PCI là gì? Hướng dẫn tuân thủ bảo mật thẻ cho tiệm nhỏ

Trả lời nhanh: PCI DSS là bộ quy tắc bảo mật của các hãng thẻ, áp dụng cho mọi nơi nhận thẻ. Với tiệm nhỏ dùng máy thanh toán hiện đại, tuân thủ thường gồm ba việc: không bao giờ lưu số thẻ, giữ máy và mạng an toàn, và điền bảng tự đánh giá (SAQ) mỗi năm.

PCI DSS là gì?

PCI DSS (Payment Card Industry Data Security Standard) do hội đồng của các hãng thẻ lớn đặt ra để bảo vệ thông tin thẻ. Nó không phải luật của nhà nước, nhưng hợp đồng với công ty thanh toán bắt buộc tiệm tuân thủ. Nếu để lộ thông tin thẻ, tiệm có thể bị phạt và chịu chi phí điều tra.

Tiệm nhỏ cần làm gì?

Không lưu số thẻ ở bất kỳ đâu: không ghi sổ, không chụp hình, không lưu trong điện thoại hay file Excel.
Dùng máy thanh toán hiện đại: máy hỗ trợ chip và chạm, có mã hóa từ lúc đọc thẻ.
Bảo vệ mạng wifi: tách wifi cho khách khỏi mạng của máy tính tính tiền, đổi mật khẩu mặc định.
Kiểm tra máy định kỳ: xem máy có bị gắn thiết bị lạ không, đặc biệt ở khe quẹt thẻ.
Điền bảng tự đánh giá (SAQ) mỗi năm: công ty thanh toán thường gửi link hoặc có cổng riêng.

Bảng tự đánh giá SAQ là gì?

SAQ là bộ câu hỏi có/không về cách tiệm nhận thẻ. Có nhiều loại SAQ, tùy cách tiệm xử lý thẻ. Tiệm dùng máy thanh toán bán tích hợp hoặc máy mã hóa từ đầu tới cuối thường có bảng ngắn hơn nhiều so với tiệm tự nhập thẻ trên máy tính. Công ty thanh toán sẽ cho biết tiệm thuộc loại nào.

Những sai lầm hay gặp

Giữ số thẻ của khách quen để "trừ sau" hoặc giữ chỗ.
Nhận số thẻ qua tin nhắn hay điện thoại rồi ghi ra giấy.
Dùng chung một mật khẩu cho mọi nhân viên trên máy tính tính tiền.
Bỏ qua email nhắc điền SAQ, rồi bị tính phí không tuân thủ hàng tháng.

Phần mềm POS ảnh hưởng thế nào?

Nếu số thẻ đi qua phần mềm POS, phần mềm đó cũng nằm trong phạm vi PCI. Với mô hình bán tích hợp, số thẻ chỉ ở trong máy và công ty xử lý, nên phần mềm không lưu và không thấy số thẻ.

Kashela không bao giờ nhận, lưu hay ghi lại số thẻ đầy đủ hoặc mã bảo mật. Hoàn tiền và hủy giao dịch cần quyền quản lý, mọi thao tác đều được ghi lại. Đọc thêm thanh toán bán tích hợp là gì.

Bài viết chỉ mang tính tham khảo, không thay cho hướng dẫn chính thức của công ty thanh toán của anh chị.

Câu hỏi thường gặp

Tiệm nhỏ có phải tuân thủ PCI không?

Có. Mọi doanh nghiệp nhận thẻ đều phải tuân thủ PCI DSS, dù lớn hay nhỏ. Với tiệm nhỏ, việc chính thường là điền bảng tự đánh giá mỗi năm.

Phí không tuân thủ PCI là gì?

Là khoản phí công ty thanh toán tính thêm hàng tháng khi tiệm chưa nộp bảng tự đánh giá. Nộp bảng là thường hết phí này.

Có được ghi số thẻ của khách ra giấy để giữ lịch hẹn không?

Không nên. Ghi hoặc lưu số thẻ là rủi ro lớn nhất. Dùng hệ thống đặt cọc qua công ty thanh toán thay vì giữ số thẻ.