वास्तविक भुगतान सीमा (payment boundary) का नक्शा बनाएं
उत्पाद पेज से कन्फर्मेशन तक खरीदार के मार्ग का मैप बनाएं। कार्ड प्रविष्टि, रीडायरेक्ट, फ्रेम, स्क्रिप्ट्स, API, प्लग-इन्स, टैग मैनेजर, कंटेंट डिलीवरी नेटवर्क और वे प्रशासकीय खाते जिन्हें यह प्रभावित कर सकते हैं—सभी को चिह्नित करें। संबंधित लॉग्स, सपोर्ट टूल्स, और एनालिटिक्स को भी शामिल करें। यह आपके प्रोवाइडर या असेसर के लिए एक प्रारंभिक रिकॉर्ड है, न कि अनुपालन का अंतिम निर्णय।
हर पेमेंट-पेज एलिमेंट को सेवा देने वाले डोमेन का रिकॉर्ड रखें। PCI SSC कहता है कि SAQ A की पात्रता के लिए सभी पेमेंट-पेज एलिमेंट केवल PCI DSS अनुपालक सेवा प्रदाताओं से आने चाहिए और किसी भी तरह से मर्चेंट साइट से नहीं होने चाहिए। SAQ A-EP के लिए, प्रत्येक एलिमेंट मर्चेंट या ऐसे प्रदाता दोनों में से किसी से आ सकता है, लेकिन किसी अन्य स्रोत से नहीं। अन्य सभी मानदंड लागू होते हैं।
एक रिपॉजिटरी टैग-मैनेजर इंजेक्शन्स और प्लेटफ़ॉर्म सेटिंग्स याद कर सकती है। सामान्य चेकआउट ब्राउज़र सत्र में स्क्रिप्ट्स, फ्रेम्स, डोमेन्स और हेडर्स की समीक्षा करें।
लॉग्स, एनालिटिक्स और सपोर्ट वर्कफ़्लो के लिए भुगतान फ़ील्ड्स की समीक्षा करें। टेस्ट टिकट्स या साझा साक्ष्य में वास्तविक कार्ड डेटा कभी न उपयोग करें।
व्याख्यायोग्य (explainable) भुगतान मॉडल के साथ एक्सपोज़र घटाएँ
जहाँ व्यावहारिक हो, ऐसा इंटीग्रेशन इस्तेमाल करें जिसमें PCI DSS-अनुपालक प्रोवाइडर कार्ड डेटा संग्रह करें बजाय इसके कि आपकी एप्लिकेशन उसे प्राप्त या स्टोर करे। एक पूरा प्रोवाइडर-होस्टेड रीडायरेक्ट अक्सर कस्टम फॉर्म की तुलना में सरल होता है, पर एम्बेडेड फ़ील्ड्स और iframes अभी भी आपकी साइट को भुगतान प्रभावित करने का तरीका दे सकते हैं। होस्टेड लेबल पर निर्भर न रहें—वास्तविक इंटीग्रेशन को दस्तावेज़ करें।
Primary account numbers, security codes, चेकआउट-एरर स्क्रीनशॉट्स या कॉपी किए गए भुगतान विवरण केवल तभी रखें जब अप्रूव्ड डिजाइन इसकी मांग करे। एन्क्रिप्शन डेटा की रक्षा करने में मदद करता है, पर PCI SSC चेतावनी देता है कि केवल एन्क्रिप्शन सामान्यतः किसी एनवायरनमेंट को स्कोप से बाहर नहीं हटाता। प्रोवाइडर और योग्य रिव्यूअर्स के साथ टोकन, कुंजी (key), webhook, रिफंड और जिम्मेदारी संभालने की पुष्टि करें।
इंटीग्रेशन गाइड, जिम्मेदारी जानकारी, संबंधित अनुपालन दस्तावेज़ और परिवर्तन-सूचना प्रक्रिया को अपने आर्किटेक्चर रिकॉर्ड के साथ रखें।
बिना नामित मालिक और पहुँच समीक्षा के मार्केटिंग प्रयोग, रिप्ले टूल्स, चैट विजेट्स या वैकल्पिक लाइब्रेरी न जोड़ें।
स्क्रिप्ट्स, टैग और हेडर्स नियंत्रित करें
थर्ड-पार्टी ब्राउज़र कोड अनियंत्रित परिवर्तन, मनमाना कोड निष्पादन, और अन्य पक्षों को खुलासा पेश कर सकता है। प्रत्येक स्क्रिप्ट के डोमेन, उद्देश्य, मालिक, अनुमोदन और लोड लोकेशन के साथ एक चेकआउट इन्वेंटरी रखें। इसमें टैग-मैनेजर नीयम और वेंडर-लोडेड कोड भी शामिल करें, केवल सोर्स-ट्री फ़ाइलें ही नहीं।
PCI SSC अधिकृत स्क्रिप्ट्स, इंटीग्रिटी, टेंपर मॉनिटरिंग, और सुरक्षा-प्रभावक HTTP हेडर्स पर केंद्रित है। एक बेसलाइन अनुमोदित करें, परिवर्तनों को प्रतिबंधित रखें, अंतर का पता लगाएँ और उनकी जाँच करें। एक Content Security Policy (CSP) स्रोतों को सीमित कर सकता है। जहाँ उपयुक्त हो, इसे लागू करने से पहले report-only मोड में टेस्ट करें। CSP रक्षा में गहराई (defense in depth) है, सुरक्षित कोडिंग या समीक्षा का विकल्प नहीं।
Subresource Integrity एक बदले हुए एक्सटर्नल स्क्रिप्ट को अस्वीकार कर सकता है, पर इसे cross-origin कॉन्फ़िगरेशन के साथ संगत होना चाहिए और वेंडर अपडेट के बाद टूट भी सकता है।
पब्लिशिंग भूमिकाओं को सीमित करें, मजबूत प्रमाणीकरण की आवश्यकता रखें, कस्टम-कोड क्षमता की समीक्षा करें, और ऑडिट ट्रेल रखें।
पहुँच सीमित करें और चेकआउट परिवर्तनों को पुनर्प्राप्त करने योग्य बनाएं
रूटीन सामग्री पब्लिशिंग को चेकआउट कोड, पेमेंट-प्रोवाइडर प्रशासन, होस्टिंग, DNS और टैग मैनेजमेंट से अलग रखें। नामित खाते, least privilege, और जहाँ समर्थित हो multi-factor authentication का उपयोग करें। भूमिका परिवर्तनों के बाद पहुँच की समीक्षा करें और पूर्व कर्मचारियों, विक्रेताओं, और एजेंसियों को हटाएँ। सटीक PCI DSS लागूता एनवायरनमेंट पर निर्भर करती है, पर साझा और लंबे समय तक रखी गयी विशेषाधिकार कम करने से जोखिम घटता है।
चेकआउट के लिए एक रिलीज प्रक्रिया रखें: नामित मालिक, समीक्षा, जहाँ संभव हो परीक्षण, रोलबैक विधि, और पोस्ट-रिलीज ब्राउज़र जांच। सफलता और विफलता पथों, रीडायरेक्ट्स, और मोबाइल व्यवहार का परीक्षण करें। Status Is UP प्रैक्टिसेस के साथ प्रोएक्टिव लॉन्च रेडीनेस, प्रदर्शन अनुकूलन, और रिलीज़ के इर्द-गिर्द रोलबैक योजना का समर्थन करता है; यह PCI DSS अनुपालन निर्धारित नहीं करता।
क्रेडेंशियल्स, बैकअप कोड्स, और रोलबैक निर्देशों को अनुमोदित एक्सेस-कंट्रोल्ड सिस्टम्स में रखें; कभी टिकट्स, स्क्रीनशॉट्स, या सार्वजनिक रिपॉजिटरी में न रखें।
रिलीज़ के बाद, ब्राउज़र-देखे जाने वाले स्क्रिप्ट्स, डोमेन्स, और हेडर्स को अनुमोदित इन्वेंटरी से मिलान करें।
स्टैक अपडेट रखें और परिणाम सत्यापित करें
कॉमर्स प्लेटफ़ॉर्म, प्लगइन्स, थीम्स, सर्वर कंपोनेंट्स, लाइब्रेरीज़, पेमेंट SDKs, टैग टेम्पलेट्स, और चेकआउट को प्रभावित करने वाली सर्विसेज़ की इन्वेंटरी बनाकर रखें। महत्वपूर्ण वेंडर नोटिसों की सदस्यता लें। NIST पैच मैनेजमेंट को अपडेट्स की पहचान, प्राथमिकता देना, अधिग्रहण, इंस्टॉल और सत्यापित करने के रूप में वर्णित करता है। परिवर्तन को रिकॉर्ड करें, पेमेंट जर्नी का परीक्षण करें, और पुष्टि करें कि क्या डिप्लॉय हुआ है।
उच्च-जोखिम समस्याओं के लिए एक आपातकालीन पथ और रूटीन परिवर्तनों के लिए एक मेंटेनेंस विंडो सेट करें। एक्सपोज्ड चेकआउट घटकों को प्राथमिकता दें, पर अंधाधुंध प्रोडक्शन में पैच न करें और भुगतान तोड़ दें। एक परीक्षण रोलबैक दृष्टिकोण और प्रोवाइडर रिलीज़ गाइडेंस का उपयोग करें। एक आउटडेटेड कंपोनेंट का अज्ञात मालिक जोखिम है जिसे सुलझाना चाहिए।
सल्लाह, जोखिम निर्णय, टेस्ट परिणाम, डिप्लॉयमेंट रिकॉर्ड, और अंतिम सत्यापन को साथ रखें।
साक्ष्य रखें और योग्य मदद का उपयोग करें
डायग्राम, प्रोवाइडर जिम्मेदारी जानकारी, SAQ पात्रता तर्क, स्क्रिप्ट और हेडर इन्वेंटरी, पहुँच समीक्षाएँ, अनुमोदन, टेस्ट परिणाम, परिवर्तन, और विक्रेता संपर्क नियंत्रित स्थान पर रखें। जब आर्किटेक्चर, स्वामित्व, स्क्रिप्ट्स, या प्रोवाइडर्स बदलें तो इन्हें रिफ्रेश करें। साक्ष्य एक अधिकृत रिव्यूअर की मदद करनी चाहिए बिना कार्ड डेटा, गुप्त जानकारी, या ग्राहक रिकॉर्ड उजागर किए।
आपका एग्रीकर या पेमेंट ब्रांड लागू होने वाली वैलिडेशन अपेक्षाएँ निर्धारित करता है। PCI SSC Qualified Security Assessors (QSAs) को स्वतंत्र संगठन के रूप में परिभाषित करता है जो PCI DSS आकलन कर सकते हैं और Approved Scanning Vendors (ASVs) को लागू आवश्यकताओं के अंतर्गत योग्य बाहरी स्कैनिंग प्रोवाइडर्स के रूप में चिन्हित करता है। कस्टम चेकआउट, अस्पष्ट स्कोप, संदिग्ध समझौता, या SAQ चयन के लिए योग्य मदद लें।
चेकआउट मॉडल, तकनीकी मालिक, एस्केलेशन संपर्क, अंतिम समीक्षा तारीख, और साक्ष्य लिंक एक साथ रखें।