В последние годы по всему миру участились случаи взлома банковских информационных систем, а также факты мошенничества и кражи данных держателей карт. Подобная тенденция побудила международные платежные системы объединить свои усилия и принять дополнительные меры для защиты своих клиентов. С этой целью в 2004 году был разработан новый набор требований к безопасности данных - Payment Card Industry Data Security Standard (PСI DSS, стандарт защиты информации в индустрии платежных карт). Он объединил в себе требования ряда программ по безопасности таких платежных систем, как VISA, MasterCard, American Express и Discover Card. Изначально стандарт внедрялся как обязательный на территории США и Западной Европы. Для других регионов требования PCI DSS носили лишь рекомендательный характер. Но с сентября 2006 года PСI DSS был введен как обязательный на территории стран CEMEA, в том числе и в России. Его новая версия (PCI Data Security Standard v. 1.1), в которой конкретизированы и расширены некоторые требования, вступила в силу с начала 2007 года.

PСI DSS призван обеспечить повышение защищенности электронных торговых и платежных систем, он содержит в себе набор мер и средств по обеспечению общей информационной безопасности компании. Требования стандарта касаются и обеспечения безопасной среды для хранения данных держателей карт. Защита требуется не только от внешних злоумышленников, но также и от инсайдеров. Действие PCI DSS распространяется на всех, кто передает, обрабатывает и хранит конфиденциальные данные держателей карт. Для региона CEMEA разработаны и определены требования для компаний так называемого «первого уровня»: это компании, напрямую работающие с международными платежными системами, банки («принципиальные» члены платежной системы), процессоры и платежные шлюзы, работающие напрямую с VISANet. Эти компании до конца года должны пройти процедуру аудита на соответствие требованиям стандарта и предоставить результаты последних четырех сканирований сети тем платежным системам, с которыми они работают. Каждая компания (или банк) в индивидуальном порядке уведомляется международной платежной системой о сроках прохождения аудита. Если компания в них не укладывается и не соответствует требованиям стандарта, на нее могут быть наложены штрафные санкции.

КТО И КАК ПРОВОДИТ АУДИТ

Проводить аудит на соответствие PCI DSS могут только сертифицированные компании, получившие статус Qualified Security Assessor. В процедуре два этапа. Первый - это удаленный сбор и анализ необходимой для аудита информации. Компания (или банк) должна предоставить актуальную схему своей сети с указанием всех подключений к сегменту платежных карт, а также ряд дополнительных документов (стандарты и политики, принятые в компании; документированные процедуры и процессы и т.п.). Предоставленные документы проверяются на соответствие требованиям стандарта в части документирования порядков и регламентов. Затем аудитор определяет зону контроля: все устройства и сетевые сегменты, в которых производится хранение, обработка или передача данных, содержащих информацию платежных карт, в том числе активное сетевое оборудование, какие именно устройства будут подлежать проверке. Второй этап - собственно проверка на территории компании (банка). Аудитор оценивает реализацию методов защиты и их соответствие как требованиям стандарта, так и предоставленным документам. После этого он формирует отчет о соответствии (ROC), который отправляется непосредственно в VISA Int., MasterCard или American Express (в зависимости от того, с какой из этих платежных систем работает компания или банк). Именно платежная система через 2-3 недели дает свое заключение о том, соответствует компания (или банк) требованиям стандарта или нет. При неблагоприятном исходе она же и накладывает на компанию (или банк) определенные штрафные санкции.

ПЛАТИ, НЕ ТО ОШТРАФУЕМ

По мнению сотрудника одного из крупных банков, пожелавшего остаться анонимным, инициатива с PCI DSS является попыткой хоть как-то закрыть системные проблемы с безопасностью в современных платежных системах на основе пластиковых карт. Как известно, эти проблемы обострились после широкого развития услуг типа MOTO (mail order/telephone order), предоставляемых через Интернет. Появление этих форм сервиса сделало номер карты конфиденциальной информацией - до этого он таковой не являлся. Соответственно, выяснилось, что существующие системы, в которых номер карты хранится в открытом виде и может быть относительно легко украден, являются источником опасности. «Мне кажется, что платежным системам надо не предпринимать усилия для улучшения системнопорочного подхода, а задуматься над изменением принципов идентификации и аутентификации, - комментирует собеседник NBJ. - Впрочем, упорство платежных систем в этом направлении становится более понятным, если взять экономическую сторону вопроса. Появление такого рода стандартов - хорошая возможность заработать производителям процессинговых и бэк-офисных систем, сертифицирующим компаниям, консультантам и прочим «полезным людям». Заработать за счет банков, которых под угрозой штрафа заставят платить платежные системы».