Банк или платёжный сервис запросил подтверждение PCI DSS, а компания не знает, с чего начать. Одни исполнители предлагают помощь с самооценкой, другие — комплексную подготовку и внешнюю проверку. Стоимость отличается, а состав работ не всегда понятен.
Чтобы заказать аудит PCI DSS в Казахстане с обоснованным бюджетом, сначала нужно определить платёжную схему, границы проверки и документы, которые ожидает принимающая сторона.
Когда бизнесу требуется подтверждение PCI DSS
Практический повод для подготовки — переход к интеграции, при которой компания получает и передаёт карточные данные через собственные системы.
Например, в документации Freedom Pay для Gateway API описано прямое соединение server-to-server: продавец собирает данные карты на своей стороне и отправляет их провайдеру. Для такого подключения прямо указана необходимость PCI DSS.
Если покупатель оплачивает заказ на странице платёжного сервиса, распределение обязанностей будет другим. При этом соответствие провайдера не означает автоматического выполнения всех обязательств продавца.
Поэтому требования к безопасности желательно выяснять до выбора окончательного способа интеграции. Это позволяет включить необходимые изменения в план разработки и избежать незапланированных расходов перед запуском.
Что входит в услуги по подготовке к PCI DSS
Состав услуг по подготовке к PCI DSS необходимо согласовать применительно к вашей инфраструктуре. Проект может включать определение области проверки, оценку готовности, подготовку документов и сопровождение устранения выявленных пробелов.
Отдельно нужно определить, кто выполняет технические изменения, необходимые сканирования и тестирование, а кто проводит оценивание и оформляет итоговые документы.
До подписания договора уточните:
- какие системы, приложения и платёжные процессы включены в работы;
- какие задачи выполняет подрядчик, а какие — ваша команда;
- входит ли помощь с устранением замечаний;
- какие проверки оплачиваются отдельно;
- кто проводит внешнюю оценку, если она необходима;
- какие документы предусмотрены по результатам.
Такой перечень помогает сравнивать предложения по содержанию, а не только по итоговой сумме.
От чего зависит стоимость PCI DSS в Казахстане
Стоимость PCI DSS зависит от роли компании, сложности инфраструктуры, способа обработки карточных данных и текущей готовности. Подготовка интернет-магазина с внешней платёжной страницей и платёжного сервиса с собственной инфраструктурой требует разного объёма работ.
Бюджет может включать предварительную оценку, доработку систем, документацию, проверку безопасности и последующее поддержание соответствия. Существенную часть ресурсов также занимает работа собственных разработчиков и администраторов.
Поэтому для расчёта цены аудита PCI DSS полезно предоставить схему движения данных и описание инфраструктуры. Без этих сведений предварительная сумма может не отражать фактический объём проекта.
Как не переплатить за лишний объём проверки
Начните с выяснения, где карточные данные появляются, куда передаются и могут ли сохраняться в базах, журналах или резервных копиях. Затем определите системы и доступы, способные влиять на безопасность этой среды.
Передача отдельных функций провайдеру и сегментация инфраструктуры могут сократить область применения требований. Однако исключение систем из проверки должно быть обосновано их фактической ролью и настройками.
Предварительная оценка помогает отделить необходимые работы от решений, которые не относятся к вашей платёжной схеме. Она также показывает, какие изменения следует выполнить до основного оценивания.
Какие документы нужно согласовать с банком
До заказа услуг уточните ожидаемый формат подтверждения. В зависимости от ситуации применяются анкета самооценки SAQ с соответствующим AOC либо отчёт ROC и AOC.
Выбор зависит от обстоятельств компании и требований стороны, принимающей подтверждение. Поэтому обещание универсального «сертификата для любого бизнеса» не заменяет согласования конкретного результата.
Где заказать подготовку к PCI DSS в Казахстане
Обсудить подготовку к PCI DSS в Казахстане можно со специалистами System Management.
Для получения индивидуального предложения укажите вид бизнеса, используемый платёжный сервис, способ интеграции и желаемые сроки. Приложите запрос банка или партнёра, если подтверждение уже требуется.
Оставьте заявку на консультацию и расчёт стоимости подготовки. Начальные сведения о вашем проекте помогут предметно обсудить состав услуг, необходимые документы и дальнейшие шаги.
