यदि आप भुगतान से जुड़ा अपना खुद का टूल बनाते हैं, तो अनुपालन जोखिम की जिम्मेदारी किसकी होती है?

आपकी होती है। न तो कोड जनरेट करने वाले AI की, न आपके होस्टिंग प्रदाता की, और न ही आपके भुगतान प्रदाता की। जैसे ही आपके द्वारा बनाया गया कोई टूल भुगतान से जुड़ता है, अनुपालन जोखिम आपके व्यवसाय पर आ जाता है, और यह वहीं रहता है चाहे आप कितने भी अनुपालन करने वाले वेंडर्स को शामिल क्यों न कर लें। आप जो बदल सकते हैं वह है उस जोखिम का आकार, और एक अच्छी तरह से डिज़ाइन किए गए कस्टम टूल और एक लापरवाही से बनाए गए टूल के बीच का अंतर बहुत बड़ा होता है।

जोखिम आपके वेंडर्स पर नहीं बल्कि आप पर क्यों आता है?

कार्ड स्वीकार करना अनुबंधों की एक श्रृंखला पर चलता है। कार्ड नेटवर्क नियम तय करते हैं, आपका एक्वायरर (वह बैंक जो आपके लिए कार्ड की बिक्री का निपटान करता है) उन्हें लागू करता है, और आपका मर्चेंट एग्रीमेंट उन्हें आप तक पहुँचाता है। नियम पुस्तिका PCI DSS है, जो कार्ड उद्योग का डेटा सुरक्षा मानक है, और यह कार्डधारक के डेटा (कार्ड नंबर और उनके साथ आने वाले विवरण) को स्टोर, प्रोसेस या ट्रांसमिट करने वाले हर व्यवसाय पर लागू होती है। वर्तमान संस्करण 4.0.1 है। (प्रकाशन के समय संस्करण संख्या और प्रोग्राम विवरण सटीक हैं; विशिष्ट विवरणों को एक स्नैपशॉट के रूप में मानें।)

आपके वेंडर्स के पास अपने स्वयं के सिस्टम के लिए दायित्व होते हैं, और एक अनुपालन करने वाला भुगतान प्रदाता आपके काम के हिस्से को नाटकीय रूप से कम कर देता है। लेकिन वेंडर का कोई भी काम जिम्मेदारी को ट्रांसफर नहीं करता है। PCI सुरक्षा मानक परिषद (PCI Security Standards Council) स्पष्ट रूप से कहती है कि आपको अनुपालन को सत्यापित करना होगा या नहीं, यह भुगतान ब्रांडों और आपके एक्वायरर द्वारा तय किया जाता है, और उनका उत्तर, जो आपके मर्चेंट एग्रीमेंट में लिखा है, हाँ है। हर साल, आपके व्यवसाय का कोई व्यक्ति एक सत्यापन पर हस्ताक्षर करता है जिसमें कहा जाता है कि आपका एनवायरनमेंट मानक को पूरा करता है। वह हस्ताक्षर आपका होता है, आपके वेंडर का नहीं।

जैसे ही आपका अपना कोड कार्ड डेटा को छूता है, क्या बदल जाता है?

दायरा (स्कोप)। अनुपालन के प्रयास की कीमत दायरे के रूप में आंकी जाती है: कार्डधारक के डेटा को छूने वाला हर सिस्टम, और उससे जुड़ी हर चीज़, इस मानक के अंतर्गत आती है।

एक मर्चेंट जिसके भुगतानों को पूरी तरह से एक अनुपालन करने वाले प्रदाता और उसके प्रमाणित उपकरणों द्वारा संभाला जाता है, वह एक संक्षिप्त स्व-मूल्यांकन प्रश्नावली (एक वार्षिक चेकलिस्ट) के साथ सत्यापन करता है, जिसमें कुछ दर्जन प्रश्न होते हैं। एक मर्चेंट जिसका अपना सॉफ़्टवेयर कार्ड नंबरों को संभालता है, वह सबसे गहरे स्तर में आता है, जो अधिकांश पूर्ण मानक को दर्शाता है: त्रैमासिक भेद्यता स्कैन, पेनेट्रेशन टेस्टिंग, एक्सेस कंट्रोल, लॉगिंग और औपचारिक सुरक्षा नीतियों को कवर करने वाली दो सौ से अधिक आवश्यकताएं¹।

वह चेकआउट फॉर्म जो एक AI ने आपके लिए एक दोपहर में लिखा था? यदि यह कार्ड नंबर स्वीकार करता है, तो आपका वेब सर्वर, आपका डेटाबेस, आपका एडमिन लैपटॉप और आपकी दुकान का वाई-फाई सभी इस दायरे में आने के हकदार हैं। और वैसे भी आप चुपचाप संक्षिप्त प्रश्नावली दाखिल नहीं कर सकते। ऐसे स्तर को चुनना जिसके लिए आप पात्र नहीं हैं, आपके जोखिम को कम नहीं करता है; इसका मतलब है कि आपके द्वारा हस्ताक्षरित दस्तावेज़ गलत है, जो आमतौर पर सबसे खराब समय पर सामने आता है, ठीक किसी डेटा ब्रीच के बाद।

इसे गलत करने पर वास्तव में क्या लागत आती है?

लागू करना संविदात्मक होता है, इसलिए यह आमतौर पर आपके प्रोसेसिंग स्टेटमेंट पर दिखाई देता है। कई प्रोसेसर आपके सत्यापित करने तक हर महीने एक आवर्ती गैर-अनुपालन शुल्क बिल करते हैं। डेटा ब्रीच के बाद, लागतें बढ़ती जाती हैं: एक अनिवार्य फोरेंसिक जांच जिसके लिए आप भुगतान करते हैं, कार्ड फिर से जारी करने की लागत, और आपके एक्वायरर के माध्यम से मिलने वाले बढ़ते जुर्माने, जो आमतौर पर प्रति माह US$5,000 से US$100,000 की सीमा में बताए जाते हैं (PCI अनुपालन निर्धारकों द्वारा प्रकाशित जुर्माना शेड्यूल के आधार पर)। गंभीर मामलों में, कोई व्यवसाय कार्ड स्वीकार करने की क्षमता पूरी तरह से खो सकता है।

एक छोटे मर्चेंट के लिए, सबसे भारी लागत किसी भी जुर्माने की तुलना में अधिक शांत होती है: एक वास्तविक सुरक्षा कार्यक्रम चलाने में वह समय लगता है जिसे आपने व्यवसाय चलाने में खर्च करने की योजना बनाई थी।

आप कार्ड-डेटा के दायरे को लिए बिना कस्टम टूल कैसे बना सकते हैं?

अपने कोड को कार्ड के पथ से बाहर रखें। आपके कस्टम टूल को बिक्री का संचालन करना चाहिए: कार्ट बनाना, छूट लागू करना, ऑर्डर का कुल योग करना और चार्ज की जाने वाली राशि भेजना। कार्ड को केवल एक प्रमाणित टर्मिनल (कार्ड को संभालने के लिए सत्यापित भुगतान हार्डवेयर) या आपके प्रदाता के होस्ट किए गए भुगतान पृष्ठ से ही मिलना चाहिए, जिनमें से कोई भी इसे सीधे भुगतान प्रोसेसर को भेज देता है। आपके टूल को वापस एक परिणाम मिलता है, स्वीकृत या अस्वीकृत, साथ ही एक टोकन (एक संदर्भ संख्या जो इसे चुराने वाले किसी भी व्यक्ति के लिए बेकार है)।

यह विभाजन हेडलेस POS आर्किटेक्चर के पक्ष में पूरा तर्क है: ऊपर कस्टम स्क्रीन, नीचे प्रमाणित भुगतान बुनियादी ढांचा। यही कारण है कि AI-जनरेटेड चेकआउट का डेमो तो बहुत सुंदर दिखता है लेकिन वे प्रोडक्शन में अटक जाते हैं, और यही कारण है कि Interac जैसे कार्ड-प्रेजेंट डेबिट के लिए वेब फॉर्म गलत उत्तर है: व्यक्तिगत रूप से किए जाने वाले भुगतान प्रमाणित हार्डवेयर पर होने चाहिए, तकनीकी और संविदात्मक दोनों रूपों में।

Final को इसी सटीक सीमा के इर्द-गिर्द बनाया गया है। आपके द्वारा बनाए जाने वाले फ्लो, चाहे आप उन्हें स्वयं प्रॉम्प्ट करें या MCP पर अपने स्वयं के AI को कनेक्ट करें, स्क्रीन, कार्ट और कैटलॉग को नियंत्रित करते हैं। कार्ड डेटा प्रमाणित टर्मिनल हार्डवेयर से Final Pay के माध्यम से भुगतान प्रोसेसर के पास जाता है, और यह आपके द्वारा बनाए गए फ्लो में कभी प्रवेश नहीं करता है। जहाँ कस्टम सुरक्षित है वहाँ कस्टम, जहाँ दायित्व है वहाँ मानकीकृत।

तो, अनुपालन जोखिम की जिम्मेदारी किसकी है?

आपकी है, और हमेशा रहेगी। वास्तविक निर्णय यह है कि आप कितना दायरा लेते हैं, और यह एक आर्किटेक्चर का विकल्प है, न कि कागजी कार्रवाई का। भुगतान से जुड़े किसी टूल को लॉन्च करने से पहले, एक प्रश्न पूछें: क्या मेरा कोड कभी कार्ड नंबर देख सकता है? यदि हाँ, तो अनुपालन कार्यक्रम को चलाने की जिम्मेदारी आपकी है। यदि नहीं, तो आप बहुत कम बोझ के साथ कस्टम बिल्ड का लचीलापन बनाए रख सकते हैं। यदि आप अभी इस तरह के बिल्ड पर विचार कर रहे हैं, तो उन संकेतों से शुरुआत करें कि आप अपने ऑफ-द-शेल्फ POS से आगे निकल चुके हैं।