বাস্তব পেমেন্ট সীমা আঁকুন
পণ্যের পৃষ্ঠা থেকে কনফার্মেশন পর্যন্ত গ্রাহকের পথ ম্যাপ করুন। কার্ড এন্ট্রি, রিডাইরেক্ট, ফ্রেম, স্ক্রিপ্ট, API, প্লাগইন, ট্যাগ ম্যানেজার, কনটেন্ট ডেলিভারি নেটওয়ার্ক, এবং এমন প্রশাসন অ্যাকাউন্টগুলো চিহ্নিত করুন যা এটিকে প্রভাবিত করতে পারে। সংশ্লিষ্ট লগ, সাপোর্ট টুল, এবং অ্যানালিটিক্স অন্তর্ভুক্ত করুন। এটি আপনার প্রদানকারী বা অ্যাসেসরের জন্য একটি আরম্ভমূলক রেকর্ড — কোনো কমপ্লায়েন্স সিদ্ধান্ত নয়।
প্রতিটি পেমেন্ট-পেজ উপাদান সার্ভ করা ডোমেইন রেকর্ড করুন। PCI SSC বলে SAQ A যোগ্যতার জন্য সব পেমেন্ট-পেজ উপাদান কেবল PCI DSS-অনুগত সার্ভিস প্রোভাইডারদের থেকেই আসতে হবে এবং মারচেন্ট সাইট থেকে কোনটি আসা চলবে না। SAQ A-EP জন্য, প্রতিটি উপাদান মারচেন্ট বা ঐ প্রোভাইডারের মধ্যে থেকে আসতে পারে, কিন্তু অন্য উৎস থেকে আসতে পারবে না। সব অন্য শর্তাবলী এখনও প্রযোজ্য।
একটি রেপোজিটরি ট্যাগ-ম্যানেজার ইনজেকশন এবং প্ল্যাটফর্ম সেটিংস মিস করতে পারে। একটি স্বাভাবিক চেকআউট ব্রাউজার সেশনে স্ক্রিপ্ট, ফ্রেম, ডোমেইন, এবং হেডারগুলো পর্যালোচনা করুন।
পেমেন্ট ফিল্ডের জন্য লগ, অ্যানালিটিক্স, এবং সাপোর্ট ওয়ার্কফ্লো পর্যালোচনা করুন। টেস্ট টিকেট বা ভাগ করা প্রমাণে বাস্তব কার্ড ডেটা ব্যবহার করবেন না।
একটি ব্যাখ্যণযোগ্য পেমেন্ট মডেলের মাধ্যমে এক্সপোজার কমান
যেখানে ব্যবহারযোগ্য, এমন একটি ইন্টিগ্রেশন ব্যবহার করুন যেখানে PCI DSS-অনুগত প্রদানকারী কার্ড ডেটা সংগ্রহ করে, আপনার অ্যাপ্লিকেশন তা গ্রহণ বা সংরক্ষণ করার বদলে। একটি পূর্ণ প্রদানকারী-হোস্টেড রিডাইরেক্ট সাধারণত একটি কাস্টম ফর্মের চেয়ে সহজ, কিন্তু এম্বেডেড ফিল্ড এবং আইফ্রেম আপনার সাইটকে এখনও পেমেন্টে প্রভাবিত করতে দিতে পারে। হোস্টেড লেবেলে নির্ভর না করে বাস্তব ইন্টিগ্রেশনটি ডকুমেন্ট করুন।
প্রাইমারি অ্যাকাউন্ট নম্বর, সিকিউরিটি কোড, চেকআউট-এরর স্ক্রিনশট, বা কপি করা পেমেন্ট বিবরণ শুধুমাত্র অনুমোদিত ডিজাইন না থাকলে সংরক্ষণ করবেন না। এনক্রিপশন ডেটা রক্ষা করতে সাহায্য করে, কিন্তু PCI SSC সতর্ক করে যে শুধুমাত্র এনক্রিপশন সাধারণত একটি পরিবেশকে স্কোপ থেকে সরিয়ে দেয় না। টোকেন, কী, ওয়েবহুক, রিফান্ড, এবং দায়িত্ব হ্যান্ডলিং প্রদানকারী এবং যোগ্য রিভিউয়ারের সঙ্গে নিশ্চিত করুন।
ইন্টিগ্রেশন গাইড, দায়িত্বের তথ্য, প্রাসঙ্গিক কমপ্লায়েন্স ডকুমেন্টেশন, এবং পরিবর্তন-নোটিফিকেশন প্রসেস আর্কিটেকচার রেকর্ডে রাখুন।
বিনা-নামের মালিক এবং তারা কী অ্যাক্সেস করতে পারে তা না দেখে মার্কেটিং পরীক্ষণ, রিপ্লে টুল, চ্যাট উইজেট, বা ঐচ্ছিক লাইব্রেরি যোগ করবেন না।
স্ক্রিপ্ট, ট্যাগ, এবং হেডার নিয়ন্ত্রণ করুন
তৃতীয় পক্ষের ব্রাউজার কোড অনিয়ন্ত্রিত পরিবর্তন, ইচ্ছেমত কোড এক্সিকিউশন, এবং অন্য পক্ষের কাছে তথ্য প্রকাশের ঝুঁকি নিয়ে আসে। প্রতিটি স্ক্রিপ্টের ডোমেইন, উদ্দেশ্য, মালিক, অনুমোদন, এবং লোড অবস্থানসহ একটি চেকআউট ইনভেন্টরি রাখুন। শুধুমাত্র সোর্স-ট্রির ফাইল নয়—ট্যাগ-ম্যানেজার নিয়ম এবং ভেন্ডর-লোডেড কোডও অন্তর্ভুক্ত করুন।
PCI SSC অনুমোদিত স্ক্রিপ্ট, ইন্টিগ্রিটি, ট্যাম্পার মনিটরিং, এবং সিকিউরিটি-ইম্প্যাক্টিং HTTP হেডারগুলোর উপর গুরুত্ব দেয়। একটি বেসলাইন অনুমোদন করুন, পরিবর্তন সীমাবদ্ধ করুন, পার্থক্য সনাক্ত করুন, এবং সেগুলো তদন্ত করুন। একটি কনটেন্ট সিকিউরিটি পলিসি (CSP) রিসোর্স উত্স সীমিত করতে পারে। যেখানে উপযুক্ত, ইজার-কিন্তু-প্রয়োগ (report-only) মোডে সেটি পরীক্ষায় রাখুন আগে বিদ্ধ করে প্রয়োগ করার। CSP প্রতিরক্ষার স্তর — নিরাপদ কোডিং বা পর্যালোচনার প্রতিস্থাপন নয়।
Subresource Integrity একটি পরিবর্তিত বহিরাগত স্ক্রিপ্ট প্রত্যাখ্যান করতে পারে, কিন্তু এটি ক্রস-অরিজিন কনফিগারেশনের সাথে সামঞ্জস্যপূর্ণ হতে হবে এবং ভেন্ডর আপডেটের পরে ভেঙে যেতে পারে।
পাবলিশিং ভূমিকা সীমাবদ্ধ করুন, শক্তিশালী প্রামাণীকরণ প্রয়োজন করুন, কাস্টম-কোড ক্ষমতা পর্যালোচনা করুন, এবং একটি অডিট ট্রেইল রক্ষণ করুন।
অ্যাক্সেস সীমিত করুন এবং চেকআউট পরিবর্তন পুনরুদ্ধার যোগ্য রাখুন
রুটিন কনটেন্ট পাবলিশিংকে চেকআউট কোড, পেমেন্ট-প্রোভাইডার প্রশাসন, হোস্টিং, DNS, এবং ট্যাগ ম্যানেজমেন্ট থেকে আলাদা করুন। নামযুক্ত অ্যাকাউন্ট, ক্ষুদ্রতম সুবিধার নীতি (least privilege), এবং সম্ভাব্য হলে বহু-ফ্যাক্টর প্রমাণীকরণ ব্যবহার করুন। ভূমিকা পরিবর্তনের পরে অ্যাক্সেস পর্যালোচনা করুন এবং প্রাক্তন কর্মী, ভেন্ডর, এবং এজেন্সির অ্যাক্সেস সরিয়ে দিন। নির্দিষ্ট PCI DSS প্রযোজ্যতা পরিবেশের উপর নির্ভর করে, কিন্তু শেয়ার করা এবং স্থায়ী বিশেষাধিকার কমানো ঝুঁকি হ্রাস করে।
চেকআউট-এর জন্য একটি রিলিজ প্রক্রিয়া ব্যবহার করুন: নামযুক্ত মালিক, পর্যালোচনা, সম্ভব হলে টেস্ট, রোলব্যাক পদ্ধতি, এবং পোস্ট-রিলিজ ব্রাউজার চেক। সাফল্য ও ব্যর্থতা পথ, রিডাইরেক্ট, এবং মোবাইল আচরণ পরীক্ষা করুন। Status Is UP প্রোঅ্যাকটিভ লঞ্চ রেডিনেস, পারফরম্যান্স অপ্টিমাইজেশন, এবং রিলিজের সময় রোলব্যাক পরিকল্পনাকে সমর্থন করে; এটি PCI DSS কমপ্লায়েন্স নির্ধারণ করে না।
ক্রেডেনশিয়াল, ব্যাকআপ কোড, এবং রোলব্যাক নির্দেশনা অনুমোদিত অ্যাক্সেস-নিয়ন্ত্রিত সিস্টেমে রাখুন; সেগুলো টিকিট, স্ক্রিনশট, বা পাবলিক রিপোজিটরিতে রাখবেন না।
রিলিজের পরে ব্রাউজার-দৃশ্যমান স্ক্রিপ্ট, ডোমেইন, এবং হেডারগুলো অনুমোদিত ইনভেন্টরির সঙ্গে তুলনা করুন।
স্ট্যাক আপডেট করুন এবং ফলাফল যাচাই করুন
কমার্স প্ল্যাটফর্ম, প্লাগইন, থিম, সার্ভার উপাদান, লাইব্রেরি, পেমেন্ট SDK, ট্যাগ টেমপ্লেট, এবং চেকআউটকে প্রভাবিত করে এমন সার্ভিসগুলোর একটি ইনভেন্টরি বজায় রাখুন। গুরুত্বপূর্ণ ভেন্ডর নোটিসের সদস্যতা নিন। NIST প্যাচ ম্যানেজমেন্টকে শনাক্ত করা, অগ্রাধিকার নির্ধারণ, অর্জন করা, ইনস্টল করা, এবং আপডেট যাচাই করা হিসেবে বর্ণনা করে। পরিবর্তনটি রেকর্ড করুন, পেমেন্ট জার্নি পরীক্ষা করুন, এবং কি ডিপ্লয় করা হয়েছে নিশ্চিত করুন।
উচ্চ-ঝুঁকির ইস্যুর জন্য একটি জরুরি পথ সেট করুন এবং রুটিন পরিবর্তনের জন্য একটি রক্ষণাবেক্ষণ উইন্ডো রাখুন। উন্মুক্ত চেকআউট উপাদানগুলোর অগ্রাধিকার নির্ধারণ করুন, কিন্তু অন্ধভাবে প্রোডাকশনে প্যাচ লাগিয়ে পেমেন্ট ভাঙবেন না। পরীক্ষিত রোলব্যাক পদ্ধতি এবং প্রদানকারী রিলিজ নির্দেশিকা ব্যবহার করুন। একটি অজানা মালিকসম্পন্ন পুরনো উপাদান সমাধানযোগ্য ঝুঁকি।
অ্যাডভাইজরি, রিস্ক সিদ্ধান্ত, টেস্ট ফলাফল, ডেপলয়মেন্ট রেকর্ড, এবং চূড়ান্ত যাচাইকরণ একসাথে রাখুন।
প্রমাণ রাখুন এবং যোগ্য সাহায্য ব্যবহার করুন
চার্ট, প্রোভাইডার দায়িত্ব তথ্য, SAQ যোগ্যতার যুক্তি, স্ক্রিপ্ট এবং হেডার ইনভেন্টরি, অ্যাক্সেস পর্যালোচনা, অনুমোদন, টেস্ট ফলাফল, পরিবর্তন, এবং ভেন্ডর যোগাযোগ নিয়ন্ত্রিত স্থানে রাখুন। আর্কিটেকচার, মালিকানা, স্ক্রিপ্ট, বা প্রোভাইডারে পরিবর্তন হলে সেগুলো রিফ্রেশ করুন। প্রমাণ একটি অনুমোদিত রিভিউয়ারের জন্য সাহায্য করা উচিত — কার্ড ডেটা, সিক্রেট, বা গ্রাহক রেকর্ড এক্সপোজ না করে।
আপনার অ্যাকোয়ারার বা পেমেন্ট ব্র্যান্ড প্রযোজ্য ভ্যালিডেশন প্রত্যাশা নির্ধারণ করে। PCI SSC Qualified Security Assessors (QSA) হিসেবে স্বীকৃত স্বাধীন সংস্থা হিসাবে PCI DSS মূল্যায়ন করতে পারে এবং Approved Scanning Vendors (ASV) প্রয়োগযোগ্য প্রয়োজনীয়তার অধীনে বাহ্যিক স্ক্যানিং প্রদান করার জন্য যোগ্য। কাস্টম চেকআউট, অস্পষ্ট স্কোপ, সন্দেহভাজন কমপ্রোমাইজ, বা SAQ নির্বাচন ক্ষেত্রে যোগ্য সহায়তা নিন।
চেকআউট মডেল, প্রযুক্তিগত মালিক, এসক্যালেশন যোগাযোগ, শেষ পর্যালোচনার তারিখ, এবং প্রমাণ লিঙ্ক একত্রে রাখুন।