Каждый бизнес, принимающий платежи по картам, должен раз в год проходить PCI DSS Self-Assessment Questionnaire. Вопросы устанавливает PCI Security Standards Council, и отвечать на них нужно точно в том виде, в котором они сформулированы. По словам Paytia, то, чего до сих пор не хватало, — это места, где предполагается заполнять эти вопросы: за столом, на ноутбуке, пока объекты, о которых идет речь в анкете, находятся в другой комнате.

“The questions are the questions — reword them and you haven’t filled one in. We put the questionnaire on the phone, let the camera do the filing, and kept the photos on the device where they belong.” — Curtis Nash, CEO, Paytia

Paytia Comply переносит анкету в телефон, который всегда под рукой. Он охватывает все девять типов SAQ и 966 требований PCI DSS v4.0.1, по одному за раз, чтобы пользователи могли отвечать там, где на самом деле находится доказательство.

Пользователи могут выбрать анкету, соответствующую их платежной схеме — A, A-EP, B, B-IP, C, C-VT, D for Merchants, D for Service Providers или P2PE — либо нажать “Help me choose” и ответить на несколько вопросов о своей среде. Каждый SAQ объясняет, что он покрывает и сколько требований включает, от 28 для SAQ B до 145 для A-EP. Затем пользователи проходят вопросы, отмечая каждый как Yes, No или N/A, при этом прогресс отслеживается по мере заполнения.

The question stays the question

Когда открывается любое требование, официальный текст PCI SSC отображается под заголовком, который прямо говорит: “The question”. Paytia утверждает, что формулировка не была перефразирована и не сокращалась. Компания заявляет, что переписанный SAQ уже не был бы SAQ.

Что добавляет Comply, так это сопроводительные пояснения: что именно означает каждое требование и какие доказательства могут потребоваться для его выполнения, включая документацию для проверки, персонал для интервью и параметры конфигурации для изучения. Язык стандарта остается неизменным, а пояснение находится рядом с ним, давая пользователям контекст без изменения исходного текста, на который они должны ответить.

The camera does the filing

Многие требования требуют доказательств, а не простого отметки в чекбоксе, например подтверждения замка в серверной, настройки терминала или журнала посетителей. Paytia отмечает, что сбор таких доказательств часто был обременительным: сфотографировать, отправить себе по email, скачать на ноутбук, переименовать файл, а затем определить, к какому требованию он относится.

Comply призван убрать эту лишнюю работу. Пользователь, стоящий перед объектом проверки, может нажать “Take photo” и прикрепить изображение к соответствующему требованию. Фотографии остаются на устройстве. Когда анкета завершена, материалы собираются в PDF, который можно экспортировать или отправить по email acquirer’у или QSA. На практике это означает, что приложение ориентировано на момент сбора доказательств, а не на более поздний этап их рассмотрения.

A pocket reference for the browser, too

Не каждый вопрос PCI возникает в серверной. Многие появляются за столом — обычно в виде вопроса, какой SAQ вообще применим, или как аббревиатуры в письме от acquirer’а. Для таких случаев Paytia также предлагает бесплатное расширение Chrome, PCI SAQ Pocket Reference: chromewebstore.google.com/detail/pci-saq-pocket-reference/amkphflaeaegcigdnjdffclpmamjifcf.

Расширение находится в панели браузера и выполняет три функции: восьмивопросное руководство по выбору, которое помогает определить правильный SAQ, словарь из 15 терминов PCI простым языком — PAN, CDE, AOC, P2PE и другие — а также ссылки на бесплатные чек-листы Paytia для SAQ A, A-EP, B и D. Paytia утверждает, что оно работает офлайн, не требует разрешений, не содержит трекинга и имеет открытый исходный код под лицензией MIT.

Расширение отвечает на вопросы, возникающие за столом, а приложение используется для самого заполнения анкеты — стоя перед доказательствами. Также доступен бесплатный мгновенный проверяющий инструмент на paytia.com/resources/tools/which-saq — восемь вопросов, ответы в браузере, ничего не собирается.

Why Paytia built it

Paytia утверждает, что с 2016 года является PCI DSS Level 1 certified provider, помогая контакт-центрам и merchant’ам, работающим без присутствия клиента, оставаться compliant. Компания говорит, что снова и снова видела одну и ту же картину. Бизнес знает, что срок ежегодного SAQ наступил, скачивает официальные PDF, открывает их на ноутбуке и останавливается — потому что документ написан для assessor’а, который в итоге его прочитает, и потому что половина того, о чем он спрашивает, находится в другой части здания.

Вопросы сами по себе не были тем, что Paytia могла исправить. Исправить можно было то, где на них отвечают.

What it doesn’t do

Comply — это чек-лист и инструмент для сбора доказательств. Это не юридическая и не compliance-консультация, и окончательное решение остается за acquirer’ом. Он не сертифицирует никого как PCI compliant — для этого требуется attestation от QSA, а для merchant’ов, имеющих право использовать SAQ, — self-attestation, подписанный компанией. Он также не выполняет внешнее сканирование или penetration tests и не внедряет технические меры контроля, которые требуют требования стандарта. Что он делает, по словам Paytia, — это переносит анкету с ноутбука туда, где находятся доказательства.

“An SAQ isn’t something you’re allowed to simplify. The questions are the questions — reword them and you haven’t filled one in. What nobody had asked is where you’re supposed to be standing when you answer them. It’s never at a desk. It’s in the room with the card terminal, or the cabinet, or the visitor log. So we put the questionnaire on the phone, let the camera do the filing, and kept the photos on the device where they belong.” — Curtis Nash, CEO, Paytia

Paytia также направляет читателей к своему бесплатному расширению Chrome и мгновенному проверяющему инструменту, отмечая, что более широкий набор PCI-ориентированных средств компании предназначен для помощи в выборе правильного SAQ и организации доказательств для проверки.