SAQ, ROC y quién valida

El SAQ es un cuestionario de autoevaluación: lo responde el comercio, y hay varios formularios según cómo cobra. El ROC es el informe de cumplimiento que redacta un evaluador de seguridad cualificado (QSA) o un evaluador interno, con pruebas y entrevistas. Ambos terminan en una atestación de cumplimiento (AOC), el documento corto que se entrega a quien pide la validación.

Lo que casi nadie sabe: el Consejo de Seguridad de PCI publica el estándar, pero no decide quién valida de qué manera. Eso lo fijan las marcas de pago y los adquirentes, según el volumen y el riesgo del comercio. La empresa no elige; confirma con su adquirente.

Cada formulario describe un perfil de comercio; si se elige uno que no es el suyo, o se paga de más o se declara de menos. Abre formularios y comercios. Hay un comercio cuya secretaría teclea cada tarjeta, una a una, en un terminal virtual web de un proveedor validado, desde un solo equipo aislado, sin guardar nada.

La clave para elegir está en tres preguntas: cómo se captura la tarjeta, si algún sistema del comercio la guarda y si los equipos que la capturan están aislados de los demás.

Dos comercios venden en línea con una pasarela. En uno, el cliente paga en un formulario que la pasarela sirve y procesa de principio a fin: el sitio del comercio solo lo envía allí. En el otro, el sitio arma la página de pago, aunque el número de tarjeta lo reciba y procese la pasarela. Parece un detalle y no lo es: en el segundo caso, un fallo del sitio puede alterar lo que el cliente ve y llevarse el dato.

Por eso son dos formularios distintos, con exigencias distintas. El primero es el más corto de todos.

Ferretería Cobre tiene un programa de cobro conectado a internet que escribe el número de tarjeta en una base de datos local. Eso lo saca de todos los formularios cortos: el criterio común de los formularios abreviados es que no se guarda el número de tarjeta en formato electrónico. Un comercio que lo guarda entra al formulario que cubre todos los requisitos aplicables.

Es también el que más cuesta, y por eso la conversación útil con ese cliente no es «qué formulario le toca», sino «qué tendría que cambiar para dejar de guardar el número».

El último caso es el más simple. Café Lunares tiene un datáfono independiente, aprobado, conectado por IP al procesador, en una red aparte donde no hay ningún otro equipo. No guarda nada y no vende en línea.

Es el caso para el que existe un formulario concreto, más corto que el de las cajas conectadas a internet. La condición que más se incumple es la de aislamiento: si el datáfono comparte la red con el wifi de clientes o con el ordenador de la caja, deja de cumplir los criterios.