Glossario
SAQ (questionario di autovalutazione)
In breve
Il SAQ PCI DSS è lo strumento di convalida con cui esercenti e fornitori di servizi idonei eseguono e documentano la propria autovalutazione PCI DSS. Esistono diverse versioni, adatte ai vari scenari di pagamento.
Il Self-Assessment Questionnaire è uno strumento di convalida per riportare i risultati di un'autovalutazione PCI DSS. È destinato agli esercenti e ai fornitori di servizi idonei al SAQ, cioè a quelli a cui un acquirer o un circuito di pagamento non richiede di presentare un Report on Compliance completo 1. L'idoneità dipende dai programmi di conformità dei circuiti di pagamento e dai criteri indicati nel SAQ scelto 1.
Esistono diversi tipi di SAQ, ciascuno associato a un determinato ambiente di pagamento. Il SAQ A, ad esempio, riguarda gli esercenti che operano in modalità card-not-present e affidano integralmente a terze parti conformi le funzioni relative ai dati dell'account, mentre il SAQ B riguarda le macchine a impronta e i terminali stand-alone con connessione dial-out 8. Il SAQ D è destinato agli esercenti idonei che non rientrano in nessun altro tipo 3. I fornitori di servizi autorizzati all'autovalutazione utilizzano esclusivamente il SAQ D per Service Providers 8.
Nella pratica, un'agenzia dovrebbe:
- Confrontare il proprio ambiente di pagamento con i criteri di idoneità del SAQ e verificare di soddisfarli tutti prima di iniziare 12.
- Non dare per scontato che un SAQ resti invariato tra PCI DSS v3.2.1 e v4.x, e leggere per intero la versione in vigore 2.
- Verificare con il proprio acquirer o con i circuiti di pagamento se possa utilizzare un SAQ e se abbiano istruzioni specifiche 18.
Il SAQ applicabile dipende dalle modalità effettive con cui l'agenzia gestisce le carte e da quanto richiesto dall'acquirer o dal circuito di pagamento, non da una preferenza 2.
Fonti
- 1PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), pagina 6
- 2PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), 3. For each requirement that was met with a compensating control, respond to that requ..., pagina 10
- 3PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), P2PE solutions on the PCI list of Point-to-Point Solutions with Expired Validations are..., pagina 27
- 8PCI DSS Self-Assessment Questionnaire Instructions and Guidelines, Version 4.0.1 Revision 1 (April 2025), 3. For each requirement that was met with a compensating control, respond to that requ..., pagina 8
Per approfondire
- Come possiamo aiutarla: SAQ PCI DSS
Le definizioni sono scritte solo a partire dai documenti di riferimento di IATA e del BSP, e ogni regola cita il passaggio su cui si basa. Le regole possono variare per mercato e compagnia aerea: verifichi le procedure locali del suo BSP prima di agire. Wisepassenger è indipendente e non è affiliata a IATA.
