Ogni azienda che accetta pagamenti con carta deve completare una volta all'anno un Questionario di Autovalutazione PCI DSS. Le domande sono definite dal PCI Security Standards Council e devono essere risposte esattamente come scritte. Secondo Paytia, ciò che non era stato affrontato era il luogo in cui queste domande devono essere completate: a una scrivania, su un laptop, mentre gli elementi oggetto della verifica si trovano in un'altra stanza.

“Le domande sono le domande — riformularle significa non aver compilato nulla. Abbiamo messo il questionario sul telefono, lasciato alla fotocamera il compito di archiviare e tenuto le foto sul dispositivo dove appartengono.” — Curtis Nash, CEO, Paytia

Paytia Comply sposta il questionario sul telefono che hai in tasca. Copre tutti e nove i tipi di SAQ e 966 requisiti PCI DSS v4.0.1, uno alla volta, così gli utenti possono rispondere dove si trovano effettivamente le prove.

Gli utenti possono selezionare il questionario che corrisponde alla propria configurazione di pagamento — A, A-EP, B, B-IP, C, C-VT, D per i Merchant, D per i Service Provider o P2PE — oppure toccare “Help me choose” e rispondere ad alcune domande sul proprio ambiente. Ogni SAQ spiega cosa copre e quanti requisiti include, da 28 per SAQ B fino a 145 per A-EP. Gli utenti possono quindi procedere con le domande, indicando per ciascuna Yes, No o N/A, mentre il progresso viene tracciato durante tutto il percorso.

La domanda resta la domanda

Quando si apre un requisito, il testo ufficiale del PCI SSC appare sotto un'intestazione che dice chiaramente “The question”. Paytia afferma che il testo non è stato parafrasato né accorciato. L'azienda sostiene che un SAQ riformulato non sarebbe più un SAQ.

Ciò che Comply aggiunge è il contesto circostante: che cosa significa effettivamente ogni requisito e quali prove potrebbero essere necessarie per soddisfarlo, inclusa la documentazione da esaminare, il personale da intervistare e le impostazioni di configurazione da controllare. Il linguaggio dello standard rimane intatto, mentre la spiegazione si affianca ad esso, offrendo agli utenti un contesto senza modificare il testo originale a cui devono rispondere.

La fotocamera fa l'archiviazione

Molti requisiti richiedono una prova piuttosto che una semplice spunta, come ad esempio l'evidenza di una serratura della sala server, della configurazione del terminale o del registro visitatori. Paytia afferma che raccogliere tali prove è spesso stato macchinoso: scattare una foto, inviarla via email a se stessi, scaricarla su un laptop, rinominare il file e poi capire a quale numero di requisito appartenesse.

Comply è progettato per eliminare questo lavoro aggiuntivo. Gli utenti che si trovano davanti all'elemento da verificare possono toccare “Take photo” e allegare l'immagine al requisito pertinente. Le foto restano sul dispositivo. Quando il questionario è completato, il materiale viene raccolto in un PDF che può essere esportato o inviato via email a un acquirer o a un QSA. In pratica, l'app è pensata per il momento in cui le prove vengono raccolte, non per quello in cui vengono poi riesaminate.

Anche per il browser c'è un riferimento tascabile

Non tutte le domande PCI sorgono in una sala server. Molte nascono a una scrivania, spesso come domanda su quale SAQ si applichi oppure come acronimo in un'email di un acquirer. Per questi casi, Paytia offre anche una gratuita estensione Chrome, PCI SAQ Pocket Reference: chromewebstore.google.com/detail/pci-saq-pocket-reference/amkphflaeaegcigdnjdffclpmamjifcf.

L'estensione si trova nella barra degli strumenti del browser e svolge tre funzioni: una guida decisionale in otto domande che aiuta a individuare il SAQ corretto, un glossario in linguaggio semplice di 15 termini PCI — tra cui PAN, CDE, AOC e P2PE — e collegamenti alle checklist gratuite di Paytia per SAQ A, A-EP, B e D. Paytia afferma che funziona offline, non richiede autorizzazioni, non include tracciamento ed è open source con licenza MIT.

L'estensione risponde alle domande che sorgono alla scrivania, mentre l'app serve a completare il questionario vero e proprio, davanti alle prove. Paytia offre anche un controllo istantaneo gratuito su paytia.com/resources/tools/which-saq, che utilizza otto domande nel browser e non raccoglie informazioni.

Perché Paytia l'ha costruito

Paytia afferma di essere un fornitore certificato PCI DSS Level 1 dal 2016, aiutando contact center e merchant che non gestiscono la presenza fisica del cliente a rimanere conformi. L'azienda dice di aver osservato sempre lo stesso schema: le imprese sapevano che il SAQ annuale era in scadenza, scaricavano i PDF ufficiali, li aprivano su un laptop e poi si fermavano perché il documento era scritto per l'assessore che lo avrebbe poi esaminato e perché gran parte delle prove richieste si trovava in un'altra parte dell'edificio.

Secondo Paytia, il problema non erano le domande in sé, ma il luogo in cui venivano compilate. Questa distinzione conta perché l'autovalutazione PCI resta un processo formale e l'attrito pratico deriva spesso dall'organizzare le prove e dal scegliere il questionario corretto prima ancora che una revisione possa iniziare.

Cosa non fa

Paytia descrive Comply come una checklist e uno strumento di raccolta delle prove. Non è consulenza legale o di conformità, e l'acquirer ha l'ultima parola. Non certifica un'azienda come conforme PCI; per questo serve un'attestazione da parte di un QSA, oppure, per i merchant idonei all'SAQ, una self-attestation firmata dall'azienda. Inoltre non esegue scansioni esterne né penetration test e non implementa i controlli tecnici richiesti dallo standard.

Ciò che fa, secondo Paytia, è spostare il questionario dal laptop e collocarlo dove si trovano le prove.

“Un SAQ non è qualcosa che ti è permesso semplificare. Le domande sono le domande — riformularle significa non averne compilato nessuna. Quello che nessuno aveva chiesto era dove si dovesse stare quando le si risponde. Non è mai a una scrivania. È nella stanza con il terminale della carta, o l'armadio, o il registro visitatori. Così abbiamo messo il questionario sul telefono, lasciato alla fotocamera il compito di archiviare e tenuto le foto sul dispositivo dove appartengono.” — Curtis Nash, CEO, Paytia

Paytia segnala inoltre la propria estensione Chrome gratuita e il controllo istantaneo, e osserva che i suoi strumenti più ampi incentrati su PCI hanno l'obiettivo di aiutare gli utenti a individuare il SAQ corretto e a organizzare le prove per la revisione.