Se i tuoi sistemi hanno visibilità sui dati sensibili degli account, la tua negligenza potrebbe essere responsabile di qualsiasi violazione o frode. Quindi, semplicemente raccogliendo i dati, ti esponi a questi rischi.
Questi rischi sono amplificati se i dati sensibili vengono conservati "a riposo" in modo duraturo, sotto la custodia, sia sui server che controlli o presso un fornitore con cui si contraggono, piuttosto che sul semplice transito dei sistemi "in transito".
Ci sono molti servizi che memorizzeranno i dati per te, ma non assumeranno alcuna responsabilità di custodia, in particolare nella forma accresciuta che implica l'archiviazione dei dati sensibili. La custodia rimane con te.
Quindi, poiché i tuoi sistemi hanno visibilità, il rischio rimane con te e non puoi aspettarti di spostare quel rischio su un altro fornitore. Pertanto non ci saranno servizi che funzionano esattamente nella maniera desiderata nello spazio ACH.
I servizi, come Stripe, raccolgono le informazioni sui pagamenti dei clienti e quindi utilizzano tali informazioni per richiedere trasferimenti di denaro dagli account dei clienti al tuo account. Puoi tranquillamente utilizzare questi servizi con un rischio minimo perché non vedi mai i dati sensibili del tuo account. Stripe sopporta il rischio, in cambio di un taglio del 2-3%.
Le regole in questo ambito sono molto più chiare nel dominio delle carte di credito, dove PCI ha sviluppato negli anni un grado relativamente alto di sofisticazione per classificare le organizzazioni partecipanti, sviluppare ruoli e standard, costruire un ecosistema di audit e conformità e gestire l'applicazione . Non è perfetto e le frodi con carta di credito si verificano ogni giorno, ma sono gestite e i requisiti e le conseguenze sono molto più chiari.
Il sistema ACH, la cui controparte PCI è NACHA, è molto più vecchio e probabilmente meno ben organizzato rispetto al sistema delle carte di credito. I macchinari sono molto meno maturi. I rischi che derivano dalla mancanza di maturità sono compensati dal ritmo al quale funziona il sistema ACH, in cui il tempo di transazione minimo è di giorni anziché i secondi che possono essere raggiunti nel sistema delle carte di credito. Ma NACHA si aspetta ancora che gli emittenti di fatture che utilizzano ACH debbano avere prove chiare sia dell'identità del cliente che avvia il pagamento sia del loro assenso a una particolare transazione. Queste responsabilità iniziano con le parti che raccolgono queste informazioni.