SAQ vs ROC: Doanh Nghiệp Nào Cần Gì?

SAQ hay ROC, Câu Hỏi Đầu Tiên Mỗi Doanh Nghiệp Phải Trả Lời

Khi bắt đầu hành trình PCI DSS, nhiều doanh nghiệp lúng túng ngay từ bước đầu: mình thuộc nhóm nào, và cần hoàn thành tài liệu gì để chứng minh compliance? Hai khái niệm xuất hiện ngay lập tức là SAQ (Self-Assessment Questionnaire) và ROC (Report on Compliance). Hiểu đúng sự khác biệt này không chỉ giúp tiết kiệm thời gian mà còn tránh tình trạng làm quá nhiều, hoặc thiếu so với yêu cầu thực tế.

Merchant Levels và Service Provider Levels, Nền Tảng Để Phân Loại

Tổ chức xử lý dữ liệu thẻ thanh toán được chia thành hai nhóm chính: merchants (đơn vị chấp nhận thanh toán) và service providers (đơn vị cung cấp dịch vụ liên quan đến dữ liệu thẻ cho bên khác).

Merchant level và service provider level do từng thương hiệu thẻ (Visa, Mastercard…) quy định, không phải PCI SSC, và acquirer (ngân hàng thanh toán) là bên cho bạn biết mình thuộc level nào và phải nộp gì. Visa nêu rằng level dựa trên khối lượng giao dịch trong 12 tháng và acquirer chịu trách nhiệm đảm bảo merchant xác nhận tuân thủ.

Ngưỡng giao dịch cụ thể cho từng level khác nhau giữa các thương hiệu thẻ và có thể thay đổi, nên bài này không nêu con số; hãy hỏi acquirer hoặc đối tác thanh toán của bạn.

Công ty IT xây hoặc vận hành hệ thống thanh toán cho khách hàng thường là service provider; nghĩa vụ cụ thể có ở PCI DSS cho công ty IT outsourcing.

SAQ, Tự Đánh Giá Với Nhiều Biến Thể

SAQ là bộ câu hỏi tự đánh giá mà merchant hoặc service provider tự điền, không cần QSA bên ngoài xác nhận (trừ một số trường hợp). Điểm quan trọng là PCI SSC cung cấp nhiều loại SAQ khác nhau, mỗi loại áp dụng cho một môi trường xử lý thẻ cụ thể.

Các loại SAQ phổ biến:

Việc chọn sai loại SAQ là lỗi phổ biến. Ví dụ, nhiều doanh nghiệp e-commerce tự đánh giá theo SAQ A trong khi thực tế cần SAQ A-EP do cấu trúc kỹ thuật của trang web.

ROC, Đánh Giá Toàn Diện Bởi Bên Độc Lập

ROC (Report on Compliance) là hình thức đánh giá chuyên sâu do QSA thực hiện và ký xác nhận. ROC bao gồm toàn bộ 12 requirements của PCI DSS v4.0.1, với bằng chứng thực tế từ phỏng vấn, kiểm tra hệ thống, và review tài liệu.

ROC không chỉ áp dụng cho Level 1 merchants hay service providers. Một số acquirer hoặc payment brand có thể yêu cầu ROC từ tổ chức ở level thấp hơn nếu có yếu tố rủi ro cao. Ngoài ra, một số doanh nghiệp chủ động chọn ROC dù không bắt buộc, để dùng làm bằng chứng compliance với đối tác lớn hoặc trong quá trình đàm phán hợp đồng.

Kết quả của quá trình ROC bao gồm: bản ROC đầy đủ, AOC (Attestation of Compliance) được QSA ký, và kết quả ASV scan nếu có.

Câu Hỏi Thường Gặp

Tôi là startup e-commerce nhỏ, có cần thuê QSA không? Nếu toàn bộ thanh toán được xử lý qua cổng thanh toán bên thứ ba và trang web của bạn không trực tiếp chạm vào dữ liệu thẻ, SAQ A thường đủ và bạn có thể tự hoàn thành mà không cần QSA. Tuy nhiên, nên xác nhận lại với acquirer.

SAQ D có yêu cầu nhiều hơn ROC không? SAQ D có số lượng câu hỏi tương đương với các requirements trong ROC, nhưng khác ở chỗ SAQ D do tổ chức tự thực hiện và ký, còn ROC được QSA độc lập xác nhận. Mức độ scrutiny và bằng chứng yêu cầu trong ROC cao hơn đáng kể.

Service provider nhỏ cung cấp hosting có phải làm ROC không? Phụ thuộc vào loại dịch vụ và khối lượng giao dịch. Level 2 service provider thường có thể dùng SAQ D for Service Providers, nhưng nên kiểm tra yêu cầu từ các payment brand (Visa, Mastercard) vì quy định có thể khác nhau theo khu vực.

Việc xác định đúng loại hình đánh giá từ đầu sẽ giúp doanh nghiệp tránh lãng phí nguồn lực vào những yêu cầu không phù hợp, đồng thời đảm bảo không bỏ sót những điểm thực sự cần thiết. Nếu bạn đang cần lập kế hoạch compliance PCI DSS, từ việc xác định scope đến chuẩn bị tài liệu cho SAQ hoặc ROC, pTrackly cung cấp công cụ hỗ trợ theo dõi tiến độ và quản lý evidence phù hợp với quy trình thực tế của doanh nghiệp Việt Nam.