Paytia Comply 將九份 PCI 自我評估問卷帶到手機上
重點速覽
- •Paytia Comply 支援全部九種 SAQ 類型與 966 項 PCI DSS v4.0.1 要求。
- •該應用程式保留官方 PCI SSC 問題原文，同時提供脈絡說明。
- •使用者可將照片作為證據附加，且影像會保留在裝置上，直到問卷整理成 PDF。
- •Paytia 表示，該產品不提供合規認證、法律建議，也不取代必要的 PCI 控制與測試。
- •公司也提供免費 Chrome 擴充功能與即時檢查工具，協助使用者找出正確的 SAQ。
每一家接受卡片付款的企業，每年都必須完成一次 PCI DSS 自我評估問卷。問題由 PCI Security Standards Council 設定，且必須依原文作答。Paytia 指出，過去尚未被解決的是：這些問題應該在哪裡完成——在書桌前、在筆電上，還是在被詢問的設備其實位於另一個房間的情況下。
「問題就是問題——改寫了，就等於沒填。我们把問卷放到手機上，讓相機負責歸檔，並把照片留在它們應該待的裝置裡。」— Curtis Nash，Paytia 執行長
Paytia Comply 將問卷帶到你口袋裡的手機上。它涵蓋全部九種 SAQ 類型與 966 項 PCI DSS v4.0.1 要求，逐項作答，讓使用者能在證據真正所在的位置完成回覆。
使用者可以選擇與其付款架構相符的問卷——A、A-EP、B、B-IP、C、C-VT、適用於商家的 D、適用於服務供應商的 D，或 P2PE——也可以點選「Help me choose」並回答幾個有關其環境的問題。每份 SAQ 都會說明其涵蓋範圍及所含要求數量，從 SAQ B 的 28 項到 A-EP 的 145 項不等。接著，使用者依序完成問題，將每一項標記為 Yes、No 或 N/A，並在過程中追蹤進度。
問題仍然是問題
當打開任一要求時，官方 PCI SSC 的原文會出現在明確標示為「The question」的標題之下。Paytia 表示，這段文字沒有被改述，也沒有被縮短。該公司指出，若 SAQ 內容被改寫，就不再是 SAQ。
Comply 所增加的是周邊的指引：每項要求實際代表什麼，以及要滿足它可能需要哪些證據，包括要檢視的文件、要訪談的人員，以及要檢查的設定。標準的用語保持不變，說明則放在旁邊，為使用者提供脈絡，而不改變他們被要求回答的原始文字。
由相機負責歸檔
許多要求需要的是證明，而不只是勾選方框，例如伺服器機房鎖、終端機設定或訪客紀錄。Paytia 表示，蒐集這些證據過去往往相當繁瑣：拍照、寄給自己、下載到筆電、重新命名檔案，然後再找出它屬於哪一項要求。
Comply 的設計就是為了移除這些額外步驟。當使用者站在正在檢視的項目前方時，只要點選「Take photo」，影像就會附加到相關要求。照片會保留在裝置上。問卷完成後，所有材料會整理成 PDF，可匯出或寄送給收單機構或 QSA。實際上，這代表該應用程式著眼於蒐集證據的當下，而不是之後審閱證據的階段。
也提供瀏覽器用的口袋參考工具
並非每一道 PCI 問題都會在伺服器機房裡出現。許多問題是在書桌前冒出來的，通常是「哪一種 SAQ 適用於我們？」之類的疑問，或是收單機構郵件中的縮寫。針對這些情況，Paytia 也提供免費的 Chrome 擴充功能 PCI SAQ Pocket Reference：chromewebstore.google.com/detail/pci-saq-pocket-reference/amkphflaeaegcigdnjdffclpmamjifcf。
這項擴充功能位於瀏覽器工具列中，提供三項功能：八題式決策指南，協助使用者找到正確的 SAQ；以淺白英文編寫的 15 個 PCI 詞彙表——包括 PAN、CDE、AOC、P2PE 等；以及通往 Paytia 免費清單的連結，涵蓋 SAQ A、A-EP、B 與 D。Paytia 表示，它可離線運作、不要求任何權限、不含追蹤功能，且原始碼以 MIT 授權開放。
擴充功能用來回答在書桌前出現的問題；而應用程式則是在證據面前完成問卷本身。Paytia 也提供一個免費的即時檢查工具 paytia.com/resources/tools/which-saq，透過瀏覽器中的八道問題進行判斷，且不會收集任何資料。
Paytia 為何打造這項產品
Paytia 表示，自 2016 年以來，該公司一直是 PCI DSS Level 1 認證供應商，協助聯絡中心與非面對面交易商家維持合規。公司持續看到同樣的情況：企業知道年度 SAQ 到期，下載官方 PDF，打開筆電後就停住了，因為文件是寫給最終會審閱它的評估人員，而且它所要求的一半證據其實在建築物的另一處。
Paytia 認為，問題不在於問題本身，而在於回答問題的位置。這種區分很重要，因為 PCI 自我評估仍然是一項正式程序，而實務上的阻礙往往來自於在審查開始前，就必須整理證據並選對問卷。
它不做什麼
Paytia 將 Comply 描述為清單與證據擷取工具。它不是法律或合規建議，最終決定權在收單機構。它不會替任何人證明已符合 PCI 標準——那需要來自 QSA 的證明，或在適用 SAQ 的商家情況下，由企業簽署自我聲明。它也不會執行外部掃描或滲透測試，且不會實施標準要求的技術控制。
Paytia 表示，它所做的是把問卷從筆電上移開，放到證據所在之處。
「SAQ 不是可以隨便簡化的東西。問題就是問題——改寫了，就等於沒填。沒人問的是，當你回答它們時，應該站在哪裡。那從來不是書桌前。是在卡片終端機旁、櫃子前，或訪客紀錄旁。所以我們把問卷放到手機上，讓相機負責歸檔，並把照片留在它們應該待的裝置裡。」— Curtis Nash，Paytia 執行長
Paytia 也引導讀者使用其免費 Chrome 擴充功能與即時檢查工具，並指出公司的其他 PCI 導向工具旨在協助使用者判定正確的 SAQ，並整理供審查使用的證據。