Το κόστος συμμόρφωσης μιας επιχείρησης με το PCI DSS δεν είναι μια απάντηση που μπορεί να δοθεί μονολεκτικά καθότι εξαρτάται από πολλές παραμέτρους που θα αναλύσουμε στη συνέχεια. Μια μεγάλη μερίδα επιχειρήσεων καθοδηγείται από κόσμο κυρίως του χώρου της πληροφορικής, σε εσφαλμένη εικόνα για το τι είναι η πιστοποίηση PCI DSS, άρα και σε λάθος εικόνα για το κόστος. Έτσι πολλοί πιστεύουν ότι η εκτέλεση και μόνο των ASV Scans και η συμπλήρωση του SAQ, σημαίνει την αυτόματη συμμόρφωση της επιχείρησης με το πρότυπο.
Η συμμόρφωση με το πρότυπο PCI DSS απαιτεί την πλήρη συμμόρφωση με το σύνολο των προδιαγραφών που απορρέουν από το SAQ που καλείται να καλύψει η επιχείρηση.
Άμεσα κόστη PCI DSS
- Level πιστοποίησης: με ακριβότερο το Level 1 το οποίο απαιτεί εκτός των άλλων onsite audit απο QSA.
- Τύπος πιστοποίησης: με την ακριβότερη εκδοχή να είναι η type D που απαιτεί περίπου 330 PCI Controls και μεγάλο effort από την επιχείρηση αλλά και τον auditor για την ολοκλήρωσή της.
- Μέγεθος υποδομής Το μέγεθος της εντός scope υποδομής επηρεάζει το κόστος λόγω της αύξησης της πολυπλοκότητας του περιβαλλοντος.
- Public IPs Ο αριθμός τον public facing συστημάτων επηρεάζει το κόστος των ASV Scans.
- Τοποθεσίες Ο αριθμός των τοποθεσιών που πραγματοποιεί συναλλαγές πιστωτικών καρτών.
Έμμεσα κόστη PCI DSS
- Πολιτική ασφαλείας: Το πρότυπο απαιτεί ρητά ύπαρξη πλήρους πολιτικής ασφαλείας η οποία πρέπει να εφαρμόζεται και να υπάρχει πλήρες ιστορικό. Αυτό σημαίνει οτι πρέπει η επιχείρηση είτε να την συντάξει μόνη της (εσωτερικό κόστος) είτε να την αναθέσει σε εξειδικευμένη εταιρία για την εκπόνησή της.
- Risk Assessment: Αντίστοιχα απαιτείται ετήσιο Risk Assessment, το οποίο αντίστοιχα η επιχείρηση είτε πρέπει να το υλοποιήσει εσωτερικά ή να το αναθέσει σε εξωτερικό συνεργάτη
- Penetretion test: Σε καποιους τύπους πιστοποίησης απαιτείται penetration testing,
- Hosting enviroment: Ένα επίσης κομμάτι που μπορεί να δημιουργήσει νέα κόστη είναι το κομμάτι της φιλοξενίας των ηλεκτρονικών καταστημάτων και γενικά των online επιχειρήσεων. Η συμμόρφωση με το πρότυπο PCI DSS όπως είπαμε απαιτεί την εναρμόνιση με το σύνολο των προδιαγραφών τις οποίες μη πιστοποιημένα με PCI DSS Datacenters ή PCI Compliant hosting providers δεν μπορούν να καλύψουν. Αυτό συνεπάγεται την ανάγκη μεταφοράς των υπηρεσιών σε πιο αξιόπιστους - πιστοποιημένους παρόχους αλλά ταυτόχρονα και ακριβότερους.
Cost optimization & Propper sizing
Πώς μπορώ να μειώσω το κόστος και τον χρόνο της πιστοποίησης PCI DSS;
Μία εξειδικευμένη εταιρία πιστοποιήσεων PCI DSS όπως η Innotech, μπορεί να σας βοηθήσει να μειώσετε τόσο το κόστος της πιστοποίησής σας, όσο και τον χρόνο που θα απαιτηθεί για να ολοκληρώσετε την διαδικασία μέσω εξειδικευμένων υπηρεσιών που έχουν κύριο άξονα το σωστό segmentation του PCI environment.
