PCI DSS საქართველოს სასტუმროებისთვის: დაჯავშნა, წინასწარი გადახდა და ბარათის მონაცემებთან მუშაობა
სტუმარი ნომერს ვებსაიტზე ჯავშნის, ადმინისტრატორი წინასწარი გადახდის ბმულს უგზავნის, კორპორაციული დამკვეთი კი ტელეფონით გადახდის მიღებას ითხოვს. სასტუმროსთვის ეს ჩვეულებრივი ოპერაციებია, თუმცა თითოეულ შემთხვევაში ბარათის მონაცემები განსხვავებულ გზას გადის. კომპანია BALTUM BUREAU-ში გირჩევთ, PCI DSS-ისთვის მზადება გადახდის პროცესების სქემით დაიწყოთ: სად ჩნდება რეკვიზიტები, ვინ ხედავს მათ და სად გადაიცემა ისინი.
PCI DSS: საქართველოს სასტუმროები და პასუხისმგებლობის ფარგლები
PCI DSS საგადახდო ბარათების მონაცემთა უსაფრთხოების სტანდარტია. სასტუმროსთვის მისი გამოყენებადობა დამოკიდებულია იმაზე, ინახავს, ამუშავებს თუ გადასცემს ის ასეთ მონაცემებს, ასევე შეუძლია თუ არა გავლენა მოახდინოს გადახდის გარემოს უსაფრთხოებაზე.
სასტუმროს PCI DSS სტანდარტთან შესაბამისობაში მოყვანას ხშირად შეცდომით მხოლოდ მისაღებში განთავსებული POS-ტერმინალების დაცვამდე ამცირებენ. პრაქტიკაში შეფასების სფერო (Scope) მოიცავს ბარათის მონაცემებთან ურთიერთქმედების ყველა არხს: ვებსაიტს, ონლაინდაჯავშნის მოდულს, სასტუმროს მართვის სისტემას (PMS), პერსონალის სამუშაო სადგურებსა და გარე ინტეგრაციებს (GDS/OTA არხებსა და გადახდის შლუზებს). შესაბამისობის დადასტურების კონკრეტული ფორმატი (SAQ ან QSA-ის მიერ გარე შეფასება) აუცილებლად უნდა შეთანხმდეს ექვაირინგის მომსახურე ბანკთან, ტრანზაქციების ჯამური მოცულობისა და გადახდების მიღების გამოყენებული მეთოდების გათვალისწინებით.
PCI DSS: საქართველოს სასტუმროები და პასუხისმგებლობის ფარგლები
PCI DSS საგადახდო ბარათების მონაცემთა უსაფრთხოების სტანდარტია. სასტუმროსთვის მისი გამოყენებადობა დამოკიდებულია იმაზე, ინახავს, ამუშავებს თუ გადასცემს ის ასეთ მონაცემებს, ასევე შეუძლია თუ არა გავლენა მოახდინოს გადახდის გარემოს უსაფრთხოებაზე.
სასტუმროს PCI DSS სტანდარტთან შესაბამისობაში მოყვანას ხშირად შეცდომით მხოლოდ მისაღებში განთავსებული POS-ტერმინალების დაცვამდე ამცირებენ. პრაქტიკაში შეფასების სფერო (Scope) მოიცავს ბარათის მონაცემებთან ურთიერთქმედების ყველა არხს: ვებსაიტს, ონლაინდაჯავშნის მოდულს, სასტუმროს მართვის სისტემას (PMS), პერსონალის სამუშაო სადგურებსა და გარე ინტეგრაციებს (GDS/OTA არხებსა და გადახდის შლუზებს). შესაბამისობის დადასტურების კონკრეტული ფორმატი (SAQ ან QSA-ის მიერ გარე შეფასება) აუცილებლად უნდა შეთანხმდეს ექვაირინგის მომსახურე ბანკთან, ტრანზაქციების ჯამური მოცულობისა და გადახდების მიღების გამოყენებული მეთოდების გათვალისწინებით.
ვებსაიტი, დაჯავშნა და ბმულით გადახდა
დაჯავშნისას ბარათის მონაცემთა უსაფრთხოება გადახდის პროცესის მოწყობაზეა დამოკიდებული. თუ სტუმარი რეკვიზიტებს უშუალოდ პროვაიდერის დაცულ გვერდზე შეიყვანს, ამან შეიძლება PCI DSS-ის შეფასების სფერო შეამციროს. თუ მონაცემები სასტუმროს სერვერის გავლით გადის, მოთხოვნების მოცულობა იცვლება.
შეამოწმეთ, ხომ არ ხვდება რეკვიზიტები ვებსაიტის ჟურნალებში, ანალიტიკაში, შეტყობინებებსა თუ განაცხადებში. აკონტროლეთ ვებსაიტის მართვაზე წვდომა და გადახდის ბმულების ცვლილებები: გადახდის მისამართის ჩანაცვლებამ სტუმარი შესაძლოა თაღლითებთან გადაამისამართოს.
ბმულით გადახდა ადმინისტრატორისთვის ბარათის ნომრის კარნახის თავიდან აცილებაში გეხმარებათ. თანამშრომელმა ბმული შეთანხმებულ სერვისში უნდა შექმნას, თანხა და მიმღები გადაამოწმოს, ხოლო გადახდის სტატუსი პროვაიდერის პირად კაბინეტში დაადასტუროს და არა სტუმრის მიერ გამოგზავნილი ეკრანის სურათით.
PMS: რა ინახება ჯავშნის ჩანაწერში
PCI DSS-ის შეფასებისას სასტუმროს სისტემა მასთან დაკავშირებულ სერვისებთან ერთად განიხილება. გაარკვიეთ, იღებს თუ არა PMS ბარათის სრულ ნომერს, თუ მხოლოდ ტოკენს — მის ჩამნაცვლებელ იდენტიფიკატორს; სად ინახება საწყისი მონაცემები და ვის შეუძლია მათი ნახვა.
განსაკუთრებული ყურადღება თავისუფალი ტექსტის ველებს სჭირდება. შენიშვნამ „ბარათი განთავსების გარანტიისთვის“ სტუმრის ჩვეულებრივი ჩანაწერი შეიძლება რეკვიზიტების საცავად აქციოს. შეზღუდეთ თანამშრომელთა წვდომა, გამოიყენეთ ინდივიდუალური მომხმარებლის ანგარიშები და აღრიცხეთ საგადახდო ინფორმაციასთან დაკავშირებული მოქმედებები.
წინასწარი გადახდის, ჯავშნის გარანტიისა და შემდგომი ჩამოჭრებისთვის მექანიზმი გადახდის პროვაიდერთან შეათანხმეთ. ავტორიზაციის შემდეგ CVV/CVC-ის შენახვა დაუშვებელია, თუნდაც დაშიფრული სახით ან სტუმრის ნებართვით.
ტელეფონი, ელფოსტა და მესენჯერები
ტელეფონით დაჯავშნისას სტუმარს შესთავაზეთ, ბმულის მეშვეობით თავად გადაიხადოს. თუ ადმინისტრატორი რეკვიზიტებს ზეპირად იღებს და გადახდის ინტერფეისში შეჰყავს, აუცილებელია სამუშაო ადგილის, სატელეფონო სისტემისა და საუბრების ჩანაწერების დაცვის შეფასება. ჩანაწერში ავტორიზაციის შემდეგ CVV/CVC არ უნდა ინახებოდეს.
ნუ სთხოვთ სტუმრებს ბარათების ფოტოების ჩვეულებრივი მიმოწერით გამოგზავნას. ასეთი შეტყობინებები შეიძლება პირად მოწყობილობებზე დაკოპირდეს, კოლეგებს გადაეგზავნოს და სარეზერვო ასლებში მოხვდეს. რეკვიზიტებისთვის ელფოსტის ან ჩატის გამოყენება სათანადო დაცვას მოითხოვს და დაკავშირებულ სისტემებს PCI DSS-ის შეფასების სფეროში აქცევს.
თითოეული ცვლისთვის მკაფიო წესები განსაზღვრეთ:
რა ვალდებულებები რჩება სასტუმროს გადახდების პროვაიდერისთვის გადაცემის შემდეგ
აუთსორსინგი ყველა ვალდებულებას არ აუქმებს. სასტუმრომ უნდა გადაამოწმოს გამოყენებულ მომსახურებაზე მიმწოდებლის შესაბამისობის დამადასტურებელი დოკუმენტი, გაანაწილოს პასუხისმგებლობა და აკონტროლოს მისი სტატუსი. ინფორმაციის დაცვის საერთო პროცესებს ავსებს ISO 27001 საერთაშორისო კლიენტებთან მუშაობისთვის.
მიმართეთ კომპანია BALTUM BUREAU-ს საქართველოში სასტუმროს გადახდის პროცესების ანალიზისთვის: განვიხილავთ დაჯავშნას, PMS-ს, წინასწარ გადახდასა და სატელეფონო ოპერაციებს, განვსაზღვრავთ PCI DSS-ის ფარგლებსა და დაცვის პრიორიტეტულ ზომებს.
დაჯავშნისას ბარათის მონაცემთა უსაფრთხოება გადახდის პროცესის მოწყობაზეა დამოკიდებული. თუ სტუმარი რეკვიზიტებს უშუალოდ პროვაიდერის დაცულ გვერდზე შეიყვანს, ამან შეიძლება PCI DSS-ის შეფასების სფერო შეამციროს. თუ მონაცემები სასტუმროს სერვერის გავლით გადის, მოთხოვნების მოცულობა იცვლება.
შეამოწმეთ, ხომ არ ხვდება რეკვიზიტები ვებსაიტის ჟურნალებში, ანალიტიკაში, შეტყობინებებსა თუ განაცხადებში. აკონტროლეთ ვებსაიტის მართვაზე წვდომა და გადახდის ბმულების ცვლილებები: გადახდის მისამართის ჩანაცვლებამ სტუმარი შესაძლოა თაღლითებთან გადაამისამართოს.
ბმულით გადახდა ადმინისტრატორისთვის ბარათის ნომრის კარნახის თავიდან აცილებაში გეხმარებათ. თანამშრომელმა ბმული შეთანხმებულ სერვისში უნდა შექმნას, თანხა და მიმღები გადაამოწმოს, ხოლო გადახდის სტატუსი პროვაიდერის პირად კაბინეტში დაადასტუროს და არა სტუმრის მიერ გამოგზავნილი ეკრანის სურათით.
PMS: რა ინახება ჯავშნის ჩანაწერში
PCI DSS-ის შეფასებისას სასტუმროს სისტემა მასთან დაკავშირებულ სერვისებთან ერთად განიხილება. გაარკვიეთ, იღებს თუ არა PMS ბარათის სრულ ნომერს, თუ მხოლოდ ტოკენს — მის ჩამნაცვლებელ იდენტიფიკატორს; სად ინახება საწყისი მონაცემები და ვის შეუძლია მათი ნახვა.
განსაკუთრებული ყურადღება თავისუფალი ტექსტის ველებს სჭირდება. შენიშვნამ „ბარათი განთავსების გარანტიისთვის“ სტუმრის ჩვეულებრივი ჩანაწერი შეიძლება რეკვიზიტების საცავად აქციოს. შეზღუდეთ თანამშრომელთა წვდომა, გამოიყენეთ ინდივიდუალური მომხმარებლის ანგარიშები და აღრიცხეთ საგადახდო ინფორმაციასთან დაკავშირებული მოქმედებები.
წინასწარი გადახდის, ჯავშნის გარანტიისა და შემდგომი ჩამოჭრებისთვის მექანიზმი გადახდის პროვაიდერთან შეათანხმეთ. ავტორიზაციის შემდეგ CVV/CVC-ის შენახვა დაუშვებელია, თუნდაც დაშიფრული სახით ან სტუმრის ნებართვით.
ტელეფონი, ელფოსტა და მესენჯერები
ტელეფონით დაჯავშნისას სტუმარს შესთავაზეთ, ბმულის მეშვეობით თავად გადაიხადოს. თუ ადმინისტრატორი რეკვიზიტებს ზეპირად იღებს და გადახდის ინტერფეისში შეჰყავს, აუცილებელია სამუშაო ადგილის, სატელეფონო სისტემისა და საუბრების ჩანაწერების დაცვის შეფასება. ჩანაწერში ავტორიზაციის შემდეგ CVV/CVC არ უნდა ინახებოდეს.
ნუ სთხოვთ სტუმრებს ბარათების ფოტოების ჩვეულებრივი მიმოწერით გამოგზავნას. ასეთი შეტყობინებები შეიძლება პირად მოწყობილობებზე დაკოპირდეს, კოლეგებს გადაეგზავნოს და სარეზერვო ასლებში მოხვდეს. რეკვიზიტებისთვის ელფოსტის ან ჩატის გამოყენება სათანადო დაცვას მოითხოვს და დაკავშირებულ სისტემებს PCI DSS-ის შეფასების სფეროში აქცევს.
თითოეული ცვლისთვის მკაფიო წესები განსაზღვრეთ:
- სტუმარს გაუგზავნეთ შეთანხმებული გადახდის ბმული;
- არ გადაიტანოთ რეკვიზიტები ცხრილებსა და PMS-ის შენიშვნებში;
- მონაცემების მოულოდნელად მიღებისას აცნობეთ პასუხისმგებელ პირს;
- ასეთი შეტყობინებები დადგენილი პროცედურით დაამუშავეთ და მათი შემდგომი გავრცელება გამორიცხეთ.
რა ვალდებულებები რჩება სასტუმროს გადახდების პროვაიდერისთვის გადაცემის შემდეგ
აუთსორსინგი ყველა ვალდებულებას არ აუქმებს. სასტუმრომ უნდა გადაამოწმოს გამოყენებულ მომსახურებაზე მიმწოდებლის შესაბამისობის დამადასტურებელი დოკუმენტი, გაანაწილოს პასუხისმგებლობა და აკონტროლოს მისი სტატუსი. ინფორმაციის დაცვის საერთო პროცესებს ავსებს ISO 27001 საერთაშორისო კლიენტებთან მუშაობისთვის.
მიმართეთ კომპანია BALTUM BUREAU-ს საქართველოში სასტუმროს გადახდის პროცესების ანალიზისთვის: განვიხილავთ დაჯავშნას, PMS-ს, წინასწარ გადახდასა და სატელეფონო ოპერაციებს, განვსაზღვრავთ PCI DSS-ის ფარგლებსა და დაცვის პრიორიტეტულ ზომებს.
