paypal - デスクトップアプリはPCI認定の対象になりますか？

Question

デスクトップ上で排他的に実行される支払い処理クライアントがあります。オペレーターが支払いデータを入力してボタンをクリックすると、私のアプリは安全なチャネルを介してデータを支払いゲートウェイに送信します。私のアプリは、販売者のゲートウェイログイン情報を暗号化して保存しますが、機密性の高い支払いデータを保存することはありません。

私は範囲内ですか？私がそうだとしたら、まったく同じ機能を同じように実行するのに、なぜWebブラウザが範囲外になるのでしょうか。

Answer 1

オペレーターがクレジットカード番号を入力した場合は、はい。ソフトウェアはカード会員データを受け入れて送信するため、ソフトウェア、それを実行しているマシン、およびそれに接続されているネットワークはすべてPCIの範囲内であるため、準拠している必要があります。

Q：PCIは誰に適用されますか？
A： PCIは、トランザクションのサイズや数に関係なく、カード会員データを受け入れ、 送信、または保存するすべての組織または加盟店に適用されます。別の言い方をすれば、その組織の顧客がクレジットカードまたはデビットカードを使用して販売者に直接支払う場合、PCIDSS要件が適用されます

ブラウザを使用してカードの詳細を入力する人がカードの所有者であり、サードパーティの販売者ではない場合にのみ、ブラウザは対象外になります。PCIは、発行カードスキームの顧客ではなく、加盟店およびその他の処理エンティティにのみ適用されます。

Answer 2

アプリはカード番号を処理し、カード取引の承認や決済に関与します。既製のソフトウェアとして提供している場合は、PA-DSSの対象となります。

アプリをインストールしてその環境で実行する組織は、PCI-DSSの対象になります。