वयस्क क्लासीफाइड्स साइट के लिए PCI DSS: असल में यह तय कौन करता है कि आपको कितना अनुपालन कार्य उठाना पड़ेगा

किसी पेमेंट प्रोसेसर से वयस्क क्लासीफाइड्स साइट को स्वीकार करवाना अपने आप में एक लड़ाई है, और एक बार यह लड़ाई जीत लेने के बाद, लगभग हर ऑपरेटर मान लेता है कि सबसे मुश्किल हिस्सा खत्म हो गया। ऐसा नहीं है। जो खाता आखिरकार हां कहता है, उसके साथ एक स्थायी दायित्व जुड़ा होता है, जिसका उम्र सत्यापन, मॉडरेशन, या किसी राज्य या सर्च इंजन द्वारा लगाए गए किसी भी नियम से कोई लेना-देना नहीं है। यह एक सुरक्षा मानक है जिसे खुद कार्ड नेटवर्कों ने लिखा है, और यह उसी पल से लागू हो जाता है जब कोई कार्ड नंबर आपके कारोबार के किसी भी हिस्से को छूता है, चाहे वह कारोबार कितना भी छोटा हो।

आगे जो लिखा है वह कानूनी सलाह नहीं है, और जो कोई भी वाकई असली कार्डधारक डेटा से निपटता है, उसे अपना मामला किसी Qualified Security Assessor से जरूर जंचवाना चाहिए। यह उस फैसले की शक्ल है जिसे लगभग कोई भी ऑपरेटर यह जानते हुए नहीं लेता कि वह फैसला ले रहा है, क्योंकि यह फैसला आम तौर पर वह डेवलपर लेता है जो एक बेहतर दिखने वाला चेकआउट पेज बनाना चाहता है, और यह सवाल कंपनी के कारोबारी पक्ष तक पहुंचने से बहुत पहले तय हो चुका होता है।

वह नियम जिस पर आपने पढ़े बिना दस्तखत कर दिए

PCI DSS, यानी पेमेंट कार्ड इंडस्ट्री डेटा सिक्योरिटी स्टैंडर्ड, कोई सरकारी कानून नहीं है और इसे लागू करवाने वाली कोई राज्य एजेंसी नहीं है। यह वह अनुबंधित दायित्व है जो हर व्यापारी उस समझौते में लिखा हुआ पाता है जो वह किसी एक्वायरिंग बैंक या पेमेंट फैसिलिटेटर के साथ करता है, और यह इसलिए मौजूद है क्योंकि वीज़ा, मास्टरकार्ड और बाकी नेटवर्क अपने एक्वायरर्स से यह मांग करते हैं कि वे इसे हर उस कारोबार तक पहुंचाएं जो कार्ड नंबर को स्टोर, प्रोसेस या ट्रांसमिट करता है। यह मानक जिस संस्था के अधीन है, वह खुद स्पष्ट कहती है: यह किसी भी उस इकाई पर लागू होता है जो कार्डधारक डेटा से निपटती है, चाहे सीधे या किसी तीसरे पक्ष के जरिए, और आकार या लेनदेन की मात्रा के आधार पर कोई छूट नहीं है।

यह उस सवाल से अलग है जो कोई पेमेंट प्रोसेसर आपका खाता खोलने के लिए राज़ी होने से पहले पूछता है। कोई प्रोसेसर आपके साथ काम करने के लिए राज़ी होने से पहले क्या जानना चाहता है, यह सवाल खुद कारोबार से जुड़ा होता है: इसका मालिक कौन है, विज्ञापनों की समीक्षा कैसे होती है, विज्ञापनदाताओं की पहचान कैसे सत्यापित होती है। PCI DSS उस खाते के बन जाने के बाद शुरू होता है, और असल में कभी खत्म नहीं होता। जब तक कारोबार कार्ड स्वीकार करता रहता है, यह हर साल नवीनीकृत होता रहता है, और जब भी कार्ड स्वीकार करने का तरीका बदलता है, इसका रूप भी बदल जाता है।

लेनदेन की मात्रा मायने जरूर रखती है, बस उस तरह से नहीं जैसा आमतौर पर सोचा जाता है। यह व्यापारी का एक "स्तर" तय करती है, एक से चार तक, और यह स्तर तय करता है कि अनुपालन की पुष्टि कैसे होगी: एक छोटा ऑपरेटर एक स्व-मूल्यांकन प्रश्नावली भरता है, जबकि जो कारोबार हर साल लाखों लेनदेन प्रोसेस करता है उसे बाहरी ऑडिटर की जरूरत पड़ती है। लेनदेन की मात्रा जो नहीं करती, वह है किसी को भी छूट देना। हर महीने कुछ सौ लेनदेन प्रोसेस करने वाला एक उच्च-जोखिम व्यापारी भी ठीक उसी अंतर्निहित मानक से बंधा है जिससे कोई बड़ी चेन बंधी है, बस उसकी पुष्टि एक छोटे से फॉर्म से होती है।

वह एकमात्र फैसला जो सालों तक आपका कार्यभार तय करता है

किसी खास कारोबार पर कौन सा फॉर्म लागू होगा, यह मनमर्जी से नहीं चुना जाता। यह पूरी तरह से एक तकनीकी तथ्य से तय होता है: क्या कार्ड नंबर, रास्ते में किसी भी बिंदु पर, ऐसे सिस्टम से होकर गुजरता है जिस पर ऑपरेटर का नियंत्रण है। ग्राहक को प्रोसेसर द्वारा होस्ट किए गए पेमेंट पेज पर भेजना, या उस प्रोसेसर द्वारा दिए गए सही ढंग से अलग किए गए पेमेंट iframe को शामिल करना, इसका मतलब है कि कार्ड नंबर कभी ऑपरेटर के अपने सर्वर को नहीं छूता। इसके उलट, एक ऐसा पेमेंट फॉर्म बनाना जो कार्ड नंबर इकट्ठा करता है और उसे आगे भेजने से पहले, चाहे एक पल के लिए ही सही, ऑपरेटर के अपने बैकएंड पर भेजता है, इसका मतलब है कि वह छूता है।

यह अकेला तथ्य सबसे हल्की प्रश्नावली को सबसे भारी प्रश्नावली से एक बड़े अंतर से अलग कर देता है। पूरी तरह बाहरी रूप से सौंपा गया रास्ता, जिसे SAQ A कहा जाता है, लगभग बीस आवश्यकताओं तक सीमित है। वह रास्ता जहां ऑपरेटर का अपना पेज पेमेंट प्रक्रिया के किसी हिस्से को अंजाम देता है या प्रभावित करता है, भले ही वह सीधे कार्ड नंबर को न छुए, जैसे कि खुद होस्ट किया गया एक फॉर्म जिसके फील्ड्स डेटा को आगे भेज देते हैं, SAQ A-EP में आता है, जो लगभग दो सौ आवश्यकताओं के करीब है। कार्ड डेटा को वाकई अपने सिस्टम पर स्टोर, प्रोसेस या ट्रांसमिट करना SAQ D में आता है, जो मानक के पूरे नियंत्रणों के सेट को कवर करता है: एन्क्रिप्शन, की मैनेजमेंट, नेटवर्क सेगमेंटेशन, एक्सेस लॉगिंग, एक्सेस कंट्रोल, यह सब कुछ, कई सौ बिंदुओं तक फैला हुआ।

एक आम गलतफहमी को यहीं दूर कर देना ठीक रहेगा। किसी अनुपालन-प्राप्त प्रदाता के iframe का इस्तेमाल करने से कोई साइट अपने आप भारी SAQ A-EP स्तर में नहीं गिर जाती: एक सही ढंग से अलग किया गया थर्ड-पार्टी iframe, जिसमें ऑपरेटर का अपना पेज ऐसा कोई कोड नहीं जोड़ता जो पेमेंट फील्ड्स को देख या छू सके, आम तौर पर हल्के SAQ A रास्ते के लिए योग्य बना रहता है। किसी कारोबार को एक स्तर ऊपर जो चीज ले जाती है, वह है ऑपरेटर का अपना कोड उस पेज तक पहुंचना, चाहे वह खुद बनाया गया फॉर्म हो, पेमेंट को "बेहतर" बनाने के लिए जोड़ी गई कोई स्क्रिप्ट हो, या पुराने ढंग का कोई एकीकरण जिसमें ब्राउज़र कार्ड डेटा को उस कोड के जरिए भेजता है जिसे प्रोसेसर ने नहीं बल्कि ऑपरेटर ने खुद लिखा है।

हल्का रास्ता आज भी क्या मांगता है, पिछले साल से

एक ऐसी धारणा को ठीक करना जरूरी है जो पहले सच थी और अब नहीं है। जिन ऑपरेटरों ने बाहरी रूप से सौंपा गया रास्ता चुना, उन्होंने सही तरीके से यह सीखा कि इससे वे मानक के ज्यादातर तकनीकी बोझ से बाहर रहते हैं, और कुछ लोग अब भी मानते हैं कि इसका मतलब है कोई भी नियमित सुरक्षा जांच नहीं। PCI DSS वर्ज़न 4.0.1 से, जो अप्रैल 2025 से लागू है, अब यह सच नहीं रहा। SAQ A में अब एक Approved Scanning Vendor द्वारा तिमाही बाहरी भेद्यता स्कैन की आवश्यकता शामिल है, जो ऑपरेटर की अपनी वेबसाइट के खिलाफ चलाई जाती है, यानी वह साइट जो रीडायरेक्ट या iframe को होस्ट करती है, भले ही उस साइट ने खुद कभी कोई कार्ड नंबर न देखा हो।

इस बदलाव के पीछे की तर्कसंगति एक बार कह देने पर सीधी लगती है: जो पेज ग्राहक को पेमेंट प्रोसेसर की ओर भेजता है, वह अब भी हमले की सतह का हिस्सा है। एक समझौता किया गया पेमेंट पेज ग्राहक को असली पेमेंट प्रोसेसर से अलग किसी जगह भेज सकता है, या ऐसी दुर्भावनापूर्ण स्क्रिप्ट लोड कर सकता है जो iframe के लोड होने से पहले ही ब्राउज़र से सीधे कार्ड डेटा पढ़ ले, यह हमले का एक ऐसा तरीका है जो असली व्यापारियों को पहले ही चोट पहुंचा चुका है। इसी तर्क से दो जुड़ी हुई आवश्यकताएं निकलती हैं: ऑपरेटर को पेमेंट पेज पर चलने वाली हर स्क्रिप्ट की एक सूची रखनी होगी, और उस पेज की सामग्री में किसी भी अनधिकृत बदलाव का पता लगाना होगा, ये दायित्व SAQ A में इसलिए लागू होते हैं क्योंकि पेमेंट पेज ऑपरेटर का अपना है, भले ही कार्ड नंबर कभी उसका न रहा हो।

हल्का रास्ता आज भी जिससे बचता है, और यही वह अंतर है जो असल में मायने रखता है, वह है SAQ A-EP और SAQ D द्वारा मांगा गया सालाना पेनेट्रेशन टेस्ट, साथ ही वे गहरे आंतरिक नियंत्रण जो ये स्तर मांगते हैं: स्टोर किए गए कार्ड डेटा को एन्क्रिप्ट करना, उसे सुरक्षित रखने वाली की का प्रबंधन करना, उसे छूने वाले किसी भी सिस्टम के इर्द-गिर्द नेटवर्क को खंडित करना, और हर एक्सेस को विस्तार से लॉग करना। बाहरी रूप से सौंपा गया रास्ता चुनने का मतलब कोई सुरक्षा कार्य न होना नहीं है। इसका मतलब है साल में कुछ घंटे स्कैनिंग और स्क्रिप्ट-हाइजीन, बजाय उस डेटा के इर्द-गिर्द बना एक स्थायी सुरक्षा कार्यक्रम चलाने के, जिसे कारोबार अन्यथा खुद स्टोर कर रहा होता।

इसे गलत करने की कीमत क्या है

इसमें से कुछ भी किसी अदालत या नियामक द्वारा लागू नहीं करवाया जाता, और यही एक वजह है कि इसे कम आंकना आसान हो जाता है। कार्ड नेटवर्क एक्वायरिंग बैंक पर जुर्माना लगाते हैं जब उसके पोर्टफोलियो का कोई व्यापारी अनुपालन में नहीं होता, और एक्वायरर वह लागत सीधे अनुबंध के जरिए व्यापारी पर डाल देता है, आम तौर पर मामूली रकम से शुरू होकर, जितनी देर तक गैर-अनुपालन बना रहता है उतनी बढ़ती जाती है। कोई सार्वजनिक तालिका हर एक्वायरर के लिए ये आंकड़े तय नहीं करती, क्योंकि यह व्यवस्था सार्वजनिक नियमों में नहीं बल्कि निजी अनुबंधों के भीतर रहती है, लेकिन दिशा एक जैसी रहती है: जुर्माना समय के साथ बढ़ता है, इस बात से नहीं कि कारोबार देरी की सफाई कितनी अच्छी तरह देता है।

यह महज गैर-अनुपालन में होने की कीमत है। एक असली उल्लंघन, जिसमें स्टोर किए गए कार्ड नंबर उजागर हो जाते हैं क्योंकि कोई ऑपरेटर ऐसा डेटा संभाल रहा था जिससे बचाने के लिए ही SAQ A बनाया गया था, यह बिल्कुल अलग दर्जे का खर्च है। कार्ड नेटवर्क किसी को भी खाता दोबारा खोलने की इजाज़त देने से पहले किसी विशेष कंपनी द्वारा फोरेंसिक जांच की मांग कर सकते हैं, जिसका खर्च नतीजे चाहे जो हो, व्यापारी उठाता है, और प्रभावित कार्ड व्यापारी के खर्च पर दोबारा जारी किए जाते हैं। साइबर लायबिलिटी इंश्योरेंस इस तरह के कारोबार के लिए शायद ही कभी यह कमी पाटता है, क्योंकि वयस्क सामग्री एक से ज्यादा बड़ी बीमा कंपनियों की साइबर पॉलिसी में बाहर रखे गए उद्योगों की सूची में आती है, जिसका मतलब है कि यहां बताया गया जोखिम अक्सर सिर्फ महंगा नहीं बल्कि पूरी तरह बीमा-रहित होता है।

सबसे टिकाऊ नतीजा जुर्माना नहीं है, यहां तक कि जांच भी नहीं। यह एक्वायरर का वह फैसला है, जो एक बार कोई उल्लंघन या लंबे समय तक चला गैर-अनुपालन दर्ज हो जाने के बाद, जोखिम उठाते रहने की बजाय खाता बंद करने का लिया जाता है, और उस बंदी को इस तरह दर्ज किया जाता है कि दूसरे एक्वायरर नया खाता खोलने से पहले उसे देख सकें। एक पेमेंट संबंध जिसे पहली बार बनाने में महीनों लगे थे, उसे इस तरह के इतिहास के साथ दोबारा बनाना काफी मुश्किल हो जाता है।

इस महीने क्या करना है

लिखित रूप में यह पता लगाने से शुरू करें कि आज असल में कौन सी प्रश्नावली लागू होती है। जवाब मान लेने की बजाय सीधे पेमेंट प्रोसेसर से पूछें: पुष्टि करें कि मौजूदा चेकआउट एक रीडायरेक्ट है, एक सही ढंग से अलग किया गया iframe है, या रास्ते में किसी बिंदु पर ऑपरेटर के अपने सर्वर को छूने वाली कोई चीज है, क्योंकि इस सवाल का जवाब ही पूरा अनुपालन कार्यक्रम एक वाक्य में समेटे हुए है। इसे ईमेल में लिखवाएं, फोन कॉल पर नहीं, क्योंकि यही आगे आने वाले हर फैसले का संदर्भ बिंदु है।

कार्ड इकट्ठा करने के तरीके को बदलने की किसी भी मांग को डिज़ाइन का सवाल मानने से पहले अनुपालन का सवाल मानें। एक डेवलपर जो कस्टम चेकआउट फॉर्म बनाना चाहता है क्योंकि होस्ट किया गया पेज सामान्य दिखता है, या जो उसी पेज पर चैट या एनालिटिक्स स्क्रिप्ट जोड़ देता है जो पेमेंट iframe को होस्ट करता है, वह एक PCI फैसला ले रहा होता है, चाहे कोई उसे इस तरह पेश करे या न करे। ऐसे बदलाव को लाइव होने से पहले जांचें, किसी स्कैन के उसे पकड़ने के बाद नहीं।

सालाना प्रमाणन समय पर दाखिल करें और हर तिमाही स्कैन के नतीजे संभाल कर रखें, यहां तक कि वे उबाऊ नतीजे भी जिनमें कुछ नहीं बदलता, क्योंकि किसी एक्वायरर की नजर में एक समाप्त हो चुका प्रमाणन बिल्कुल वैसा ही दिखता है जैसे वह कभी दाखिल ही न किया गया हो। जब मूल ढांचा सही हो, तो इसमें से कुछ भी मुश्किल नहीं है। एक बार होस्ट किए गए पेज या सही ढंग से अलग किए गए iframe के इर्द-गिर्द बनाया गया चेकआउट, इस सबको साल में एक बार दोहराए जाने वाले, एक दोपहर के कागजी काम में बदल देता है। वहीं एक चेकआउट जिसने चुपचाप कार्ड डेटा को छूने की आदत डाल ली है, वही दायित्व एक स्थायी सुरक्षा कार्यक्रम में बदल देता है जिसे कारोबार ने कभी चलाने की योजना ही नहीं बनाई थी।