PCI-Compliance in Zoom Contact Center

Verwendete Produkte

Zoom Contact Center (ZCC) Zoom Contact Center (ZCC)

Gespräche über die Anforderungen der Zahlungskartenbranche (Payment Card Industry, PCI) sind häufig langwierig. Wenn Sie jemals an einem solchen Gespräch beteiligt waren, wissen Sie, dass die Ergebnisse zudem oft subjektiv sind. Die meisten Unternehmen möchten um dieses Thema am liebsten einen großen Bogen schlagen. Die neue Lösung von Zoom und PCI Pal scheint diesem Dilemma ein Ende zu setzen. In diesem Beitrag befassen wir uns mit der Lösung, ihren Vorteilen und die Möglichkeiten für Ihr Unternehmen, Geschäftsprozesse konform zu gestalten.

Das PCI Security Standards Council hat eine Reihe von Richtlinien erstellt, die den Umgang mit Kreditkarteninformationen in verschiedenen Umgebungen regeln. Es gibt Richtlinien, die vom Rat veröffentlicht wurden und Anforderungen an einen Händler (das Unternehmen, das Zahlungen einzieht) definieren. Der Hauptfokus der Standards liegt auf dem Schutz von Karteninhaberdaten (CHD), da sie von mehreren Systemen gemeinsam genutzt werden. Der Händler nutzt verschiedene Anbieter und Lösungen, um den Verkauf abzuwickeln.

Alle diese Komponenten führen zu einer unterstützenden Konformitätsbescheinigung (Attestation of Compliance, AOC). Die AOC ermöglicht es dem Händler, die Aussagen verschiedener Anbieter zu einer eigenen AOC zusammenzufassen. Abhängig vom Design der Lösung und der Anzahl der Transaktionen können Gestaltung und Pflege eines Card Holder Environment (CHE) recht aufwendig sein.

Abbildung 1: Kombinieren von Hersteller-AOCs zur Unterstützung einer Kunden-AOC und eines PCI-konformen Designs

Wenn wir über die Implementierung und den Nutzen für ein Unternehmen sprechen, ist es wichtig, den Fluss der Karteninhaberdaten insgesamt im Auge zu behalten. Sind Daten von Karteninhabern vorhanden, können Compliance-Prüfungen erforderlich sein. Mit der unten hervorgehobenen Zoom-Lösung hat ein Händler die Möglichkeit, diese Umgebung und die damit verbundenen Kosten zu minimieren.

Wir untersuchen die nicht sichtbaren Schnittstellen zwischen Zoom und PCI Pal, mit denen Kunden die PCI-Compliance in Zoom Contact Center erreichen können.

Die Lösung nutzt Zoom App Marketplace und Zoom-Partnerlösungen, um PCI-konforme Anrufe innerhalb einer Umgebung zu ermöglichen. Dazu gibt es verschiedene Ansätze. Die unten beschriebene Lösung bietet Möglichkeiten, eine Umgebung konform zu gestalten.

In diesem Abschnitt konzentrieren wir uns auf zwei Hauptparteien: den Mitarbeiter und den Verbraucher. Der Mitarbeiter ist eine Person, die Zoom Contact Center nutzt, Interaktionen über einen Sprach-, Video- oder Messaging-Kanal erhält und Zahlungen vom Verbraucher auf sichere Weise entgegennehmen muss. Der Verbraucher ist der Initiator der Interaktion und der Inhaber der Zahlungskarte. Textbasierte Zahlungskanäle sind zwar verfügbar, aber im Beispiel konzentrieren wir uns auf die Interaktionen über den Sprachkanal.

Wenn der Anruf in Zoom Contact Center eingeht, wird der Verbraucher zunächst durch die Menüs und Interaktionen geleitet, die auf dem administrativen Design der Warteschleife basieren. Dann wird er an den zuständigen Mitarbeiter weitergeleitet. Nachdem die Interaktion gestartet wurde, gibt es zwei Medienströme, die es dem Mitarbeiter und dem Verbraucher ermöglichen, über einen Sprachkanal miteinander zu kommunizieren: (1) Medien werden vom Verbraucher an die PSTN- und ZCC-Infrastruktur gesendet, und (2) Medien werden von der ZCC-Infrastruktur an die Anwendung des Mitarbeiters gesendet. Bis hierhin ist dies die übliche Anrufbearbeitung in Zoom Contact Center.

Abbildung 2: Ersteinrichtung von Telefonanrufen

Der Beginn des Gesprächs zwischen Mitarbeiter und Verbraucher entspricht dem üblichen Ablauf, bis die Zahlung erfolgen muss. Zu diesem Zeitpunkt startet der Mitarbeiter in der Zoom App PCI Pal (3) eine Sitzung, um den Zahlungsvorgang einzuleiten. Mithilfe einer Kombination aus Zoom- und PCI Pal-APIs werden per SIP zusätzliche Anrufabschnitte zwischen PSTN-Anbieter, PCI Pal und Zoom orchestriert. Diese Anrufabschnitte ermöglichen die Medienabwicklung auf eine Weise, in der Zoom und der Mitarbeiter von der Verarbeitung, Übertragung und Speicherung der Karteninhaberdaten ausgenommen sind. Der erste Anrufabschnitt (4) zwischen PSTN-Anbieter und Zoom bleibt bestehen. Ein zusätzlicher Anrufabschnitt (5) wird zwischen Zoom und PCI Pal eingerichtet. Nachdem die Abschnitte (4) und (5) erfolgreich verbunden wurden, wird das Medium (6) direkt zwischen PSTN-Anbieter und PCI Pal abgewickelt. Während das Medium von PCI Pal verarbeitet wird, werden die Karteninhaberdaten entfernt. PCI Pal sendet das Signal mit einem zugehörigen Medienstrom zurück an Zoom (7). Nach dem Empfang stellt Zoom erneut eine Verbindung mit dem Mitarbeiter her (8).

Dieser Medienstrom vom PSTN zu PCI Pal (6) enthält Karteninhaberdaten und wird beim Betreten der PCI Pal-Umgebung gefiltert. Das Medium wird an Zoom (7) und schließlich an den Mitarbeiter (8) weitergeleitet. Dieser Medienpfad ist nur für die Dauer des Bezahlvorgangs aktiv, der in der Regel nur wenige Minuten dauert. Der Mitarbeiter kann in dieser Zeit die Kommunikation mit dem Verbraucher aufrechterhalten. Da die Karteninhaberdaten aus dem Medium entfernt werden, bevor es Zoom erreicht, können Dienste wie die Aufzeichnung während des gesamten Vorgangs aufrechterhalten werden, ohne den Compliance-Umfang zu erhöhen.

Abbildung 3: Zahlung in Bearbeitung

Nachdem die Zahlung abgeschlossen ist, werden die zusätzlichen Verbindungen automatisch entfernt und die Ausgangslage des Medienstroms wird wiederhergestellt: vom PSTN-Anbieter zu Zoom (1) und von Zoom zum Mitarbeiter (2). Ein Mitarbeiter kann bei Bedarf zusätzliche Zahlungsströme einrichten.

Abbildung 4: Ursprünglicher Flow wird wiederhergestellt

Es ist möglicherweise nicht sofort ersichtlich, ob Zoom Contact Center-Dienste beim Anruf verfügbar sind. Da die Karteninhaberdaten vor dem Eintreffen der Medien bei Zoom jedoch entfernt werden, kann der Mitarbeiter in der Interaktion die Funktionen von Zoom Contact Center nutzen – von der Aufzeichnung über Transkriptionen und Stimmungsanalysen bis hin zum Qualitätsmanagement für Vorgesetzte.

Die oben beschriebene Architektur ist für Zoom Contact Center einzigartig und bietet mehrere Designvorteile. Andere Designs erfordern eine Verbindung mit dem Zahlungsverarbeiter bei jedem Anruf, bei dem Zahlungsinformationen benötigt werden (z. B. Signalisierung). Da das Design eine Verbindung zu Zoom als zentrale Weiterleitungs-Engine herstellt, werden nur die Anrufe, die eine Verbindung zu einem Zahlungsverarbeiter herstellen müssen, mit den integrierten Systemen verbunden, und das auch nur für die erforderliche Dauer. Anrufe werden dadurch flexibler verarbeitet: Der Ablauf ist wie üblich, sofern nicht eine Zahlung erforderlich ist. Zudem können auch spontane Zahlungsvorgänge reibungslos abgewickelt werden.

Bei vielen anderen Abläufen ist die Verbindung zur sicheren Zahlungslösung permanent vorhanden. Neben der Latenz bietet die On-Demand-Lösung einen weiteren Vorteil in Bezug auf Fehlerdomänen. Während diese Systeme über hochverfügbare Betriebszeiten verfügen, haben in Reihe geschaltete Systeme kombinierte SLAs. Mit der in Zoom Contact Center implementierten Lösung haben die verschiedenen Systeme die Möglichkeit, den Verbraucher weiterhin mit dem Mitarbeiter zu verbinden, falls bei einer Integration ein Problem auftritt.

Schließlich ermöglichen die plattformbasierten Designs von Zoom die Nutzung dieser Integrationen für Personen, die Zoom Contact Center nicht nutzen. Zoom Phone verfügt über ähnliche Funktionen, die verwendet werden können, wenn der Benutzer nicht mit einer Zoom Contact Center-Warteschlange verknüpft ist.

Zusätzlich zu den einzigartigen Vorteilen kann die Integration für PCI Pal und die Prüfung von Agenten-Workflows es Ihrem Unternehmen ermöglichen, den PCI-Geltungsbereich einzuschränken.

Wenn Ihr Contact Center Zahlungen entgegennehmen muss, müssen Sie die damit verbundenen Compliance- und Technologieanforderungen miteinander in Einklang bringen. Die Integration von Zoom Contact Center für PCI Pal bietet Ihnen zusätzliche Flexibilität, um die Komplexität von Compliance-Anforderungen zu reduzieren. Wir planen, weitere Artikel zu veröffentlichen, in denen wir die Konfiguration der Integration aus Sicht von Administratoren beleuchten.