Какие шаги необходимо предпринять для достижения соответствия PCI для Magento CE?
Например, использование платежей через веб-сайт PayPal Pro или Sage Pay Direct в магазине поможет достичь соответствия PCI?
payment-gateway
blakcaps
источник
источник
Ответы:
Нет никаких причин, почему CE не может быть PCI-совместимым
Это всегда считалось PCI-совместимым - пока не появилось EE, тогда EE понадобился еще один USP. Пока вы не сохраняете данные CC - не требуется шифрование других данных (имя / адрес клиента и т. Д.).
Но имейте в виду, что соответствие требованиям PCI - это такое же требование на стороне приложения, как и набор правил и определений для управления вашей компанией и обработки конфиденциальной информации.
SAQ
На какой уровень соответствия вы попадете, будет зависеть то, что вам нужно сделать для обеспечения соответствия PCI. Если SAQ (вопросник для самооценки) подходит для размера вашего бизнеса, то вы можете пройти без помощи CE - при использовании внешнего метода оплаты (например, описанного).
В противном случае, выше уровня SAQ - вам все равно понадобится QSA - и вы говорите большие деньги с профессиональной помощью. Тот факт, что вы спрашиваете здесь, вероятно, оговаривает, что вы не находитесь за этой границей.
Скорее всего, вы попадете под SAQ-D
См. Https://www.pcisecuritystandards.org/smb/what_to_secure.html.
Торговец / Уровень транзакции
См. Http://usa.visa.com/merchants/risk_management/cisp_merchants.html.
Важно различать уровень торговца и уровень SAQ. Они отдельные. Вы можете быть SAQ-D как торговец 2-го уровня. Фактически, в большинстве случаев вы можете самостоятельно оценить уровень 2 до уровня SAQ-D - поскольку требования более смягчены, поскольку вы вообще не обрабатываете данные карты.
Простое использование EE не делает вас PCI-совместимым, точно так же, как использование хоста, соответствующего PCI, не делает вас PCI-совместимым. Ваш бизнес в целом (приложение, бизнес / персонал, хостинг) должен соответствовать PCI.
источник
Уровень PCI, которому вы должны соответствовать, зависит от того, сколько транзакций вы собираетесь иметь. В качестве первого шага вы должны решить, какой уровень будет применяться к вам:
http://usa.visa.com/merchants/risk_management/cisp_merchants.html это от VISA, но также применимо к PCI
С каждым уровнем у вас будут разные требования. После того, как вы пройдете оценку, я уверен, что кто-то сможет дать вам более подробный ответ о том, какие шаги предпринять с CE.
источник
Enterprise Edition поставляется с приложением, которое называется Payment Bridge, которое имеет очень хороший уровень шифрования и может быть запущено на отдельном сервере, чем ваше приложение. Это может быть чрезмерным уничтожением для большинства контекстов и требует готовности изолировать и отлаживать код приложения в ОО-организации, за которой не так легко следить, как с кодом Magento Core.
У соответствия PCI есть много мелких нюансов, которые фактически делают CE не полностью PCI-совместимым. Самый быстрый и зачастую лучший способ быть PCI-совместимым в CE - это использовать стороннюю систему шлюза оплаты токенизации. Есть несколько расширений, которые уже интегрировали Authorize.net CIM или Cybersource Payment Profiles и некоторые другие. Это означает, что при правильной реализации все, что вы когда-либо сохраняете, - это ID профиля клиента, а данные кредитной карты хранятся на платежном шлюзе.
При этом я не думаю, что в вашем вопросе четко указана информация, которую вы хотите сохранить о транзакции, которую вы хотите улучшить для соответствия требованиям PCI. Без дополнительной информации трудно помочь решить архитектуру вашего конкретного требования с какой-либо спецификой.
источник
Я думаю, что обычно есть два пути:
Вы не хотите делать это самостоятельно, потому что вы небольшой магазин, тогда вам следует остаться в СЕ и обратиться к поставщику платежей, чтобы сделать это за вас.
Вы большая компания, ожидаете много сделок и хотите сделать это самостоятельно. Тогда у вас должно быть достаточно денег, чтобы использовать EE.
СТАРЫЙ ОТВЕТ:
Вы должны зашифровать все данные кредитной карты (благодаря @sonassi) «PCIish» и многое другое. Для проверки соответствия PCI стоит много денег. а зачем тебе это? Используйте EE :-)
Всю необходимую информацию можно найти на сайте PCI
И я не думаю, что здесь много разработчиков, которые знают стандарт, я тоже.
С соответствием PCI нечего играть. Если вы хотите этого, вы должны потратить много денег, и вам нужны специалисты.
источник
Существуют плагины (например, у компании Foregenix, занимающейся безопасностью, есть такие, которые ведут журналирование, мониторинг изменений файлов и некоторые другие), которые могут помочь быстро и просто внедрить некоторые элементы управления PCI. Но если вы хотите выбрать самый простой путь с точки зрения соблюдения нормативных требований, вам следует рассмотреть возможность использования размещенной платежной страницы из своего платежного шлюза. Это позволит вам использовать SAQ A-EP (если вы не пытаетесь сделать что-то отличное от обычной размещенной на странице оплаты).
источник