หากคุณยังตรวจสอบยืนยัน Payment Card Industry Data Security Standard (PCI DSS) ตามข้อตกลงร้านค้าไม่เสร็จสมบูรณ์ คุณอาจต้องเสียค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนด PCI นี่คือการเรียกเก็บเงินรายเดือนเพิ่มเติมที่ธนาคารผู้รับบัตรหรือผู้ให้บริการการชำระเงินบวกเพิ่มในต้นทุนการประมวลผลของคุณ โดยจะเกิดขึ้นทุกรอบการเรียกเก็บเงินและคงอยู่ในใบแจ้งยอดจนกว่าคุณจะส่งหลักฐานยืนยันว่าผ่านมาตรฐานการปฏิบัติตามข้อกำหนด PCI DSS ค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนด PCI อาจอยู่ระหว่าง 25–100,000 ดอลลาร์สหรัฐต่อเดือน ขึ้นอยู่กับระยะเวลาที่ธุรกิจของคุณไม่ได้ปฏิบัติตามข้อกำหนด

ด้านล่างนี้ เราจะอธิบายว่าท้ายที่สุดแล้วใครเป็นผู้จ่ายค่าธรรมเนียมเหล่านี้และเพราะเหตุใด รวมถึงเปรียบเทียบต้นทุนทั่วไปกับค่าปรับที่มีขึ้นเพื่อป้องกัน และสิ่งใดบ้างที่อาจส่งผลให้เกิดการเรียกเก็บเงิน

ประเด็นสำคัญ

• ธนาคารผู้รับบัตรจะเป็นผู้เรียกเก็บค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนด PCI ไม่ใช่เครือข่ายบัตร ซึ่งถือเป็นวิธีหนึ่งในการชดเชยความรับผิดชอบที่ธนาคารมีต่อธุรกิจที่ไม่ผ่านการตรวจสอบยืนยัน

• ค่าธรรมเนียมดังกล่าวถือว่าเล็กน้อยมากเมื่อเทียบกับค่าปรับจากเครือข่ายบัตรและต้นทุนจากการละเมิดซึ่งออกแบบมาเพื่อป้องกัน

• การกรอกแบบสอบถามการประเมินตนเอง (Self-Assessment Questionnaire หรือ SAQ) ที่ถูกต้องและลดปริมาณข้อมูลเจ้าของบัตรที่เกี่ยวข้องกับระบบของคุณเป็นวิธีที่รวดเร็วที่สุดในการล้างการเรียกเก็บเงิน

ค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนดของ PCI คืออะไร

ค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนดของ PCI คือค่าบริการรายเดือนที่ธนาคารผู้รับบัตรหรือผู้ให้บริการการชำระเงินของธุรกิจเรียกเก็บเพิ่มเติมในกรณีที่ธุรกิจดังกล่าวยังไม่ผ่านการตรวจสอบการปฏิบัติตามข้อกำหนดของ PCI DSS ตามที่ระบุไว้ในข้อตกลงของร้านค้า

ธุรกิจแต่ละแห่งมีข้อกำหนดในการตรวจสอบไม่เหมือนกัน เครือข่ายบัตรจะแบ่งธุรกิจออกเป็น 4 ระดับตามปริมาณธุรกรรมรายปี โดยธุรกิจที่ประมวลผลธุรกรรมหลายล้านรายการต่อปีจะต้องเตรียมเอกสารที่เข้มงวดกว่าธุรกิจที่ประมวลผลธุรกรรมเพียงไม่กี่พันรายการ ธุรกิจที่ประมวลผลข้อมูลบัตรบนเซิร์ฟเวอร์ของตนเองโดยตรงจะต้องรับผิดชอบในการปฏิบัติตามข้อกำหนดมากกว่าธุรกิจที่กำหนดเส้นทางช่องการชำระเงินผ่านโซลูชันที่โฮสต์ไว้หรือโซลูชันการแปลงเป็นโทเค็น เนื่องจากขอบเขตของสิ่งที่ต้องได้รับการตรวจสอบจะแตกต่างกันไปตามแต่ละรูปแบบ

ใครคือผู้จ่ายค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนดของ PCI และเพราะเหตุใด

ธุรกิจคือผู้ที่จ่ายค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนดของ PCI แม้ว่าเครือข่ายบัตรจะเป็นผู้กำหนดมาตรฐาน แต่ธนาคารผู้รับบัตรจะเป็นผู้รับผิดชอบเมื่อธุรกิจที่ไม่ปฏิบัติตามข้อกำหนดถูกละเมิดข้อมูล ดังนั้น ธนาคารจึงผลักภาระความเสี่ยงนั้นให้ธุรกิจผ่านทางข้อตกลงของร้านค้า

ผู้ประมวลผลการชำระเงินบางรายจะรวมการตรวจสอบการปฏิบัติตามข้อกำหนดไว้ในข้อตกลงมาตรฐานและเริ่มเรียกเก็บเงินโดยอัตโนมัติหลังจากสิ้นสุดระยะเวลาผ่อนผัน ในขณะที่บางรายกำหนดให้ต้องเลือกเข้าร่วมโปรแกรมและจะเรียกเก็บเงินเฉพาะธุรกิจที่เพิกเฉยต่อคำเตือนซ้ำๆ เท่านั้น

ค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนดของ PCI มีอัตราเท่าใด

ปกติแล้วธนาคารผู้รับบัตรจะเรียกเก็บค่าธรรมเนียมที่ประมาณ 25 ถึง 50 ดอลลาร์สหรัฐต่อเดือนในช่วงไม่กี่เดือนแรกหรือจนกว่าธุรกิจจะผ่านการตรวจสอบการปฏิบัติตามข้อกำหนด หากยังไม่สามารถแก้ไขปัญหาได้หลังจากผ่านไป 6 เดือน ค่าปรับอาจพุ่งสูงถึง 5,000–100,000 ดอลลาร์สหรัฐต่อเดือน

หากเกิดการละเมิดข้อมูลในขณะที่ธุรกิจไม่ได้ปฏิบัติตามข้อกำหนด ธุรกิจอาจต้องเผชิญกับผลลัพธ์ที่รุนแรงกว่านี้ เครือข่ายบัตรอาจเรียกเก็บค่าปรับตั้งแต่ 5,000–100,000 ดอลลาร์สหรัฐ ขึ้นอยู่กับเครือข่าย ความรุนแรงของการละเมิดข้อมูล และระยะเวลาที่ธุรกิจไม่ได้ผ่านการตรวจสอบการปฏิบัติตามข้อกำหนด นอกจากนี้ ธุรกิจที่ถูกตรวจสอบพบว่าไม่ปฏิบัติตามข้อกำหนดหลังเกิดการละเมิดข้อมูลยังอาจสูญเสียความสามารถในการรับชำระเงินด้วยบัตรบางประเภท เผชิญกับค่าใช้จ่ายในการสืบสวนเชิงนิติวิทยาศาสตร์ที่สูงถึงหลักหมื่น และต้องรับผิดชอบค่าใช้จ่ายในการออกบัตรใหม่ให้กับลูกค้าที่ได้รับผลกระทบทุกคน

สิ่งใดเป็นสาเหตุให้เกิดค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนดของ PCI

ค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนดของ PCI เกี่ยวข้องกับเอกสารและกระบวนการ ไม่ใช่การเกิดการละเมิดข้อมูล

สถานการณ์ต่อไปนี้อาจส่งผลให้เกิดการเรียกเก็บค่าธรรมเนียม:

• เลยกำหนดส่งแบบประเมิน SAQ: ธนาคารผู้รับบัตรหรือผู้ให้บริการการปฏิบัติตามข้อกำหนดของธนาคารมักจะกำหนดเวลาในการส่งแบบสอบถามเพื่อการประเมินตนเอง (SAQ) ที่กรอกข้อมูลครบถ้วนแล้ว หากพ้นกำหนดเวลาดังกล่าวแล้วยังไม่มีการส่งเอกสาร ค่าธรรมเนียมจะเริ่มถูกเรียกเก็บในรอบการเรียกเก็บเงินถัดไป

• ใบรับรองการปฏิบัติตามข้อกำหนดหมดอายุ: การปฏิบัติตามข้อกำหนดของ PCI ต้องได้รับการตรวจสอบใหม่เป็นประจำทุกปี การปล่อยให้ใบรับรองการปฏิบัติตามข้อกำหนดหมดอายุจะทำให้ต้องเสียค่าธรรมเนียมในอัตราเดียวกับกรณีที่ไม่ได้ทำการตรวจสอบให้เสร็จสมบูรณ์เลย

• การสแกนหาช่องโหว่ไม่ผ่าน: ธุรกิจที่มีระดับการปฏิบัติตามข้อกำหนดที่สูงกว่าจะต้องทำการสแกนเครือข่ายรายไตรมาสจากผู้ให้บริการสแกนที่ได้รับการอนุมัติ การสแกนที่ไม่ผ่านเกณฑ์หรือไม่ได้ดำเนินการสแกนอาจส่งผลให้มีการเรียกเก็บค่าธรรมเนียมได้เอง โดยไม่ขึ้นอยู่กับสถานะแบบประเมิน SAQ

• การเปลี่ยนแปลงปริมาณหรือวิธีการประมวลผล: การเลื่อนไปสู่ระดับการปฏิบัติตามข้อกำหนดที่สูงขึ้น หรือการเปลี่ยนจากหน้าการชำระเงินที่โฮสต์ไว้ไปเป็นระบบที่ธุรกิจประมวลผลข้อมูลบัตรโดยตรงมากขึ้น อาจเป็นการรีเซ็ตข้อกำหนดด้านการปฏิบัติตามข้อกำหนด และเริ่มต้นการนับเวลาการตรวจสอบใหม่

ขั้นตอนในการหยุดชำระค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนดของ PCI มีอะไรบ้าง

การยกเลิกค่าธรรมเนียมขึ้นอยู่กับการดำเนินการตามกระบวนการตรวจสอบที่เกี่ยวข้องกับธุรกิจให้เสร็จสมบูรณ์ และรักษาให้เป็นปัจจุบันอยู่เสมอ

วิธีการมีดังนี้

1. ยืนยันระดับร้านค้าและแบบประเมิน SAQ ที่เกี่ยวข้อง: ระดับการปฏิบัติตามข้อกำหนดจะกำหนดโดยปริมาณธุรกรรมรายปีและระดับการประมวลผลข้อมูลบัตรโดยตรงของธุรกิจ ระดับการปฏิบัติตามข้อกำหนดจะเป็นตัวกำหนดว่าธุรกิจจะต้องใช้แบบประเมิน SAQ ประเภทใดจาก 8 ประเภท ธุรกิจที่ใช้หน้าการชำระเงินที่โฮสต์ไว้แบบเต็มรูปแบบ ซึ่งช่องป้อนข้อมูลบัตรจะไม่ผ่านเซิร์ฟเวอร์ของธุรกิจ มักจะมีคุณสมบัติเหมาะสมสำหรับแบบประเมิน SAQ A ซึ่งเป็นแบบฟอร์มที่สั้นที่สุด ส่วนธุรกิจที่มีการประมวลผลข้อมูลบัตรโดยตรงมากกว่าจะต้องตอบแบบสอบถามที่ยาวขึ้น ซึ่งครอบคลุมการแบ่งส่วนเครือข่าย การเข้ารหัส และการควบคุมการเข้าถึง

2. จำกัดขอบเขตก่อนกรอกข้อมูล: ยิ่งธุรกิจเข้าถึงสภาพแวดล้อมข้อมูลเจ้าของบัตร (CDE) โดยตรงน้อยเท่าไร แบบประเมิน SAQ ที่ใช้ก็จะยิ่งเรียบง่ายขึ้นเท่านั้น การกำหนดเส้นทางช่องการชำระเงินผ่าน iframe ที่โฮสต์ไว้หรือบริการการแปลงเป็นโทเค็นจะเป็นการผลักภาระในการรักษาความปลอดภัยของหมายเลขบัตรดิบให้กับผู้ให้บริการที่ประมวลผลข้อมูลนั้น ซึ่งมักจะช่วยลดภาระให้ธุรกิจเหลือเพียงการกรอกแบบประเมิน SAQ A เท่านั้น

3. กรอกแบบประเมิน SAQ และดำเนินการสแกนตามที่จำเป็นให้เรียบร้อย: ตอบแบบสอบถามตามความเป็นจริง ทำการสแกนหาช่องโหว่ผ่านผู้ให้บริการสแกนที่ได้รับการอนุมัติ หากระดับของธุรกิจกำหนดให้ต้องทำ และลงนามในใบรับรองการปฏิบัติตามข้อกำหนด

4. ส่งไปยังผู้ประมวลผลหรือธนาคารผู้รับบัตร ไม่ใช่แค่เครือข่ายบัตรเท่านั้น: เนื่องจากเป็นค่าธรรมเนียมที่ธนาคารเรียกเก็บ ธนาคารจึงต้องการเอกสารโดยตรง ซึ่งปกติจะผ่านพอร์ทัลการปฏิบัติตามข้อกำหนดของธนาคารเพื่อติดตามสถานะของร้านค้า

5. ตั้งการเตือนเพื่อตรวจสอบข้อมูลซ้ำเป็นประจำทุกปี: การปฏิบัติตามข้อกำหนดจะหมดอายุทุกปี วิธีที่เร็วที่สุดที่จะทำให้ธุรกิจกลับไปสู่สถานะไม่ปฏิบัติตามข้อกำหนดก็คือการถือว่าขั้นตอนนี้เป็นงานที่ต้องทำเพียงครั้งเดียว ไม่ใช่งานประจำปี

เนื่องจาก Stripe เป็นผู้จัดเก็บและประมวลผลข้อมูลเจ้าของบัตรในนามของธุรกิจที่ใช้บริการ และมีโครงสร้างพื้นฐานที่ผ่านการรับรอง PCI DSS ระดับ 1 ธุรกิจที่กำหนดเส้นทางข้อมูลบัตรผ่าน Stripe ทั้งหมดจึงลดขอบเขตเกี่ยวกับ PCI ลงได้ แม้ว่าธุรกิจจะยังคงมีหน้าที่ต้องส่งแบบประเมิน SAQ แต่ก็มีผลทำให้แบบสอบถามที่ใช้และขอบเขตของสภาพแวดล้อมข้อมูลเจ้าของบัตรที่อยู่ภายใต้การตรวจสอบของธุรกิจนั้นเปลี่ยนไป

คุ้มไหมที่จะจ่ายเพื่อปฏิบัติตามข้อกำหนดของ PCI แทนการเสียค่าธรรมเนียมการไม่ปฏิบัติตามข้อกำหนด

การคำนวณมักจะชี้ให้เห็นว่าการปฏิบัติตามข้อกำหนดนั้นคุ้มค่ากว่า การกรอกแบบประเมิน SAQ A สำหรับธุรกิจที่ใช้ระบบการชำระเงินที่โฮสต์ไว้อยู่แล้วมักใช้เวลาไม่ถึง 1 ชั่วโมง เมื่อนำไปเทียบกับค่าปรับจากเครือข่ายบัตรที่หลากหลายหลังจากเกิดการละเมิดข้อมูล PCI รวมถึงค่าใช้จ่ายทางนิติวิทยาศาสตร์และความเสียหายต่อความสัมพันธ์กับลูกค้าเมื่อรายละเอียดของบัตรถูกเปิดเผย เหตุผลสนับสนุนให้ปฏิบัติตามข้อกำหนดจึงเทียบกันไม่ได้เลย

ธุรกิจที่ยังคงไม่ปฏิบัติตามข้อกำหนดนานที่สุดมักไม่ได้ชั่งน้ำหนักผลได้ผลเสียนี้อย่างรอบคอบ แต่เป็นเพราะธุรกิจเหล่านั้นลืมส่งแบบฟอร์ม นั่นแหละคือความเสี่ยงที่แท้จริง ไม่ใช่ว่าการปฏิบัติตามข้อกำหนดของ PCI นั้นมีราคาแพง แต่เป็นเรื่องที่ลืมได้ง่ายจนกว่าจะถูกเรียกเก็บค่าธรรมเนียมหรือเกิดการละเมิดข้อมูลที่บังคับให้ต้องจัดการ การตรวจสอบระดับร้านค้า ยืนยันว่าต้องใช้แบบประเมิน SAQ แบบใด และตั้งการเตือนความจำรายปีมีค่าใช้จ่ายน้อยกว่าผลลัพธ์ของการปล่อยปละละเลยอย่างมาก

Stripe Payments ช่วยอะไรได้บ้าง

Stripe Payments มอบโซลูชันการชำระเงินระดับโลกแบบครบวงจรที่ช่วยให้ธุรกิจใดๆ ตั้งแต่สตาร์ทอัพที่กำลังเติบโตไปจนถึงองค์กรระดับโลกรับชำระเงินออนไลน์ ที่จุดขาย และทั่วโลกได้

Stripe Payments สามารถช่วยคุณทำสิ่งต่อไปนี้

• เพิ่มประสิทธิภาพให้ประสบการณ์การชำระเงินของคุณ: สร้างประสบการณ์ที่ราบรื่นให้กับลูกค้าและประหยัดเวลาในการทำงานวิศวกรรมได้หลายพันชั่วโมงด้วย UI การชำระเงินที่สร้างไว้ให้แล้ว, สิทธิ์เข้าถึงวิธีการชำระเงินมากกว่า 125 วิธี และ Link ซึ่งเป็นกระเป๋าเงินที่สร้างโดย Stripe

• ขยายไปสู่ตลาดใหม่ๆ ได้เร็วขึ้น: เข้าถึงลูกค้าทั่วโลกและลดความซับซ้อนและค่าใช้จ่ายในการจัดการหลายสกุลเงินด้วยตัวเลือกการชำระเงินข้ามพรมแดนที่มีให้บริการใน 195 ประเทศและกว่า 135 สกุลเงิน

• รวมการชำระเงินที่จุดขายและทางออนไลน์ไว้ด้วยกัน: สร้างประสบการณ์การค้าแบบแพลตฟอร์มรวมในช่องทางออนไลน์และที่จุดขายเพื่อปรับแต่งการโต้ตอบ ตอบแทนความภักดี และเพิ่มรายได้

• ปรับปรุงประสิทธิภาพการชำระเงิน: เพิ่มรายรับด้วยเครื่องมือการชำระเงินที่กำหนดเองได้และปรับแต่งได้ง่ายๆ ซึ่งรวมถึงระบบป้องกันการฉ้อโกงแบบไม่ต้องเขียนโค้ดและความสามารถขั้นสูงเพื่อเพิ่มอัตราการอนุมัติ

• เดินหน้าได้เร็วขึ้นด้วยแพลตฟอร์มที่ยืดหยุ่นและเชื่อถือได้เพื่อการเติบโต: สร้างบนแพลตฟอร์มที่ออกแบบมาเพื่อขยับขยายไปพร้อมกับคุณ โดยมีระยะเวลาให้บริการที่แทบจะไม่หยุดทำงานเลย และมีความน่าเชื่อถือระดับแนวหน้าของวงการ

ดูข้อมูลเพิ่มเติมเกี่ยวกับวิธีที่ Stripe Payments สามารถช่วยให้คุณรับการชำระเงินออนไลน์และที่จุดขายได้ หรือเริ่มใช้งานเลยวันนี้