 |
8. ธุรกิจ SME ที่มีธุรกรรมบัตรเครดิตไม่มากนัก จำเป็นต้องปฏิบัติให้สอดคล้องตาม PCI DSS? |
 |
ผู้จำหน่ายสินค้า/บริการทุกราย ไม่ว่าจะมีขนาดเล็กหรือใหญ่ แต่หากมีการจัดเก็บ ประมวลผล หรือส่งต่อข้อมูลของผู้ถือบัตร ก็จะต้องปฏิบัติให้สอดคล้องตามข้อกำหนดของ PCI DSS
|
|
9. ธุรกิจที่รับชำระด้วยบัตรเครดิตผ่านทางโทรศัพท์เท่านั้น จำเป็นต้องปฏิบัติให้สอดคล้องตาม PCI DSS หรือไม่? |
|
จำเป็น เพราะทุกธุรกิจที่เก็บข้อมูล ประมวลผล หรือส่งต่อข้อมูลของผู้ถือบัตรอิเล็กทรอนิกส์ จะต้องปฏิบัติให้สอดคล้องตาม PCI DSS
|
|
10. องค์กรที่ให้หน่วยงานภายนอกเป็นผู้ประมวลผลข้อมูลให้ จำเป็นต้องปฏิบัติให้สอดคล้องตาม PCI DSS หรือไม่? |
|
การให้หน่วยงานภายนอกประมวลผลข้อมูลของผู้ถือบัตรเครดิตให้นั้น มิได้เป็นเหตุยกเว้นให้องค์กรนั้นไม่ปฏิบัติตามมาตรฐาน PCI DSS เป็นแต่เพียงการลดทอนความเสี่ยงที่อาจเกิดขึ้นเท่านั้น อย่างไรก็ตามหากองค์กรดังกล่าวมีการเก็บข้อมูล หรือส่งต่อข้อมูลของผู้ถือบัตรอิเล็กทรอนิกส์ ก็จะต้องปฏิบัติให้สอดคล้องตาม PCI DSS เช่นกัน
|
|
11. ธุรกรรมของบัตรเดบิต เข้าข่ายต้องปฏิบัติให้สอดคล้องตาม PCI DSS หรือไม่? |
|
มาตรฐาน PCI DSS ครอบคลุมบัตรอิเล็กทรอนิกส์ ทั้งที่เป็นบัตรเครดิต บัตรเดบิต และบัตรเติมเงิน ของค่ายบัตรเครดิต 5 ค่ายหลักที่เข้าร่วมใน PCI SSC ได้แก่ Visa, MasterCard, American Express, Discover และ JCB ดังนั้น ธุรกรรมของบัตรเดบิต จึงเข้าข่ายต้องปฏิบัติให้สอดคล้องตาม PCI DSS
|
|
12. หากไม่ปฏิบัติให้สอดคล้องตาม PCI DSS จะมีโทษปรับหรือไม่ อย่างไร? |
|
กรณีมีการฝ่าฝืน ไม่ปฏิบัติให้สอดคล้องตาม PCI DSS ค่ายบัตรเครดิตอาจพิจารณาโทษปรับกับสถาบันผู้ออกบัตรเป็นมูลค่าสูงถึงเดือนละ US$ 5,000 – 10,000 โดยสถาบันผู้ออกบัตรมักจะเรียกปรับต่อจากผู้ค้า และอาจระงับการใช้ธุรกรรมหรือปรับเพิ่มค่าธรรมเนียมก็ได้ การปรับดังกล่าวมิได้เปิดเผยในวงกว้าง แต่ก็อาจสร้างความเสียหายให้กับธุรกิจขนาดเล็กได้ จึงควรศึกษาข้อสัญญาให้ถี่ถ้วน เพื่อให้ทราบถึงความเสี่ยงที่อาจเกิดขึ้น
|
|
13. “ข้อมูลของผู้ถือบัตร” หมายถึงอะไร? |
|
ข้อมูลของผู้ถือบัตร หมายถึง ข้อมูลส่วนตัวที่ใช้บ่งชี้ และเชื่อมโยงถึงตัวผู้ถือบัตร เช่น เลขที่บัญชี ชื่อ ที่อยู่ วันหมดอายุของบัตร เลขประจำตัวประชาชน เป็นต้น ข้อมูลส่วนตัวดังกล่าวที่ถูกจัดเก็บ ประมวลผล หรือส่งต่อนั้น ถือเป็นข้อมูลของผู้ถือบัตรทั้งสิ้น
|
|
14. “ผู้ค้า (Merchant)” หมายถึงใคร? |
|
ในแง่ของ PCI DSS นั้น ผู้ค้า (merchant) หมายถึง องค์กรใดก็ตามที่รับชำระค่าสินค้า และ/หรือ บริการ ด้วยบัตรอิเล็กทรอนิกส์ซึ่งมีโลโก้ของ 1 ใน 5 สมาชิกของ PCI SSC (Visa, MasterCard, American Express, Discover และ JCB) และอาจอยู่ในสถานะผู้ให้บริการ (Service Provider) ก็ได้ หากบริการที่นำเสนอเกี่ยวข้องกับการเก็บข้อมูล ประมวลผล หรือการส่งต่อข้อมูลของผู้ถือบัตร โดยกระทำการแทนผู้ค้า หรือผู้ให้บริการรายอื่น ยกตัวอย่างเช่น ISP เป็น “ผู้ค้า” ที่รับชำระค่าบริการรายเดือนด้วยบัตรอิเล็กทรอนิกส์ แต่ก็ถือเป็นผู้ให้บริการด้วยเช่นกัน หาก ISP รายนั้นให้บริการโฮสติ้ง โดยมี “ผู้ค้า” เป็นลูกค้า
|
|
15. “ผู้ให้บริการ (Service Provider) หมายถึงใคร? |
|
“ผู้ให้บริการ” ตามที่ระบุไว้ใน PCI Guidelines คือ องค์กรที่ทำหน้าที่จัดเก็บ ประมวลผล หรือส่งต่อข้อมูลของผู้ถือบัตร โดยกระทำการแทนอีกองค์กรหนึ่ง
|
|
16. โปรแกรมการชำระเงิน (Payment Application) ประกอบด้วยอะไรบ้าง? |
|
ในมุมของ PCI นั้น “โปรแกรมการชำระเงิน” มีความหมายกว้างมาก ครอบคลุมทุกสิ่งที่จัดเก็บ ประมวลผลหรือส่งต่อข้อมูล
บัตรด้วยวิธีทางอิเล็กทรอนิกส์ นับตั้งแต่ ระบบ POS (Point of Sale System) ในร้านอาหาร ไปจนถึงระบบชำระเงินในเว็บไซต์
ขายสินค้า ดังนั้น ซอฟต์แวร์ทุกรูปแบบที่ถูกออกแบบให้สามารถเข้าถึงข้อมูลบัตรเครดิตได้ จึงจัดเป็น “โปรแกรมการชำระเงิน” ทั้งสิ้น
|
|
17. Payment Gateway คืออะไร? |
|
Payment Gateway เป็นตัวเชื่อมระหว่างผู้ค้า กับธนาคารหรือองค์กรที่ประมวลผลข้อมูลซึ่งเป็นหน้าด่านในการเชื่อมต่อไปยังค่าย
บัตรเครดิต โดย Payment Gateway ถือเป็นช่องทางในการรับข้อมูลจากโปรแกรมการชำระเงินหลากหลายรูปแบบเพื่อส่งต่อให้กับธนาคาร
หรือองค์กรที่ประมวลผลข้อมูล
|
|
18. ในการปฏิบัติให้สอดคล้องตาม PCI DSS นั้น จำเป็นต้องสแกนเครือข่ายเพื่อหาช่องโหว่ หรือไม่? |
|
หากองค์กรใดมีการจัดเก็บข้อมูลของผู้ถือบัตรด้วยวิธีทางอิเล็กทรอนิกส์ หรือระบบประมวลผลข้อมูลมีการเชื่อมต่อกับอินเทอร์เน็ต ก็จำเป็นต้องสแกนเครือข่ายเพื่อหาช่องโหว่ (Vulnerability Scanning) ทุก 3 เดือน โดย ASV ที่ได้รับการรับรองจาก PCI SSC
|
|
19. การสแกนเครือข่ายคืออะไร? |
|
การสแกนเครือข่ายนั้น ทำได้โดยการใช้เครื่องมือ (Tool) เพื่อตรวจสอบหาช่องโหว่ในระบบของผู้ค้าหรือผู้ให้บริการซึ่งเครื่องมือดังกล่าว
จะทำการสแกนเครือข่ายจากภายนอก เพื่อตรวจสอบเครือข่ายและเว็บแอพพลิเคชั่นโดยยึดตามไอพีแอดเดรสที่เชื่อมต่อกับอินเทอร์เน็ต
ของผู้ค้าหรือผู้ให้บริการ ผลของการสแกนจะแสดงให้เห็นถึงช่องโหว่ในระบบปฏิบัติการ (OS), เซอร์วิส และอุปกรณ์ต่างๆที่แฮกเกอร์อาจใช้
เป็นเป้าโจมตีเครือข่ายส่วนตัวขององค์กรได้ โดยเครื่องมือที่ ASV เช่น Qualys และ Rapid7 นำมาใช้นั้นผู้ค้าหรือผู้ให้บริการไม่จำเป็น
ต้องติดตั้งซอฟต์แวร์ลงบนระบบของตนแต่อย่างใด
ทั้งนี้ โดยปกติแล้วการสแกนเครือข่ายรายไตรมาสให้สอดคล้องตามมาตรฐาน PCI นั้นจำเป็นสำหรับผู้ค้าที่มีไอพีแอดเดรสที่เชื่อมต่อ
กับอินเทอร์เน็ตเท่านั้น ซึ่งมักจะเป็นผู้ค้าที่ทำ SAQ ฉบับ C หรือ D
|
|
20. ต้องสแกนเครือข่ายบ่อยแค่ไหน? |
|
ผู้ค้า/ผู้ให้บริการที่เข้าข่ายต้องสแกนเครือข่ายจะต้องทำการสแกนเครือข่ายทุกๆ 90 วัน หรือไตรมาสละครั้ง โดยจัดส่งผลการสแกนที่ผ่านเกณฑ์มาตรฐาน ตามตารางเวลาที่กำหนดโดยสถาบันผู้ออกบัตร ซึ่งการสแกนดังกล่าวต้องดำเนินการโดย ASV ที่ได้รับการรับรองจาก PCI SSC
|
|
21. ทำอย่างไรหากผู้ค้าไม่ให้ความร่วมมือ? |
|
PCI ไม่ใช่กฎหมาย หากแต่เป็นมาตรฐานที่กำหนดขึ้นโดยค่ายบัตรเครดิต 5 ค่ายหลัก คือ Visa, MasterCard, Discover, AMEX และ JCB อย่างไรก็ดี หากผู้ค้าไม่ให้ความร่วมมือในการปฏิบัติให้สอดคล้องตาม PCI DSS ทางสถาบันผู้ออกบัตร/ผู้ให้บริการ สามารถพิจารณาโทษปรับได้ และอาจเกิดความเสียหายอื่นๆ ตามมา เช่น เสียภาพลักษณ์, เสียค่าใช้จ่ายในการสืบหาตัวผู้กระทำผิด เป็นต้น ด้วยเหตุนี้การลงทุนลงแรง
เพียงเล็กน้อยให้สอดคล้องตาม PCI DSS ย่อมช่วยลดความเสี่ยงและความเสียหายที่อาจเกิดขึ้นตามมาได้อย่างมากมายมหาศาล
|
