Guía
SAQ C-VT de PCI DSS para comercios con terminal virtual
El SAQ C-VT de PCI DSS cubre a comercios que capturan pagos con tarjeta en una terminal virtual web. El formulario es corto, pero las reglas del equipo de captura son estrictas.
- Preparamos, un QSA evalúa
- Rangos de precio publicados
- Estimación por escrito, todo por correo
Quién encaja en el SAQ C-VT de PCI DSS
La configuración debe coincidir de cerca. Aun así, muchos comercios con pedidos por teléfono califican.
- Pagos capturados uno a uno en una terminal virtual
- La terminal virtual la aloja un proveedor validado en PCI DSS
- El equipo no está conectado a otros sistemas de su entorno
- Sin almacenamiento electrónico de datos de tarjetas
Reglas del equipo en el SAQ C-VT de PCI DSS
El riesgo es la computadora donde se captura. Debe ser exclusiva, estar actualizada y protegida, y no tener nada más.
| Control | Por qué importa |
|---|---|
| Equipo exclusivo | Menos aplicaciones, menos puertas de entrada. |
| Parches y antimalware | Un keylogger capturaría cada número de tarjeta. |
| Sin datos de tarjetas guardados | Ni archivos, ni notas, ni capturas de números. |
Revisión de preparación para el SAQ C-VT
Marque lo que es cierto en cada equipo de captura.
Su resultado aparece aquí a medida que marca las casillas, para que vea lo que sigue pendiente.
Dónde falla el SAQ C-VT de PCI DSS
El personal anota números de tarjeta en papel o en hojas de cálculo antes de capturarlos, por ejemplo en un archivo compartido de pendientes. Además, la misma computadora se usa para correo y navegación.
Manejo del papel
El papel también es dato de tarjeta. Guarde con seguridad cualquier número escrito, consérvelo solo lo necesario y destrúyalo de forma segura después.
Dónde ayudamos
Confirmamos la elegibilidad, revisamos el equipo de captura y completamos el formulario con usted. El apoyo para completar el SAQ cuesta $500–$20,000. No somos un QSA. Los formularios están en la biblioteca de documentos del PCI SSC.
Capacite además al personal en la rutina de captura: los números se escuchan y se teclean directo, sin notas. Así el equipo sigue siendo el único lugar donde aparecen datos de tarjetas. Revise la rutina cada año, porque el personal nuevo suele traer viejos hábitos.
Preguntas sobre el SAQ C-VT de PCI DSS
¿Podemos usar el SAQ C-VT de PCI DSS con un lector de tarjetas conectado?
Los lectores suelen cambiar el formulario. Revise primero los criterios de elegibilidad.
¿El SAQ C-VT de PCI DSS sirve para pedidos por teléfono?
A menudo sí, si el personal captura cada pago en una terminal virtual alojada.
¿El personal puede usar el equipo del SAQ C-VT de PCI DSS para correo?
Es más seguro no hacerlo, porque el correo trae riesgo de malware al equipo de captura.
¿Quién firma la atestación?
Una persona con cargo directivo en su empresa.
Guías relacionadas
Confirme si el SAQ C-VT le corresponde
Describa cómo cobra su personal. Le enviamos una estimación por escrito, normalmente en un día hábil.
Quiero mi estimación por escrito