اگر آپ ادائیگیوں سے منسلک اپنا ٹول خود بناتے ہیں، تو تعمیل کے خطرے کا ذمہ دار کون ہے؟
آپ کے پیمنٹ پرووائیڈر کا PCI بیج آپ کو منتقل نہیں ہوتا۔ یہاں بتایا گیا ہے کہ جب کوئی خود ساختہ ٹول ادائیگیوں سے منسلک ہوتا ہے تو تعمیل کے خطرے کا اصل ذمہ دار کون ہوتا ہے، اور وہ آرکیٹیکچر جو کسٹم بلڈز کو اس دائرہ کار سے باہر رکھتا ہے۔
آپ ہیں۔ نہ تو وہ AI جس نے کوڈ تیار کیا، نہ آپ کا ہوسٹنگ فراہم کنندہ، اور نہ ہی آپ کا پیمنٹ پرووائیڈر۔ جس لمحے آپ کا بنایا ہوا ٹول ادائیگیوں سے منسلک ہوتا ہے، تعمیل کا خطرہ آپ کے کاروبار پر عائد ہوتا ہے، اور یہ وہیں رہتا ہے چاہے آپ کتنے ہی تعمیل کرنے والے وینڈرز کو شامل کر لیں۔ آپ جو چیز تبدیل کر سکتے ہیں وہ اس خطرے کا سائز ہے، اور ایک اچھی طرح سے ڈیزائن کیے گئے کسٹم ٹول اور لاپرواہی سے بنائے گئے ٹول کے درمیان فرق بہت بڑا ہے۔
خطرہ آپ پر کیوں عائد ہوتا ہے نہ کہ آپ کے وینڈرز پر؟
کارڈ کی قبولیت معاہدوں کے ایک سلسلے پر چلتی ہے۔ کارڈ نیٹ ورکس قوانین طے کرتے ہیں، آپ کا ایکوائرر (وہ بینک جو آپ کے لیے کارڈ کی فروخت کا تصفیہ کرتا ہے) ان کا نفاذ کرتا ہے، اور آپ کا مرچنٹ معاہدہ انہیں آپ تک منتقل کرتا ہے۔ قانون کی کتاب PCI DSS ہے، جو کارڈ انڈسٹری کا ڈیٹا سیکیورٹی اسٹینڈرڈ ہے، اور یہ ہر اس کاروبار پر لاگو ہوتا ہے جو کارڈ ہولڈر کا ڈیٹا (کارڈ نمبر اور ان کے ساتھ سفر کرنے والی تفصیلات) اسٹور، پروسیس یا منتقل کرتا ہے۔ موجودہ ورژن 4.0.1 ہے۔ (ورژن نمبر اور پروگرام کی تفصیلات اشاعت کے وقت تک درست ہیں؛ ان تفصیلات کو عارضی معلومات کے طور پر لیں۔)
آپ کے وینڈرز اپنے سسٹمز کے لیے ذمہ داریاں اٹھاتے ہیں، اور ایک تعمیل کرنے والا پیمنٹ پرووائیڈر آپ کے کام کے حصے کو ڈرامائی طور پر کم کر دیتا ہے۔ لیکن وینڈر کا کوئی بھی عمل ذمہ داری کو منتقل نہیں کرتا۔ PCI سیکیورٹی اسٹینڈرڈز کونسل واضح طور پر کہتی ہے کہ آیا آپ کو تعمیل کی توثیق کرنی ہے یا نہیں، اس کا فیصلہ پیمنٹ برانڈز اور آپ کا ایکوائرر کرتے ہیں، اور ان کا جواب، جو آپ کے مرچنٹ معاہدے میں لکھا ہے، ہاں ہے۔ ہر سال، آپ کے کاروبار میں کوئی شخص ایک تصدیق نامے پر دستخط کرتا ہے جس میں یہ بیان کیا جاتا ہے کہ آپ کا ماحول معیار پر پورا اترتا ہے۔ وہ دستخط آپ کے ہیں، آپ کے وینڈر کے نہیں۔
جس لمحے آپ کا اپنا کوڈ کارڈ ڈیٹا سے منسلک ہوتا ہے تو کیا تبدیل ہوتا ہے؟
دائرہ کار (Scope)۔ تعمیل کی کوشش کی قیمت دائرہ کار کے لحاظ سے طے ہوتی ہے: ہر وہ سسٹم جو کارڈ ہولڈر کے ڈیٹا کو چھوتا ہے، اور اس کے ساتھ منسلک ہر چیز، اس معیار کے تحت آتی ہے۔
ایک مرچنٹ جس کی ادائیگیاں مکمل طور پر ایک تعمیل کرنے والے پرووائیڈر اور اس کے تصدیق شدہ آلات کے ذریعے سنبھالی جاتی ہیں، وہ ایک مختصر خود تشخیصی سوالنامے (ایک سالانہ چیک لسٹ) کے ذریعے توثیق کرتا ہے، جس میں چند درجن سوالات ہوتے ہیں۔ ایک مرچنٹ جس کا اپنا سافٹ ویئر کارڈ نمبرز کو سنبھالتا ہے وہ سب سے گہرے درجے میں آتا ہے، جو کہ زیادہ تر مکمل معیار کی عکاسی کرتا ہے: دو سو سے زیادہ ضروریات جن میں سہ ماہی کمزوریوں کے اسکین (vulnerability scans)، پینیٹریشن ٹیسٹنگ، ایکسیس کنٹرولز، لاگنگ، اور باضابطہ سیکیورٹی پالیسیاں شامل ہیں¹۔
وہ چیک آؤٹ فارم جو ایک AI نے آپ کے لیے ایک دوپہر میں لکھا تھا؟ اگر یہ کارڈ نمبرز قبول کرتا ہے، تو آپ کا ویب سرور، آپ کا ڈیٹا بیس، آپ کا ایڈمن لیپ ٹاپ، اور آپ کی دکان کا Wi-Fi سبھی اس دائرہ کار کے امیدوار بن جاتے ہیں۔ اور آپ ویسے بھی خاموشی سے مختصر سوالنامہ جمع نہیں کروا سکتے۔ ایسے درجے کا انتخاب کرنا جس کے آپ اہل نہیں ہیں آپ کے خطرے کو کم نہیں کرتا؛ اس کا مطلب ہے کہ آپ نے جس دستاویز پر دستخط کیے ہیں وہ غلط ہے، جو عام طور پر بدترین ممکنہ لمحے پر، یعنی سیکیورٹی کی خلاف ورزی (breach) کے فوراً بعد سامنے آتی ہے۔
اسے غلط کرنے کی اصل قیمت کیا ہے؟
نفاذ معاہدے کے تحت ہوتا ہے، اس لیے یہ عام طور پر آپ کے پروسیسنگ اسٹیٹمنٹ پر ظاہر ہوتا ہے۔ بہت سے پروسیسرز ہر ماہ ایک بار بار آنے والی عدم تعمیل کی فیس (non-compliance fee) بل کرتے ہیں جب تک کہ آپ توثیق نہ کر لیں۔ خلاف ورزی کے بعد، اخراجات بڑھتے چلے جاتے ہیں: ایک لازمی فرانزک تحقیقات جس کی ادائیگی آپ کرتے ہیں، کارڈ دوبارہ جاری کرنے کے اخراجات، اور آپ کے ایکوائرر کے ذریعے منتقل ہونے والے بڑھتے ہوئے جرمانے، جو عام طور پر 5,000 سے 100,000 امریکی ڈالر ماہانہ کے درمیان بتائے جاتے ہیں (PCI تعمیل کے جائزہ کاروں کی طرف سے شائع کردہ جرمانوں کے شیڈول کی بنیاد پر)۔ سنگین معاملات میں، ایک کاروبار کارڈ قبول کرنے کی صلاحیت سے مکمل طور پر محروم ہو سکتا ہے۔
ایک چھوٹے مرچنٹ کے لیے، سب سے بھاری قیمت کسی بھی جرمانے سے زیادہ خاموش ہوتی ہے: ایک حقیقی سیکیورٹی پروگرام چلانے میں وہ وقت لگتا ہے جو آپ نے کاروبار چلانے کے لیے مختص کیا تھا۔
آپ کارڈ ڈیٹا کے دائرہ کار کو اپنے سر لیے بغیر کسٹم ٹولز کیسے بنا سکتے ہیں؟
اپنے کوڈ کو کارڈ کے راستے سے باہر رکھیں۔ آپ کے کسٹم ٹول کو فروخت کو منظم کرنا چاہیے: کارٹ بنانا، ڈسکاؤنٹس لاگو کرنا، آرڈر کا کل حساب لگانا، اور چارج کی جانے والی رقم بھیجنا۔ کارڈ خود صرف ایک تصدیق شدہ ٹرمینل (کارڈز کو سنبھالنے کے لیے تصدیق شدہ پیمنٹ ہارڈ ویئر) یا آپ کے پرووائیڈر کے ہوسٹڈ پیمنٹ پیج سے ملنا چاہیے، جن میں سے کوئی بھی اسے براہ راست پیمنٹ پروسیسر (وہ کمپنی جو رقم منتقل کرتی ہے) کو بھیج دیتا ہے۔ آپ کے ٹول کو ایک نتیجہ واپس ملتا ہے، منظور شدہ یا مسترد شدہ، اور ساتھ ہی ایک ٹوکن (ایک حوالہ نمبر جو اسے چرانے والے کے لیے بیکار ہوتا ہے)۔
یہ تقسیم headless POS architecture کے حق میں پوری دلیل ہے: اوپر کسٹم اسکرینز، نیچے تصدیق شدہ پیمنٹ انفراسٹرکچر۔ یہی وجہ ہے کہ AI سے تیار کردہ چیک آؤٹس کا ڈیمو تو خوبصورت لگتا ہے لیکن پروڈکشن میں رک جاتا ہے، اور کیوں ایک ویب فارم Interac جیسے کارڈ پریزنٹ ڈیبٹ کے لیے غلط جواب ہے: ذاتی طور پر کی جانے والی ادائیگیاں تکنیکی اور معاہدے کے لحاظ سے تصدیق شدہ ہارڈ ویئر پر ہونی چاہئیں۔
Final بالکل اسی حد کے گرد بنایا گیا ہے۔ جو فلوز (flows) آپ بناتے ہیں، چاہے آپ انہیں خود پرامپٹ کریں یا MCP پر اپنا AI منسلک کریں، وہ اسکرینز، کارٹس اور کیٹلاگز کو کنٹرول کرتے ہیں۔ کارڈ کا ڈیٹا تصدیق شدہ ٹرمینل ہارڈ ویئر سے Final Pay کے ذریعے پیمنٹ پروسیسر تک جاتا ہے، اور یہ کبھی بھی آپ کے بنائے ہوئے فلو میں داخل نہیں ہوتا ہے۔ جہاں کسٹم محفوظ ہو وہاں کسٹم، جہاں ذمہ داری ہو وہاں معیاری۔
تو، تعمیل کے خطرے کا ذمہ دار کون ہے؟
آپ ہیں، اور ہمیشہ رہیں گے۔ اصل فیصلہ یہ ہے کہ آپ کتنا دائرہ کار اپنے سر لیتے ہیں، اور یہ ایک آرکیٹیکچر کا انتخاب ہے، نہ کہ کاغذی کام کا انتخاب۔ اس سے پہلے کہ آپ ادائیگیوں سے منسلک کوئی ٹول لانچ کریں، ایک سوال پوچھیں: کیا میرا کوڈ کبھی کارڈ نمبر دیکھ سکتا ہے؟ اگر ہاں، تو تعمیل کا پروگرام چلانا آپ کی ذمہ داری ہے۔ اگر نہیں، تو آپ بوجھ کے ایک معمولی حصے کے ساتھ کسٹم بلڈ کی لچک کو برقرار رکھتے ہیں۔ اگر آپ ابھی اس قسم کے بلڈ پر غور کر رہے ہیں، تو ان علامات جو ظاہر کرتی ہیں کہ آپ اپنے ریڈی میڈ POS سے آگے بڑھ چکے ہیں سے شروع کریں۔
اکثر پوچھے جانے والے سوالات
کیا PCI کے مطابق ادائیگی فراہم کرنے والے (payment provider) کو استعمال کرنے سے میرا کاروبار بھی تعمیل کے قابل ہو جاتا ہے؟
نہیں۔ تعمیل کرنے والا فراہم کنندہ آپ کے کام کو کم تو کر دیتا ہے، لیکن آپ کے کاروبار کو اب بھی اپنے مرچنٹ معاہدے کے ذریعے ہر سال اپنی تعمیل کی تصدیق کرنی ہوتی ہے۔ ذمہ داری کبھی بھی وینڈر کو منتقل نہیں ہوتی۔
SAQ A اور SAQ D میں کیا فرق ہے؟
یہ دونوں PCI DSS کے تحت سیلف اسیسمنٹ سوالنامے (self-assessment questionnaires) ہیں۔ سب سے مختصر درجات تب لاگو ہوتے ہیں جب ادائیگیاں مکمل طور پر کسی تعمیل کرنے والے فراہم کنندہ اور تصدیق شدہ ہارڈویئر کے سپرد کی جائیں۔ SAQ D تب لاگو ہوتا ہے جب آپ کے اپنے سسٹمز کارڈ ہولڈر کا ڈیٹا سنبھالتے ہیں اور یہ مکمل معیار کے زیادہ تر حصوں کی عکاسی کرتا ہے، بشمول اسکینز، ٹیسٹنگ، اور باقاعدہ پالیسیاں۔
کیا AI کا تیار کردہ کوڈ میری PCI کی ذمہ داریوں کو تبدیل کرتا ہے؟
نہیں۔ اس معیار کا تعلق اس بات سے ہے کہ کون سے سسٹمز کارڈ ہولڈر کے ڈیٹا کو چھوتے ہیں، نہ کہ اس سے کہ کوڈ کس نے یا کس چیز نے لکھا ہے۔ ایک AI کا تیار کردہ چیک آؤٹ جو کارڈ نمبرز قبول کرتا ہے، آپ کے سسٹمز کو مکمل طور پر اس کے دائرہ کار میں لے آتا ہے، بالکل اسی طرح جیسے ہاتھ سے لکھا ہوا کوڈ لاتا ہے۔
کیا چھوٹے کاروباروں کو واقعی PCI کی عدم تعمیل پر جرمانہ کیا جا سکتا ہے؟
جی ہاں، اگرچہ یہ عام طور پر کسی بڑی سرخی والے جرمانے کے بجائے آپ کے پیمنٹ پروسیسر کی طرف سے ماہانہ عدم تعمیل کی فیس کی صورت میں آتا ہے۔ بڑے جرمانے عام طور پر ڈیٹا کی خلاف ورزی کے بعد ہوتے ہیں، جس کے ساتھ فرانزک تحقیقات اور کارڈ دوبارہ جاری کرنے کے اخراجات بھی شامل ہوتے ہیں۔
ٹوکنائزیشن کیا ہے؟
کارڈ نمبر کو ایک ریفرنس ٹوکن سے تبدیل کرنا جو اسے جاری کرنے والے پیمنٹ سسٹم کے باہر بے کار ہوتا ہے۔ آپ کے ٹولز کارڈ کا اصل ڈیٹا محفوظ کیے بغیر، ریفنڈز یا بار بار کی بلنگ کے لیے ٹوکن کو محفوظ اور استعمال کر سکتے ہیں۔