych może być istotny, jeśli sprzedawca przetwarza tysiące zamówień.
Dział finansowy powinien uzgadniać wpływ na przepływy pieniężne na poziomie rozliczenia, podczas gdy dział ryzyka lub operacji płatniczych powinien analizować przyczynę. Przeglądanie tylko łącznych sum ukrywa problemy, które pojawiają się w pojedynczym zakresie BIN, regionie lub MID.
Jaki próg zazwyczaj wyzwala działanie w przypadku PCI DSS?
Próg zależy od kategorii, ale akceptanci powinni zbadać każdą nagłą zmianę powyżej 10% względnego ruchu lub 25 punktów bazowych bezwzględnego ruchu.
W przypadku sporów i oszustw, progi organizacji płatniczych, takie jak 0,9% w ramach monitorowania Visa lub 1,5% w ramach Mastercard ECM, mogą stworzyć natychmiastowe ryzyko eskalacji. W przypadku rozliczeń lub pozycji cenowych, nawet 5 do 15 punktów bazowych może uzasadniać przekierowanie lub przegląd umowy.
Kluczem jest ustalenie progów przed końcem miesiąca, a nie po otrzymaniu faktury od agenta rozliczeniowego lub powiadomienia od organizacji płatniczej.
Czy PCI DSS może się różnić między akceptantami?
Tak. Akceptanci mogą różnie mapować kody odpowiedzi, stosować różne zasady ryzyka, obsługiwać różne pola danych i rozliczać się w różnych cyklach.
Jeden akceptant może zwrócić ogólne odrzucenie, podczas gdy inny ujawnia poradę wystawcy, która pozwala na bezpieczną ponowną próbę. Traktowanie opłat może również różnić się w zależności od umowy, zwłaszcza w przypadku transakcji transgranicznych, wymiany walut, kart premium i alternatywnych metod płatności.
Dlatego sprzedawcy korzystający z orkiestracji powinni porównywać wydajność według akceptanta i systemu płatniczego, zamiast polegać na jednej łącznej liczbie zatwierdzeń lub kosztów.
Jaki jest pierwszy krok naprawczy, gdy PCI DSS generuje straty?
Zacznij od 30-dniowej próbki i podziel ją według systemu płatniczego, kraju wystawcy, produktu karty, metody płatności, MID oraz kodu odpowiedzi lub sporu. Określ wartość zagrożoną w kategoriach pieniężnych, a nie tylko w punktach procentowych.
Następnie zdecyduj, czy rozwiązanie jest operacyjne, takie jak lepsze dowody lub komunikacja z klientem, techniczne, takie jak bogatsze dane lub wskaźniki 3DS, czy komercyjne, takie jak inna trasa akceptanta. Ponownie sprawdź ten sam wskaźnik po pełnym cyklu rozliczenia lub sporu, aby potwierdzić, że zmiana zadziałała.
See how PCI DSS plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Powiązane terminy
Zastąpienie wrażliwych danych karty niewrażliwą wartością zastępczą, którą można przechowywać i ponownie wykorzystywać bez zakresu PCI.
Zgodne z PCI DSS przechowywanie tokenizowanych danych kart, które pozwala sprzedawcy ponownie obciążyć kartę bez przechowywania numeru PAN.
Wymóg PSD2, aby inicjowane przez klienta płatności elektroniczne w EOG i Wielkiej Brytanii były uwierzytelniane za pomocą dwóch z trzech czynników: wiedzy, posiadania, dziedziczenia.
Regulowana weryfikacja tożsamości sprzedawcy (KYB) oraz, w stosownych przypadkach, klientów sprzedawcy (KYC).
Powiązane przewodniki.
Gotowy, by ulepszyć swoje płatności?
Opowiedz nam o swojej firmie. Dopasujemy Cię do odpowiednich partnerów acquiringowych i odpowiedniej ścieżki, zazwyczaj w ciągu tygodnia.