Memorizzazione di CVC / CVV / CVV2 fino all'elaborazione del pagamento

Tecnicamente, secondo PCI SSC è possibile conservare CVV e altri dati sensibili di autenticazione fino a quando non si verifica l'autorizzazione. In altre parole, la restrizione sull'archiviazione dei dati di autenticazione sensibili si applica alla memorizzazione post-autenticazione / elaborazione. Ecco un documento da PCI SSC sui requisiti di archiviazione dei dati . Vedi la tabella "Linee guida tecniche per l'archiviazione dei dati PCI". La nota 2 della tabella indica:

Sensitive authentication data must not be stored after authorization (even if encrypted).

Il mio consiglio come QSA è che il tempo di archiviazione pre-autorizzazione deve essere ragionevole dal punto di vista aziendale. Vorrei anche che fosse il più breve possibile dal punto di vista tecnico. Se il flusso di dati è simile ad altri nel vostro settore e stanno elaborando i pagamenti senza memorizzare i dati sensibili per più di qualche secondo al massimo, allora mi aspetterei lo stesso da voi.

Devi parlare con un QSA.

Non puoi memorizzare il CVV. Tuttavia, la memorizzazione accidentale può verificarsi come parte di un flusso transazionale approvato e ciò è accettabile se la QSA lo trova così. Altrimenti, sarebbe impossibile utilizzare CVV nelle transazioni batch.

Non riuscirai a farlo, dovrai trovare un altro modo.

Se la memoria serve il framework PCI DSS, afferma anche che non è possibile memorizzare un numero di carta di credito (o altro PAN) in testo semplice nella sua interezza. Dovrai nascondere i numeri centrali come mostrato nelle ricevute, quindi devi assicurarti che lo script ti consenta di farlo anche tu.

Poiché gowenfawr ha risposto che non è possibile memorizzare il numero CVV. Lo scopo del numero CVV è dimostrare che il titolare della carta possiede la carta, non autorizzare transazioni. Se il commerciante è in grado di ottenere il numero CVV, nega al consumatore la possibilità di addebitare una transazione non autorizzata poiché la società della carta di credito rifiuterà il chargeback.

The most popular answer to this question is not the correct one. The only place the CVV number should be stored is on the Credit Card itself.

Ci sono certamente (naturalmente) molti dettagli mancanti qui. Sono d'accordo con DKNUCKLES e credo che tu abbia un problema di processo. Riesci a sanare la logica del ritardo attraverso l'autorizzazione dei dati del titolare della carta?

Non puoi assolutamente memorizzare tutti i dati della traccia o il numero CVV2.