MOTO (Mail Order / Telephone Order) to kategoria płatności kartą, w której klient nie jest fizycznie obecny – zamówienie i płatność następują przez pocztę lub telefon. Dla call centerów obsługujących płatności MOTO, PCI DSS stawia szczególne wymagania dotyczące ochrony danych kart w środowisku telefonicznym. Ten przewodnik wyjaśnia konkretne obowiązki i rozwiązania.
Czym jest MOTO i jak różni się od e-commerce
MOTO (Mail Order / Telephone Order) to transakcje, w których dane karty są przekazywane przez telefon lub pocztę. W przeciwieństwie do e-commerce, gdzie klient sam wprowadza dane karty przez internet, w MOTO agent obsługi klienta pośredniczy między klientem a systemem płatności. Ta różnica tworzy specyficzne ryzyko bezpieczeństwa: agent ma dostęp do danych karty klienta, co generuje ryzyko insider threat i problemy z nagrywaniem rozmów.
Zakres PCI DSS dla środowisk MOTO
Środowisko MOTO wchodzi w zakres PCI DSS podobnie jak e-commerce. Komponenty CDE w call center MOTO: systemy telefoniczne (PBX, VoIP) przesyłające głos z danymi karty, systemy nagrywania rozmów (jeśli nagrywają dane karty), stacje robocze agentów, na których wprowadzane są dane karty, sieci łączące te komponenty. Każdy z tych komponentów wymaga kontroli PCI DSS. Przy tradycyjnym modelu, całe środowisko call center może wejść w zakres CDE.
Zakaz nagrywania danych SAD: wymaganie 3.3.2
PCI DSS Wymaganie 3.3.2 zabrania przechowywania wrażliwych danych uwierzytelniających (SAD) po autoryzacji – w tym nagrywania ich w systemach nagrywania rozmów. CVV/CVC, jeśli wypowiedziany przez klienta podczas nagrania, stanowi naruszenie PCI DSS. Eliminacja SAD z nagrań jest obowiązkowa. Rozwiązania: pauza nagrywania podczas podawania danych karty (nieoptymalna: wymaga manualnego działania agenta i tworzy luki w nagraniach), DTMF tokenization: cyfry wpisywane przez klawiaturę są usuwane ze ścieżki audio przed nagraniem.
Implementacja DTMF tokenization z PCI Proxy EU
Implementacja DTMF tokenization wymaga integracji systemu telefonicznego z PCI Proxy EU. Przepływ: klient dzwoni do call center, agent inicjuje proces płatności, system telefoniczny przełącza klienta w tryb DTMF collection, klient wprowadza dane karty przez klawiaturę, PCI Proxy EU przechwytuje i tokenizuje PAN ze strumienia DTMF, wycisza cyfry (aby agent i nagranie nie słyszały danych), przekazuje token do systemu call center, klient jest przywracany do rozmowy z agentem. Cały proces trwa 30-60 sekund i jest przezroczysty dla klienta.
SAQ dla środowisk MOTO: jaki kwestionariusz wybrać
Właściwy SAQ dla środowisk MOTO zależy od wdrożonej technologii: SAQ B: dla imprint-only (karty fizyczne) lub standalone terminal MOTO – nie dla wirtualnych terminali połączonych z internetem. SAQ B-IP: dla sprzedawców MOTO używających urządzeń PCI-PTS połączonych z siecią IP. SAQ C-VT: dla sprzedawców MOTO używających wirtualnych terminali przez przeglądarkę na dedykowanym komputerze. SAQ D: dla środowisk z bezpośrednim przetwarzaniem PAN przez systemy call center. DTMF tokenization z PCI Proxy EU może pozwolić na kwalifikację do niższego SAQ.
Wdróż DTMF tokenization dla Twojego call center
PCI Proxy EU integruje się z Twoją infrastrukturą telefoniczną i eliminuje dane kart z call center. Skontaktuj się z nami.
Porozmawiaj z ekspertem