Начиная с 2006 года все компании, которые используют в своем бизнесе платежные карты - эмитируют, принимают к оплате, хранят или обрабатывают данные платежных карт, должны соблюдать требования международного стандарта Payment Card Industry Data Security Standard (PCI DSS) и при этом ежегодно проводить оценку уровня безопасности своей инфраструктуры. Сейчас стандарт используется всеми ведущими международными платежными системами Visa, MasterCard, Аmerican Express, Discover, Diners Club, JCB. Каковы особенности этого стандарта, деятельность каких организаций должна ему соответствовать и самое главное - кому доверить проведение аудита на соответствие PCI DSS?

КТО ДОЛЖЕН, А КТО НЕТ?

Крайний срок подтверждения соответствия стандарту для США был установлен 31 декабря 2006 года, для европейского региона - 31 января 2008 года. Российские компании до конца 2008 года обязаны пройти аудит и получить статус соответствия. В противном случае со стороны платежных систем к ним могут применяться различные санкции от ежемесячных штрафов до отказа в продлении договора обслуживания.

ИНФОРМАЦИЯ О ШТРАФНЫХ САНКЦИЯХ МОЖЕТ МЕНЯТЬСЯ. УТОЧНЯТЬ ЕЕ НЕОБХОДИМО У ПЛАТЕЖНОЙ СИСТЕМЫ ИЛИ В ОБСЛУЖИВАЮЩЕМ БАНКЕ

Деятельность каких именно компаний должна соответствовать данному стандарту?

Общая формулировка в принятом документе выглядит следующим образом: «Все компании, которые принимают, хранят или обрабатывают данные платежных карт, должны соответствовать стандарту PCI DSS». Однако в зависимости от типа бизнеса компании и от типа подключения ее к платежным системам требования стандарта различны.

Все компании по типу бизнеса делятся на торговые организации, сервиспровайдеров и платежные шлюзы*.

Далее в зависимости от типа подключения к платежным системам и объема ежегодных транзакций по платежным картам компаниям присваиваются различные уровни (см. табл. 1 и табл. 2).

БУДЬТЕ БДИТЕЛЬНЫ!

Стандарт PCI Data Security Standard состоит из 12 пунктов, разделенных на 6 основных разделов: защита сетевого периметра, защита данных, управление уязвимостями, управление доступом, регулярное тестирование защиты, использование эффективных политик безопасности. Каждый из пунктов содержит перечень требований, основанных на лучших практиках защиты и стандартах информационной безопасности (полная версия документа дана на официальном сайте совета PCI Security Standards Council). Остановимся лишь на некоторых пунктах, которые чаще всего вызывают практические вопросы.

В табл. 3 приведены различные данные платежных карт и требования по их защите. Согласно стандарту PCI DSS категорически запрещено хранение данных магнитной полосы или чипа, кодов верификации и ПИН-кодов. На практике это одно из наиболее часто встречаеющихся нарушений, которые выявляют специалисты в области аудита соответствия PCI DSS.

Пункт 6.6 стандарта PCI DSS предписывает использование межсетевого экрана для приложений (Application Firewall) или проведение регулярного анализа защищенности приложений, в том числе анализа исходного кода. Сейчас этот пункт носит рекомендательный характер, но начиная с 30 июня 2008 года он станет обязательным к исполнению.

Стандарт PCI DSS требует проведения ежегодного аудита соответствия и ежеквартального внешнего сканирования на предмет наличия уязвимостей. На практике это означает, что организация должна предоставить внешнему аккредитованному аудитору доступ ко всем своим информационным системам, в которых хранится или обрабатывается информация по картам.

Много вопросов обычно вызывает пункт 11.3 требований стандарта - ежегодное проведение теста на взлом (penetration test). На практике согласно этому пункту компания должна предоставить аудитору отчет о проведенном тесте на взлом. Тестирование может быть проведено ею самостоятельно либо с привлечением внешней компании. Если в ходе аудита результаты теста на взлом не будут соответствовать реальному положению вещей, то данный пункт в отчете аудитора будет отмечен как «не выполнен».

Результаты аудита в виде заполненного отчета направляются аудитором в совет PCI SSC1, который подтверждает или не подтверждает соответствие стандарту PCI DSS.

ДОВЕРЯЙ, НО ПРОВЕРЯЙ

В зависимости от объема ежегодных транзакций и занимаемого уровня компания может провести аудит соответствия самостоятельно, заполнив отчет-опросник PCI DSS Self-Assessment Questionnaire и отправив его в платежную систему. Платежная система вправе принять или не принять результаты отчета и соответственно выдать или не выдать сертификат соответствия. При этом процедуру ежеквартального сканирования с использованием программных продуктов, одобренных советом PCI Security Standards Council, всегда должна проводить компания со статусом Approved Scanning Vendor (см. табл. 4. и табл. 5).

Данный вид работ выполняется удаленно и не требует приезда специалиста к заказчику.

Гораздо сложнее тем компаниям, которым необходимо полноценное прохождение аудита. И тут на первое место выходит вопрос - кому доверить проведение аудита? Как не ошибиться при выборе?

Анализ рынка показывает, что стоимость работ по проведению аудита соответствия PCI DSS у большинства компаний-аудиторов примерно одинакова. Низкая стоимость предложения может говорить о недостатке или неполноте предоставляемого сервиса. Зачастую многие недобросовестные компании-аудиторы большую часть работ осуществляют удаленно, проводя на территории клиента всего несколько дней, хотя в среднем работа обычно составляет 5-10 рабочих дней. Еще один фактор риска - это отсутствие поддержки после проведения аудита. Недобросовестные компании оставляют клиента один на один со своими проблемами или предлагают дальнейшие консультации на отдельной платной основе.

СООТВЕТСТВИЕ ТРЕБОВАНИЯМ СТАНДАРТУ PCI DSS ПОДТВЕРЖДАЕТ ТОЛЬКО НЕЗАВИСИМЫЙ СОВЕТ PCI SSC

Если доверить аудит неквалифицированным специалистам, анализ может оказаться неполным, а рекомендации по устранению недостатков - некорректными. Все это в итоге может привести к несоответствию требованиям стандарта и санкциям со стороны платежных систем.

При выборе компании-аудита необходимо четко понимать: что, когда и в каком виде получает организация в результате аудита. Будет ли это просто проверка соответствия с ответами «да/нет», будут ли предоставлены подробные рекомендации, каковы гарантии качества выполненных работ? Очень важным критерием, говорящим в пользу компании-аудитора, является ее признанная репутация в области информационной безопасности.

Если организация подходит к аудиту формально и получает сертификат соответствия, не соблюдая при этом его требования, то рано или поздно сертификат отзывается, а на компанию накладываются штрафные санкции.