Sviluppo Software e Conformità PCI DSS per FinTech, E-commerce e SaaS che Gestiscono Dati dei Titolari di Carta

Il PCI SSC definisce nove tipi di SAQ. SAQ A si applica ai merchant e-commerce/MOTO che esternalizzano completamente la gestione dei dati dei titolari di carta a una terza parte validata PCI (pagina di pagamento ospitata, redirect completo). SAQ A-EP si applica ai merchant il cui sito web influisce sul pagamento ma non riceve dati dei titolari di carta (ad es. JavaScript che invia direttamente al processore — la v4.0.1 ha aggiunto requisiti sull'integrità degli script). SAQ B riguarda i terminali con imprinter o dial-out standalone; SAQ B-IP i terminali IP standalone. SAQ C e C-VT sono per i sistemi di applicazioni di pagamento e i terminali virtuali. SAQ D è il questionario completo con 300+ domande — ogni service provider e ogni merchant che memorizza dati dei titolari di carta vi rientra. Lavoriamo per spostarvi verso SAQ più semplici: tokenizzazione, pattern iframe/redirect, terminali validati P2PE (SAQ P2PE) e isolamento di rete del CDE portano tipicamente un merchant di Livello 2 da SAQ D a SAQ A-EP o SAQ A.

PCI DSS v4.0 ha sostituito la v3.2.1 il 31 marzo 2024; la v4.0.1 (errata release) è ora l'unica versione valida. I nuovi requisiti 'a data futura' sono diventati obbligatori il 31 marzo 2025 — tra cui analisi del rischio mirate per ogni requisito che ammette flessibilità, meccanismi automatizzati di revisione dei log (Req 10.4.1.1), scansioni di vulnerabilità interne autenticate (Req 11.3.1.2), controlli di integrità degli script web (Req 6.4.3 e 11.6.1 — critici per SAQ A-EP), MFA per tutti gli accessi al CDE (Req 8.4.2/8.5) e assegnazione documentata di ogni requisito a un ruolo. Colmiamo le lacune v4.0.1 e documentiamo le analisi del rischio mirate che il vostro QSA richiederà.

Il QSA (Qualified Security Assessor) è un valutatore esterno certificato dal PCI SSC per eseguire audit Report on Compliance (RoC) — obbligatorio per i merchant di Livello 1 e la maggior parte dei service provider di Livello 1. L'ISA (Internal Security Assessor) è un dipendente interno certificato per svolgere valutazioni interne e firmare i SAQ per conto del proprio datore di lavoro. L'ASV (Approved Scanning Vendor) è una certificazione separata per i fornitori che eseguono scansioni trimestrali di vulnerabilità esterne ai sensi del Req 11.3.2 — Qualys, Tenable, Rapid7 e altri detengono lo status ASV. Di solito avete bisogno di un ASV fin dal primo giorno (scansioni trimestrali) e di un QSA solo se siete di Livello 1 o un service provider nell'elenco imposto dal circuito. Non siamo un QSA né un ASV; siamo il team che vi prepara per entrambi e gestisce la relazione.

Lo scope PCI DSS è definito dal cardholder data environment (CDE) — qualsiasi sistema che memorizza, elabora o trasmette dati dei titolari di carta, più i sistemi connessi. La tokenizzazione sostituisce il PAN con un token non sensibile emesso da un servizio di tokenizzazione validato PCI; se il PAN non tocca mai i vostri sistemi (o tocca solo un vault strettamente delimitato), la maggior parte del vostro stack è esclusa dallo scope. Il P2PE (Point-to-Point Encryption) è una soluzione validata dal PCI SSC che cifra i dati della carta nell'hardware del terminale con una chiave che i vostri sistemi non possono decifrare — i merchant idonei scendono a SAQ P2PE (~35 controlli contro 300+). Progettiamo l'architettura di tokenizzazione/P2PE, documentiamo la riduzione dello scope in un memo scritto accettabile dal vostro QSA e segmentiamo il CDE residuo dietro firewall/VPC peering con controlli di flusso documentati.

Si tratta di livelli sovrapposti: PCI DSS protegge i dati dei titolari di carta a riposo e in transito; la PSD2 Strong Customer Authentication (SCA) disciplina il modo in cui il pagatore autentica una transazione nel SEE/UK (e EMV 3-D Secure 2.x è il protocollo tecnico che la realizza); il GDPR aggiunge obblighi sui dati personali sopra PCI — il PAN è un dato personale ai sensi del GDPR. I controlli SOC 2 CC e C si sovrappongono ai Req PCI 7, 8, 10, 12 per circa il 60%. Costruiamo una mappa di controlli integrata: flussi SCA, esenzioni 3DS, base giuridica GDPR Articolo 6 per il trattamento dei pagamenti, controlli di cifratura e accesso PCI DSS ed evidenze SOC 2 — tutto allineato affinché lo stesso controllo soddisfi più obblighi.

Tre pacchetti. Lo scoping ha un prezzo fisso di 6.000 EUR (2–3 settimane): mappatura del CDE, decisione sull'idoneità SAQ, memo architetturale per la riduzione dello scope (tokenizzazione, redirect, P2PE), analisi delle lacune rispetto ai controlli SAQ applicabili, roadmap di remediation. L'implementazione ha un prezzo fisso di 20.000 EUR (8–12 settimane): segmentazione di rete, MFA su tutti gli accessi al CDE, cifratura (FIPS 140-2/3), logging ai sensi del Req 10 con revisione automatizzata, sviluppo sicuro ai sensi del Req 6, gestione fornitori ai sensi del Req 12.8, controlli script web ai sensi del Req 6.4.3/11.6.1 e il pacchetto di policy PCI DSS. Il Rinnovo SAQ Annuale ha un prezzo fisso di 4.500 EUR: supervisione delle scansioni ASV (trimestrale per tutto l'anno), aggiornamento dell'analisi del rischio mirata, completamento SAQ e supporto alla firma dell'AOC. Le tariffe del QSA sono fatturate separatamente dalla società QSA.