إجابة سريعة: يكون كشك الفرع داخل نطاق PCI DSS كلما خزّن أو عالج أو نقل بيانات حامل البطاقة أو بيانات المصادقة الحساسة — وهذا يضعه داخل بيئة بيانات حامل البطاقة. كما يمكن أن تُضمّن المكوّنات التي تكون متصلة فقط بتلك البيئة، أو التي يمكن أن تؤثر في أمنها. ولا يشكّل التشفير وحده، ولا كون الطرفية دون إشراف، مخرجًا تلقائيًا.
الإجابة المختصرة: هل يقع كشك الخدمة الذاتية في الفرع داخل نطاق PCI DSS؟
يكون كشك الفرع داخل نطاق PCI DSS كلما خزّن أو عالج أو نقل بيانات حامل البطاقة أو بيانات المصادقة الحساسة — وهذا يضعه داخل بيئة بيانات حامل البطاقة. كما يمكن أن تُضمّن المكوّنات التي تكون متصلة فقط بتلك البيئة، أو التي يمكن أن تؤثر في أمنها. ولا يشكّل التشفير وحده، ولا كون الطرفية دون إشراف، مخرجًا تلقائيًا.
تتوقف معظم الإرشادات عند هذا الحد وتكرر المتطلبات الاثني عشر. ليست هذه هي المشكلة التي يواجهها مسؤول الامتثال في الفرع فعليًا. المشكلة هي أن حدود النطاق تُقرَّر ضمنيًا أثناء الشراء — بما يفعله القارئ، وبكيفية توصيل وحدة النقد، وبأي VLAN تهبط عليها الوحدة، وبما يضعه المورّد كتابةً — ثم تُكتشف أثناء التقييم التالي، عندما يكون الجهاز قد ثُبِّت في الأرض بالفعل. تحوّل البنود التسعة أدناه تلك الحدود إلى قائمة اعتماد يمكنك إرفاقها بـ RFP وبمعايير قبول المورّد، مع مسؤول مُسمّى لكل إجابة.
قائمة تحقق نطاق أكشاك الفرع من 9 نقاط
| # | الحدّ الذي يجب تأكيده قبل التوقيع | من يملك الإجابة |
|---|---|---|
| 1 | مسار بيانات البطاقة: هل يقرأ القارئ PAN أو ينقله أو يخزنه، وهل تُكتب بيانات المصادقة الحساسة أبداً بعد التفويض؟ | المورّد (النية التصميمية) + امتثال التاجر |
| 2 | حالة P2PE: أي حل مُدرج لدى PCI، إن وُجد، يُستخدم، وما الذي يزيله فعلياً من جهد التحقق لديك؟ | المورّد + البنك المستحوذ / QSA |
| 3 | مسار وحدة النقد: هل يمكن لبيانات البطاقة أن تعبر أبداً عبر لوحة قبول النقد أو إعادة تدوير النقد؟ | المورّد (وثائق التكامل) |
| 4 | المكونات المتصلة: أي أنظمة فرعية يمكنها التأثير في أمن مسار الدفع (OS، وكيل الإدارة عن بُعد، خدمة التحديث)؟ | المورّد + أمن التاجر |
| 5 | مسار الشبكة: كيف يُفصل الكشك عن شبكة LAN وWAN الخاصة بالفرع، ومن يراقبه. | فريق شبكة الفرع |
| 6 | وصول الخدمة: كيف يصل المهندسون الميدانيون والمهندسون عن بُعد إلى الجهاز، وكيف يُسجَّل ذلك الوصول. | نموذج خدمة المورّد + إدارة الهويات والوصول (IAM) لدى التاجر |
| 7 | الحماية المادية من العبث: كيف يقاوم القارئ ووحدة النقد الاستبدال والسكيمينغ. | المورّد + الأمن المادي للفرع |
| 8 | صيغة الأدلة: ما الذي يسلّمه المورّد مقابل ما يجب عليك إنشاؤه بنفسك. | المورّد + امتثال التاجر |
| 9 | نهاية العمر: ماذا يحدث لبيانات الاعتماد والمفاتيح والسجلات المخزنة عند استبدال وحدة، أو إعادتها، أو إعادة نشرها. | المورّد + إدارة الأصول لدى التاجر |
بندان من هذه البنود يحددان معظم العمل اللاحق. البند 1 ثنائي: إما أن يكون القارئ جهاز إدخال رقم تعريف شخصي (PIN) يتعامل مع بيانات مصادقة حساسة، أو أن يكون مكوّنًا ينقل فقط حمولة مشفرة مسبقًا — ويُوثّق الاثنان بشكل مختلف. البند 5 هو أكبر رافعة تتحكم بها، لأنه يحدد عدد أنظمة الفروع الأخرى التي يجب أن تستوفي مجموعة الضوابط الكاملة. البنود 4 و6 و9 هي التي يتركها المشترون فارغة في أغلب الأحيان، وهي التي سيسأل عنها مدقق أمني معتمد (QSA) أولًا.
بخصوص البند 2، كن دقيقًا فيما تشتريه. إن التشفير من نقطة إلى نقطة المدرج لدى PCI يقلل جهد التحقق المطبق بشكل كبير، لكنه لا يزيل PCI DSS من بيئة التاجر — وهذا التوضيح يأتي من PCI SSC نفسها، وليس من ورقة بيانات بائع، وقد أُعيد ذكره على نطاق واسع في أدبيات المدفوعات غير المراقبة. عامل "P2PE معتمد" كمدخل لتقليل النطاق، وليس أبدًا كمخرج من النطاق.
قبول النقد ليس قضية جانبية بالنسبة للنطاق
النقد ليس بيانات حامل البطاقة، لذا من المغري اعتبار ماكينة إعادة تدوير النقد خارج النقاش. لكنها في كشك الفرع ليست كذلك، لسببين. أولاً، تضيف وحدة النقد وحدة مادية وإلكترونية داخل الهيكل نفسه الذي يوجد فيه القارئ، وأي وحدة تحكم مشتركة أو مسار طاقة مشترك أو واجهة خدمة مشتركة يصبح مسألة اتصال. ثانياً، التعامل مع النقد هو المجال الذي يحصل فيه المهاجم ذو الوصول المادي على أطول مدة مكوث، ولهذا تقع ضوابط الاستبدال والسكيمينغ ضمن التقييم نفسه الخاص بمسار الدفع.
السؤال الذي يجب توجيهه إلى المورّد كتابيًا بسيط: هل وحدة النقد على قناة بيانات منفصلة عن قارئ البطاقة، وكيف يظهر ذلك الفصل في وثائق التكامل؟ مخطط الأسلاك وبيان تدفق البيانات هما الدليل. إذا كانت الإجابة شفهية، فاعتبر الحدود غير محسومة وقدّر تكلفة المخاطر. لدينا كشك الخدمة الذاتية القائم بذاته للتعامل مع النقد هو مثال على التكوين الذي يجب فيه الإجابة عن هذا السؤال قبل اختبار القبول، لا بعده.
SAQ أم ROC؟ لماذا تتعلق الإجابة بقناتك، لا بالجهاز
لا توجد ورقة مواصفات كشك تحدد ما إذا كنت تجري التحقق باستخدام استبيان التقييم الذاتي أو تقرير امتثال كامل. يعود هذا التحديد إلى التاجر والمستحوذ الخاص به، ويعتمد على ملف قناة حضور البطاقة والقناة غير المراقبة لديك، وحجم المعاملات، وكيف يصنف المستحوذ عملية النشر. يساهم الجهاز في تقديم الأدلة؛ لكنه لا يتخذ القرار.
احسم هذا البند قبل أمر الشراء، وليس بعده. اطلب من المستحوذ وQSA الخاص بك تأكيد مسار التحقق كتابيًا، وارفض معايير القبول التي تفترض أن بيان نطاق المورّد يحل محل تحديد التاجر نفسه. إذا كان عرض سعر يشير ضمنيًا إلى أن شراء طرفية معينة يغيّر فئة التحقق لديك، فهذا سؤال يُطرح على المستحوذ.
تقسيم الشبكة: الرافعة التي تقلص نطاق التدقيق لديك
عزل بيئة بيانات حامل البطاقة عن بقية شبكة الفرع يعني أن عددًا أقل من الأنظمة يحتاج إلى مجموعة الضوابط الكاملة — فالتقسيم يقلل نطاق التدقيق بدلًا من كونه مجرد ترتيبه، ولهذا يُحلَّل كنقطة عمياء تقليدية في بيئات الفروع. ثلاثة أسئلة لفريق الشبكة لديك قبل وصول الكشك:
- أي VLAN أو قطاع سيستضيف الكشك، وما هي مجموعة القواعد الموثقة بينه وبين أمين الصندوق والمكتب الخلفي والخدمات المشتركة؟
- ما هو الوصول شرق-غرب المسموح به بين الكشك وأنظمة الفرع، ومن وافق على كل قاعدة؟
- من يملك المراقبة والتنبيه لذلك القطاع، وأين تصل السجلات؟
شبكة الفروع المسطحة تحول كشكًا واحدًا إلى إعادة تقييم في جميع أنحاء الموقع — تظهر تكلفة ذلك الخطأ بعد وقت طويل من التركيب، ولهذا ينتمي إلى قرار الشراء بدلاً من خطة النشر.
فروع الاتحاد الأوروبي: ما الذي يغيّره تطبيق DORA
بالنسبة للكيانات المالية في الاتحاد الأوروبي، فإن ماكينة الصراف الآلي أو طرف الخدمة الذاتية هو أصل ICT داخل نظام المرونة التشغيلية، وليس مجرد جهاز دفع. يحدد Regulation (EU) 2022/2554 (DORA) واجبات إدارة مخاطر ICT التي تشمل تقييم مثل هذه الأصول، ويفرض اختبار اختراق قائم على التهديد على الكيانات المالية الهامة. النتيجة العملية للمشتريات هي أن توقعات المرونة وأدلة الاختبار تنتمي إلى عقد البائع من البداية؛ لا يمكن إضافتها أثناء دورة الرقابة التالية.
يجب أن تفترض المجموعات متعددة الولايات القضائية أن الضوابط تتراكم بدلاً من أن تحل محل بعضها البعض. عمل PCI DSS الأمريكي، والتزامات المرونة في الاتحاد الأوروبي، وعند الاقتضاء، توقعات تقسيم SWIFT CSP، يضيف كل منها مسار أدلة خاص به. صمم شبكة الفروع وحزمة أدلة البائع مرة واحدة، بحيث يتم إرضاء كل إطار عمل بنفس المخرجات.
ما يجب طلبه من البائع قبل التوقيع (حزمة الأدلة)
- بيان موقّع لما يخزنه الجهاز، ويعالجه، ويرسله — وقائمة صريحة لما لا يفعله.
- سياسة تحديث المكونات والبرامج الثابتة: من يمكنه دفع التحديثات، عبر أي قناة، وكيف يتم التحقق من السلامة.
- وصف الوصول عن بُعد ونموذج الخدمة، مع ربطه بضوابط الوصول والتسجيل الخاصة بك.
- وصف استجابة العبث للقارئ ووحدة النقد، بما في ذلك كيف تتصرف الوحدة بعد اكتشاف حدث.
- إقرار صريح بما لا يمكن للبائع ضمانه — أي شيء يعتمد على شبكتك، أو البنك المستحوذ لديك، أو ضوابطك التشغيلية.
- التعامل مع نهاية العمر الافتراضي للمفاتيح وبيانات الاعتماد والسجلات.
اعكس هذه القائمة في تقييم طلب تقديم العروض الخاص بك بحيث تكون إجابات الامتثال قابلة للمقارنة بين مقدمي العروض بدلاً من دفنها في الملاحق — قائمة مراجعة شراء كشك الخدمة الذاتية لطلب تقديم العروض تُظهر كيفية ترجيح هذه البنود مقابل معايير الأجهزة والخدمة. كن واضحًا داخليًا بشأن الأدوار هنا: نحن شركة تصنيع أجهزة OEM/ODM ونوفر الجهاز وأدلته؛ نحن لا نعتمد امتثالك، وتحديد النطاق واختيار SAQ أو ROC يقع على عاتق التاجر والبنك المستحوذ لديه.
حيث تغير هذه القرارات التكلفة الإجمالية الخاصة بك
ثلاثة خيارات للنطاق لها تكلفة لا تظهر إلا بعد التشغيل إذا تُركت مفتوحة: هندسة التقسيم وصيانة القواعد المستمرة؛ ضوابط الوصول للخدمة والتسجيل للدعم الميداني وعن بُعد؛ وجهد إعادة التحقق عندما يتبين أن حدودًا ما كانت غير موثقة. ضع تلك البنود بجانب سعر الوحدة في دراسة الجدوى — مقارنة التكلفة الإجمالية للملكية (TCO) لأكشاك الخدمة الذاتية المصرفية تضع تكاليف الشراء والتكامل ونموذج الخدمة جنبًا إلى جنب حتى يرى القسم المالي الصورة الكاملة بدلاً من الفاتورة.
كيفية التحقق من أي ادعاء "خارج النطاق" أو "معتمد من P2PE"
- اطلب القائمة أو المرجع الدقيق وتحقق من أنه حديث، وليس شهادة تاريخية لتكوين تم استبداله.
- أعد قراءة لغة القيود الخاصة بالبائع — عادةً ما تحدد الفقرة التالية للادعاء الرئيسي ما هو مستبعد.
- تأكد من أن الادعاء ينطبق على الطراز والبرنامج الثابت الذي تشتريه، وليس على منصة مرجعية.
- إذا كان الدليل غائبًا أو شفهيًا، فاعتبر مسألة النطاق مفتوحة وقم بتسعير هذا الخطر في القرار.
أسئلة يطرحها المشترون أثناء مراجعة النطاق
هل تُعد أكشاك الخدمة الذاتية ضمن نطاق PCI DSS إذا كانت تقبل البطاقات لبضع ثوانٍ فقط؟
المدة غير ذات صلة. إذا كان الجهاز يخزن أو يعالج أو ينقل بيانات حامل البطاقة أو بيانات المصادقة الحساسة، فإنه يكون ضمن بيئة بيانات حامل البطاقة، ويمكن أيضًا إدراج المكونات المتصلة أو المؤثرة على الأمان.
هل يؤدي تشفير بيانات البطاقة إلى إخراج الكشك من نطاق PCI DSS؟
لا. يقلل التشفير من التعرض ويدعم مسار تحقق مخفض، لكن إرشادات PCI SSC لا تعتبر التشفير وحده مزيلاً لتطبيق PCI DSS.
هل يزيل حل P2PE المدرج في قائمة PCI الحاجة إلى SAQ؟
لا. يمكنه أن يقلل بشكل كبير جهد التحقق المطبق، لكن التاجر لا يزال يقوم بالتحقق، ويتم تأكيد المسار مع جهة الاستحواذ وQSA — وليس بواسطة الجهاز.
ما الأدلة التي ينبغي أن يقدمها مورّد الكشك للموافقة على الامتثال في الفرع؟
حزمة الأدلة أعلاه: بيان موقّع بشأن التعامل مع البيانات، وسياسة المكونات والتحديث، ونموذج الوصول عن بُعد، ووصف الاستجابة للتلاعب، والقيود المعلنة، والتعامل مع نهاية العمر التشغيلي. وأي شيء لا يستطيع المورّد ضمانه ينبغي تسميته، لا الإشارة إليه ضمنًا.
الخطوة التالية
أرفق قائمة التحقق هذه بطلب تقديم العروض (RFP) واطلب من كل مقدم عطاء الإجابة عنها سطرًا بسطر، مع تسمية المسؤول عن كل إجابة. اطلب قائمة التحقق الخاصة بتحديد نطاق PCI DSS لكشك الفرع + حزمة أدلة الامتثال — أو ورقة بيانات لتكوين الطرفية القابلة لقبول البطاقات والنقد الذي تقيّمه — من صفحة منصة كشك معالجة النقد ، وسنعيد وثائق الأجهزة وعناصر الأدلة التي يمكنك تسليمها إلى QSA الخاص بك. التسليم واضح ومباشر: تأتي الأجهزة والأدلة المصاحبة لها من جانبنا؛ ويبقى تحديد النطاق وتصميم الشبكة واختيار SAQ أو ROC لدى فرق التاجر والشبكة وجهة الاستحواذ الخاصة بك.
