Sono con un'organizzazione che sta appena iniziando a lavorare su PCI. Abbiamo 3 siti collegati tramite connessioni point to point. Solo il sito principale memorizza i dati del titolare della carta. Gli altri due siti dispongono di workstation che si connettono all'ambiente dei dati del titolare della carta tramite connessione crittografata. Abbiamo bisogno che tutti e 3 i siti siano conformi PCI.
Sulla base delle informazioni di cui sopra, ho alcune domande ...
-
Abbiamo bisogno di un SAQ separato per ogni sito? O solo per il sito principale?
-
Sappiamo che i 2 siti che non archiviano i dati dei titolari di carte sono nel campo di applicazione, tuttavia, abbiamo solo bisogno di indurire quegli ambienti o dobbiamo passare attraverso ogni requisito PCI e garantire che sia soddisfatto? Comprendiamo che dobbiamo farlo per il sito principale.
-
Comprendiamo che la valutazione del rischio è un requisito per il PCI. Dal momento che la stiamo solo implementando, quando dovremmo condurre una valutazione del rischio? All'inizio quando definiamo l'ambito o in un secondo momento?
-
Dovremmo passare attraverso il questionario SAQ per vedere dove siamo (analisi del gap) prima o dopo la valutazione del rischio?
Grazie mille per il tuo aiuto !!!