La call center pci compliance è uno degli ambiti più complessi della conformità PCI DSS perché il problema nasce in un canale che per natura non è stato progettato per la sicurezza dei dati carta: il telefono. Ogni volta che un operatore ascolta il numero di carta di un cliente, quell'operatore, la sua postazione, il sistema di registrazione delle chiamate e l'intera infrastruttura telefonica entrano nel perimetro del CDE. Esistono soluzioni tecniche precise per eliminare questo problema, senza sacrificare l'esperienza del cliente.
Il problema PCI nel call center: l'operatore che sente il PAN
Nei pagamenti MOTO (Mail Order / Telephone Order), il cliente comunica verbalmente il numero di carta all'operatore, che lo inserisce nel sistema di pagamento. Questo schema semplice crea un problema di compliance enorme: l'operatore ha accesso diretto al PAN, il sistema di registrazione delle chiamate lo cattura in chiaro, e qualsiasi sistema connesso alla postazione dell'operatore rientra nel CDE. Il perimetro da certificare diventa l'intero call center.
I requisiti PCI DSS per un call center che tratta PAN includono controlli fisici sulle postazioni (niente telefoni personali, niente carta e penna), policy di accesso granulari, monitoraggio continuo delle sessioni, e regole precise sulla registrazione audio. Vietare la registrazione delle chiamate durante la fase di comunicazione del PAN è un requisito, ma è tecnicamente difficile da implementare in modo affidabile senza soluzioni dedicate.
DTMF e IVR: le due soluzioni tecniche per i pagamenti telefonici
La soluzione più efficace per rimuovere il PAN dall'interazione con l'operatore è il DTMF (Dual-Tone Multi-Frequency). Con questa tecnologia, quando arriva il momento del pagamento, il cliente inserisce il numero di carta tramite la tastiera del telefono invece di comunicarlo verbalmente. I toni DTMF vengono catturati direttamente dal sistema di telefonia e inviati al vault di tokenizzazione, senza mai passare attraverso l'audio che l'operatore ascolta. Il call center viene rimosso dallo scope PCI.
La seconda soluzione è l'IVR (Interactive Voice Response): un sistema automatico che gestisce l'intera fase di raccolta del pagamento senza intervento umano. Il cliente viene trasferito temporaneamente al sistema IVR, inserisce i dati carta, e viene poi riconnesso all'operatore per completare l'assistenza. Entrambe le soluzioni possono essere integrate con PCI Proxy EU tramite API standard compatibili con i principali sistemi di telefonia e contact center as a service.
Come PCI Proxy EU rimuove il call center dallo scope PCI
L'integrazione di PCI Proxy EU nel flusso MOTO funziona in questo modo: quando l'operatore avvia una transazione, il sistema genera una sessione di pagamento sicura. Il cliente inserisce il numero di carta tramite DTMF o IVR; i toni vengono intercettati e inviati direttamente al vault di PCI Proxy EU, che restituisce un token. L'operatore vede solo il token nella sua interfaccia: non ha mai accesso al PAN reale.
Il risultato pratico è che il call center, le postazioni degli operatori, i sistemi di registrazione delle chiamate e l'infrastruttura telefonica escono dal perimetro PCI DSS. Rimane in scope solo il vault di PCI Proxy EU, che è certificato PCI DSS Level 1. Per l'azienda, questo significa meno documentazione, meno controlli, meno costi di compliance, con la stessa capacità operativa di accettare pagamenti telefonici.
Domande frequenti
La registrazione delle chiamate è sempre vietata in ambito PCI?
Non è vietata in assoluto, ma il PCI DSS richiede che i dati di autenticazione sensibili (inclusi CVV e dati della traccia) non vengano mai registrati, neanche in forma audio. Se la registrazione cattura il momento in cui il cliente comunica il numero di carta, quella registrazione è fuori compliance. Con il DTMF, i toni vengono eliminati dal flusso audio prima che raggiungano il registratore, rendendo la registrazione completa possibile e conforme.
Il DTMF funziona anche con i numeri verdi?
Sì. Il DTMF è un protocollo standard di telefonia compatibile con qualsiasi infrastruttura telefonica, inclusi i numeri verdi e i sistemi VoIP. L'implementazione richiede che il provider di telefonia supporti la decodifica dei toni DTMF e li passi al sistema di PCI Proxy EU. La maggior parte dei contact center as a service moderni supporta questa funzionalità nativamente.
Quanto tempo ci vuole per integrare una soluzione DTMF?
I tempi variano in base all'infrastruttura telefonica esistente. In un ambiente cloud contact center (come Genesys, Twilio, Amazon Connect), l'integrazione con PCI Proxy EU richiede tipicamente da 2 a 4 settimane tra sviluppo, test e go-live. Su sistemi di telefonia on-premise più legacy, i tempi possono estendersi a 2-3 mesi a causa della complessità dell'integrazione.
Vuoi eliminare il rischio PCI dai pagamenti telefonici del tuo call center? Scopri PCI Proxy EU.