PCI DSS-Zertifizierung
Für eine neue Version des Undsoversum Shops werde ich, wenn das hier alles klappt, auch Kreditkartenzahlungen direkt annehmen können, ohne Paypal zwischenzuschalten. Die API stellt Paymill zur Verfügung.
Um in der lustigen Kreditkartenwelt mitzuspielen, muss man PCI DSS compliant sein, also entweder selbst keine Kreditkartendaten speichern oder, falls man das doch tut, sich an die Sicherheitsspielregeln halten. Paymill kümmert sich also darum für mich. Ich muss jetzt nur noch der Security Research & Consulting GmbH mitteilen, dass das wirklich so ist. Dafür muss ich:
Meine Kundennummer meines Acquirers Lufthansa AirPlus Servicekarten GmbH bei der OSSP von SRC Bonn eingeben und einige Fragen beantworten. Die beiden Links bitte mal klicken und sich am Design erfreuen.
Daraus wird mir dann ein 12-seitiges RTF- (ja, RTF, nicht PDF) Formular genieriert. Selbstbeurteilungsfragebogen A und Konformitätsbescheinigung. Ja, das sieht so aus, wie man sich das vorstellt.
Das Formular gilt für: “Alle Karteninhaberdaten-Funktionen wurden ausgegliedert. Keine elektronische Speicherung, Verarbeitung oder Übertragung von Karteninhaberdaten”
Auf den 12 Seiten wird dann abgefragt, ob alle meine Speichermedien, auf denen ich ja keine Kartendaten speichere, auch sicher sind. Gibt es Logfiles, werden die Ausdrucke geshreddert, haben Container ein Schloss? Gibt es eine Informationssicherheitsrichtlinie für mein Personal, damit die nicht vorhandenen Kartendaten sicher sind?
Und das ist nur das Prozedere, wenn ich keine Kreditkartendaten speichere.