Самооценка по PCI DSS

Подтверждение соответствия ТСП стандарту PCI DSS уровня L3 и L4 выполняется путем проведения самооценки.

В зависимости от того, каким образом ТСП обрабатывает платежи, Банк-эквайрер выбирает для каждого ТСП подходящий тип Листа самооценки (SAQ), от которого зависит набор требований PCI DSS, выполнение которых надо проверить.
Типы Листов самооценки
А

Применим к ТСП, выполняющим транзакции без предъявления карты (электронная коммерция) или МОТО (по наземной почте или телефону) с привлечением сторонних организаций, подтвердивших свое соответствие требованиям стандарта PCI DSS, и которые не хранят, не обрабатывают и не передаются использованием электронным средств никакие данные Держателей карт в своих системах или в своей локальной среде. Этот Лист Самооценки не применяется к каналам, в которых проводятся операции с предъявлением карты.

A-EP

Применим к ТСП, имеющим веб-сайт, выполняющим транзакции электронной коммерции с привлечением сторонних организаций, подтвердивших свое соответствие требованиям стандарта PCI DSS, и которые не хранят, не обрабатывают и не передают с использованием электронно-вычислительных средств никакие данные Держателей карт в своих системах или в своей локальной среде. Этот Лист Самооценки применяется исключительно к каналам электронной коммерции.

B

Применим к ТСП, которые используют исключительно импринтеры и/или автономные терминалы с подключением к внешним сетям (dial-out) (подключение к платежному сервис- провайдеру или Эквайреру выполняется через телефонную линию) 
и которые не хранят данные Держателей карт в электронном виде. Этот Лист Самооценки не применяется к каналам электронной коммерции.

B-IP

Применим к ТСП, которые используют отдельно стоящие терминалы, одобренные согласно PCI PTS, с IP-подключением к платежному сервис-провайдеру или Эквайреру и не хранящие данные Держателей карт в электронном виде. Этот Лист Самооценки не применяется к каналам электронной коммерции.

C-VT

Применим к ТСП, которые при выполнении каждой отдельной транзакции с помощью клавиатуры вручную вводят данные Держателя карты в виртуальный терминал, подключенный к сети Интернет и предоставляемый сторонней организаций, подтвердившей свое соответствие требованиям стандарта PCI DSS. Такое ТСП не хранит данные Держателей карт в электронном виде. Этот Лист Самооценки не применяется к каналам электронной коммерции.

C

Применим к ТСП, которые используют POS-терминалы, напрямую подключенные к Интернету или POS-терминалы, находящиеся в локальной сети ТСП, подключенной к Интернету. Данные Держателей карт не хранятся в ТСП в электронном виде. Этот Лист Самооценки не применяется к каналам электронной коммерции.

P2PE

Применим к ТСП, которые используют сертифицированные P2PE-решения 
и не хранят данные Держателей карт в электронном виде. Этот Лист Самооценки не применяется к каналам электронной коммерции.

D

Применим для всех остальных ТСП, которые не попадают под критерии остальных Листов самооценки.

Шаблоны Листов самооценки (SAQ) на русском и английском языках, содержащие инструкции по заполнению, размещены на сайте Совета PCI SSC. Изменение шаблонов и заполнение листов самооценки по другим шаблонам запрещено.

Самооценка может проводиться ТСП самостоятельно. ТСП вправе привлекать QSA для помощи в проведении самооценки. QSA должен быть привлечен для оценки ТСП на соответствие требованиям PCI DSS, указанным в соответствующем Листе самооценки (SAQ), если того потребует Банк-эквайрер.

Результат самооценки актуален один год, начиная с даты, указанной в заполненном листе самооценки, поэтому самооценку следует проводить ежегодно.

Лист самооценки должен быть подписан уполномоченным представителем ТСП и аудитором (если он принимал участие в самооценке). Порядок и форма предоставления заполненного и подписанного Листа самооценки определяется Банками-эквайрерами. ТСП следует обратиться в свой Банк-эквайрер для получения необходимой информации о порядке предоставления SAQ.

Если ТСП подтверждает свое соответствие стандарту PCI DSS с помощью сертификационного аудита, самооценку оно проводить не обязано.

Схемы выбора листов-самооценки

ТСП, принимающие платежи в Интернете, могут определить подходящий им Лист самооценки с помощью схемы:

ТСП, принимающие платежи с предъявлением клиентом физической карты, могут определить подходящий им Лист самооценки с помощью схемы: