PCI DSS

ما هو PCI DSS؟

PCI DSS هو اختصار لـ Payment Card Industry Data Security Standard، وهو معيار أمني عالمي طُوّرته مجلس معايير أمان صناعة بطاقات الدفع (PCI SSC) — وهو تحالف يضم Visa وMastercard وAmerican Express وDiscover وJCB. الهدف منه واضح: حماية بيانات حامل البطاقة (Cardholder Data) من السرقة أو الاختراق في أي نقطة تمرّ منها معلومة الدفع.

في عالم التجارة الإلكترونية المباشرة (DTC)، هذا المعيار ليس "خيارًا تسويقيًا" بل شرط تشغيلي. أي متجر يقبض بالبطاقات — حتى لو كان متجرًا صغيرًا على Shopify أو Salla أو Zid — يمرّ عبر بنية دفع تخضع لـ PCI DSS، وإلا يفقد حقّه في معالجة البطاقات.

تشبيه مبسّط

تخيّل أن متجرك الإلكتروني مطعم. الزبون يسلّمك بطاقته لتدفع. لو تركت البطاقة على الطاولة، أو صوّرتها، أو كتبت رقمها في دفتر — أنت تعرّض الزبون للخطر. PCI DSS هو "دفتر قواعد النظافة" الذي يفرض عليك:

- عدم تخزين رقم البطاقة الكامل (PAN) إلا مشفّرًا.

- عدم الاحتفاظ بـ CVV مطلقًا بعد إتمام العملية.

- تأمين الشبكة، السيرفرات، ولوحات التحكم.

- مراقبة الوصول وتوثيق كل شيء.

باختصار: PCI DSS لا يمنعك من قبول البطاقات، بل يفرض كيف تتعامل معها.

المعادلة الأساسية

مخاطر الامتثال = (حجم المعاملات × حساسية البيانات) ÷ مستوى الحماية

كلما زاد حجم معاملاتك، ارتفع مستوى التدقيق المطلوب منك (SAQ A → SAQ D). وكلما قلّت البيانات التي تلمسها فعليًا، انخفضت مسؤوليتك.

3 أرقام يجب أن تعرفها:

1. 12 متطلبًا رئيسيًا يتكوّن منها PCI DSS v4.0، موزّعة على 6 أهداف أمنية.

2. غرامات تبدأ من 5,000 دولار وتصل إلى 100,000 دولار شهريًا لكل جهة مُصدِرة (Acquirer) عند عدم الامتثال — تُمرَّر غالبًا إلى التاجر.

3. أكثر من 60% من المتاجر الصغيرة تعتمد على مزوّد دفع مُتوافق (Compliant Provider) لنقل عبء الامتثال عنها.

مقارنة مستويات الامتثال (SAQ)

القاعدة الذهبية في DTC: كلما قلّت بيانات البطاقة التي "تلمسها" بنفسك، انخفض تصنيفك، وقلّت تكلفتك وزمن التدقيق.

تطبيقات عملية في متجر DTC

1. اختيار بوابة الدفع

استخدم بوابات مستضافة بالكامل مثل Stripe، Checkout.com، أو Tap Payments في الخليج. الصفحة تُستضاف عندهم، والبيانات لا تمرّ عبر سيرفرك → تصنيفك غالبًا SAQ A.

2. صفحات الدفع المخصّصة

لو بنيت صفحة دفع خاصة بك (Custom Checkout) وتستخدم JavaScript لتوجيه البيانات، أنت في SAQ A-EP — وهذا يعني التزامات أمنية أكبر بكثير.

3. الاشتراكات والدفع المتكرر

تخزين البطاقة للاشتراكات يستلزم Tokenization. أنت لا تحفظ الرقم، بل "رمز" (Token) يستبدله مزوّد الدفع. هذا يحفظك داخل نطاق PCI.

4. السوق العربي

في السعودية والإمارات، جهات مثل Mada وSAMA وCBUAE تفرض التزامًا إضافيًا محليًا فوق PCI DSS، خصوصًا لمتاجر التجزئة التي تعمل بنموذج COD + بطاقة مختلط.

أخطاء شائعة

1. "أنا صغير، لا يهمّني PCI" — خطأ. حتى متجر بـ 10 طلبات يوميًا قد يُخترق، والغرامة لا تفرّق بين كبير وصغير.

2. تخزين CVV "للرجوع إليه" — محرّم تمامًا. لا يوجد أي مبرر تجاري يسمح بحفظ CVV بعد العملية.

3. الاعتقاد أن Shopify/Salla تجعلك متوافقًا تلقائيًا — صحيح جزئيًا فقط. المنصة متوافقة، لكن أنت مسؤول عن إعدادات متجرك (كلمات المرور، الإضافات، صلاحيات الموظفين).

4. إهمال الإضافات (Plugins) — كل إضافة تلمس صفحة الدفع تُوسّع نطاق الامتثال (Scope) عليك.

5. عدم تحديث الشهادات سنويًا — الامتثال ليس حدثًا لمرة واحدة، بل دورة سنوية من التقييم والتوثيق.

6. الخلط بين PCI DSS و3D Secure — الأول معيار أمني للبيانات، والثاني طبقة تحقّق من هوية حامل البطاقة. مكمّلان لا بديلان.

مصطلحات ذات صلة

- Cardholder Data (CHD): رقم البطاقة + الاسم + تاريخ الانتهاء.

- Sensitive Authentication Data (SAD): CVV، بيانات الشريط المغناطيسي — لا تُخزَّن أبدًا.

- Tokenization: استبدال رقم البطاقة برمز آمن.

- SAQ (Self-Assessment Questionnaire): استبيان التقييم الذاتي.

- ASV Scan: فحص ربع سنوي للشبكة من جهة معتمدة.

- 3D Secure (3DS): طبقة تحقّق إضافية تقلل الاحتيال وتخفّف عبء PCI.

- PSP (Payment Service Provider): مزوّد خدمة الدفع الذي يحمل جزءًا كبيرًا من الامتثال عنك.

الخلاصة

PCI DSS ليس عبئًا تقنيًا فقط، بل ميزة تنافسية. المتجر المتوافق يبني ثقة أعلى، يقلّل معدل الرفض (Chargebacks)، ويتفادى إيقاف حسابه من قِبل مزوّد الدفع. في DTC العربي، أفضل استراتيجية هي: قلّل ما تلمسه، اعتمد على مزوّد موثوق، ووثّق كل شيء. بهذه الطريقة تبقى في نطاق SAQ A وتنام مرتاحًا.