Conseil PCI

Qui vient nous voir pour cela

Un responsable conformité dont le prestataire de paiement vient de demander un questionnaire qui ne semble pas correspondre. Un commerçant dont le prestataire a suspendu les paiements par carte après une compromission et qui veut les récupérer. Un commerçant de niveau 1 avec un petit périmètre qui soupçonne que le standard complet n’est pas la bonne profondeur. Un architecte qui conçoit un flux de paiement et veut savoir, avant de le construire, ce qu’il signifiera pour le périmètre. Quiconque s’est entendu dire quelque chose par un prestataire, un acquéreur ou un évaluateur précédent et veut savoir si c’est vrai.

Ce que nous faisons

1. Répondre par écrit, avec le raisonnement.

   Chaque question reçoit une réponse écrite qui dit ce que le standard demande, comment il s’applique à votre cas, et pourquoi. Si le standard laisse de la marge, nous le disons et nous montrons comment nous le lisons. La réponse est de celles que vous pouvez présenter à votre acquéreur ou à votre prochain évaluateur.

2. Les décisions de périmètre et de questionnaire.

   À lequel des trois endroits se trouve chaque système. Quel questionnaire convient, en quelle qualité, canal par canal. Si un Report on Compliance peut se concentrer sur les exigences qui s’appliquent réellement, et comment le demander à l’acquéreur.

3. Les attestations de prestataires et les matrices de responsabilités.

   Ce que l’attestation d’un prestataire couvre réellement, lue en regard du service que vous achetez. La lettre de questions au prestataire, une exigence à la fois. La matrice de responsabilités, convenue par écrit avant la première évaluation.

4. Après une compromission.

   Pour les commerçants que leur prestataire a coupés : le jeu minimal de contrôles à mettre en place, la reconstruction, la vérification, le questionnaire libéré seulement quand il est vrai, et de l’aide pour que l’hébergeur fasse sa part.

5. Avant une conception.

   Les conséquences sur le périmètre d’un flux de paiement, d’une intégration ou d’une architecture cloud, avant qu’ils ne soient construits, quand ils sont peu coûteux à changer.

Ce que nous ne ferons pas