Aziende che gestiscono carte di credito via e-mail

1. PCI-DSS non è applicato da nessun governo; la conformità è un requisito per la gestione delle transazioni con carta di credito in alcun modo. Le multe e l'esclusione dall'elaborazione sono due azioni di controllo che possono essere intraprese. Non sono sicuro di chi sia in grado di fare definitivamente ciò che, tranne i marchi delle carte, le banche acquirenti e i processori, sono le entità solitamente coinvolte nel determinare se farlo o nel far leva sull'applicazione. (Ad esempio, ritengo che le marche di carte impongano multe, ma le banche acquirenti sono responsabili della loro riscossione - o di colmare il deficit. Allo stesso modo, i processori hanno il compito di riscuotere gli acquirenti o di colmare il deficit. polizia quelli più in basso, e le marche di carte non vengono lasciate in mano con le bollette.)

2. No, questo non dovrebbe variare molto a livello internazionale. Tutti i dettagli che menzioni, che sono essenzialmente la trasmissione pubblica non crittografata e la memorizzazione dei numeri di conto primario e dei dati di autenticazione sensibili, sono violazioni dei principi fondamentali del DSS e non sono soggetti a localizzazione.

Per quanto riguarda il miglioramento, puoi lavorare con il commerciante o puoi fischiare (pubblicamente o in privato con il loro processore / acquirente). A meno che non siano insolitamente ricettivi, nessuna di queste opzioni funziona bene per te, un imprenditore in una relazione commerciale con loro che ha quasi sicuramente firmato contratti legali con loro.

Fa schifo, ma come tu collegato a prima ... "la struttura PCI DSS è progettata per incoraggiare la sicurezza e punire le parti responsabili, non per rafforzare la sicurezza."

Almeno in Australia (sì, so che sono le 4 del mattino) Suppongo che il fornitore del conto commerciale sia cba, anz o Westpac (ho avuto esperienza nel trattare con queste compagnie) e presumo che i dati di questa carta di credito vengano inseriti manualmente in un terminale eftpos.

Il contratto con queste banche è molto chiaro che questo stile di processo è un no-no enorme e può portare alla revoca del conto commerciale. Tutto ciò che serve è un dipendente canaglia.

Forniscono gateway di pagamento online "sicuri" ma applicano una commissione più elevata per coprire il rischio di aumento delle frodi. (perché non hai una persona reale di fronte a te con una carta fisica in mano) l'opzione "inserimento manuale" è presente solo nel caso in cui una carta abbia una striscia magnetica danneggiata. (e un residuo della reliquia dai giorni pre-elettronici)

Fine della giornata se la tua voce non viene ascoltata su questo problema, allora puoi semplicemente far sapere alla banca che se ne occuperà

I didn't know exactly how to make my point to management

So che sembra una non risposta, ma:

• È stato detto che la Direzione (l'azienda) comprende due cose: denaro e rischio.
• C'è un costo di conformità con PCI DSS (costi di modifica / implementazione, più costi in corso)
• Vi sono rischi associati alla non conformità (rischio di ammende, costo dell'indagine in caso di violazione, perdita di reputazione in caso di violazione e così via). La conformità dovrebbe essere trattata come qualsiasi altro rischio.
• È compito dell'azienda accettare il rapporto costi / rischi
• Potrebbero esserci dei modi in cui è possibile modificare il processo aziendale per impedire qualsiasi necessità di trasmettere / archiviare i dati dei titolari di carta, eliminando in tal modo eventuali problemi di conformità PCI. (Come ad esempio disporre di personale telefonico per i dettagli della propria carta e metterli in EFTPOS al momento, purché la chiamata non sia registrata)

Se rendi l'azienda consapevole delle loro opzioni ragionevoli, con il rapporto costo / rischio di ciascuno, allora fintanto che sono ben informati è la loro decisione che cosa vogliono fare.