В последние годы по всему миру участились случаи взлома банковских информационных систем, а также факты мошенничества и кражи данных держателей карт. Подобная тенденция побудила международные платежные системы объединить свои усилия и принять дополнительные меры для защиты своих клиентов. С этой целью в 2004 году был разработан новый набор требований к безопасности данных - Payment Card Industry Data Security Standard (PCI DSS, стандарт защиты информации в индустрии платежных карт). Он объединил в себе требования ряда программ по безопасности таких платежных систем, как VISA, MasterCard, American Express и Discover Card
НБЖ № 5(39), 2007
«Осторожно: стандарт!», стр. 94-95

Количество информационных инцидентов за последние пять лет растет катастрофическими темпами, данные карт похищают по всему миру. Статистика информационных атак на банки показывает, что 89% действий злоумышленников направлено на хищение средств.

Лучшая защита в данном случае, по мнению экспертов, - поддержание соответствия стандартам информационной безопасности, в частности универсальному международному стандарту PCI DSS.

Любая кредитно-финансовая организация, развивая бизнес, связанный с платежными картами, неизбежно сталкивается с требованиями PCI DSS. В его основе лежат базовые технические и эксплуатационные требования, обеспечивающие защиту данных о держателях карт. PCI DSS предназначен для использования аудиторами при проверке всех организаций сферы обработки платежных данных на соответствие требованиям. А именно - торгово-сервисных предприятий, процессинговых центров, банков-эквайеров, организаций, выпускающих платежные карты, и поставщиков услуг, и также других организаций, которые хранят, обрабатывают или передают информацию о держателях карт.

На российском рынке пока не применяются санкции за нарушение PCI DSS. Платежная система VISA ввела правила: аудит на PCI DSS является обязательным, однако если выявляются некоторые несоответствия по результатам аудита, то никаких санкций не принимается. Платежная система MasterCard пока рассматривает PCI DSS на нашем рынке как рекомендательный стандарт, т.е. нет наказаний даже за непрохождение аудита. Несмотря на это, крупные российские банки считают для себя необходимым пройти процедуру соответствия стандартам. Часть из них уже прошла сертификацию, другие кредитные организации проходят аудит в настоящее время и получают рекомендации по разграничению доступа, внедрению систем DLP и т.п.

Оценка соответствия требованиям стандарта PCI DSS обязательно должна проводиться сертифицированной в индустрии платежных карт компанией (имеющей статус Qualified Security Assessor, QSA). Компания QSA, проводящая аудит раз в год, выносит решение по соответствию или несоответствию PCI DSS, который содержит 12 пунктов, включающих около 200 правил. С формальной точки зрения, схема работы выглядит просто, однако в реальности могут возникать различные нюансы.

Пластиковые карты на российском рынке используются достаточно давно, связанные с ними системы зачастую разрабатывались до появления на отечественном рынке стандарта PCI DSS и теперь во многом не соответствуют ему. Поэтому возникает необходимость менять эти системы. Тем более что сам PCI DSS находится в постоянном развитии, поскольку он должен соответствовать активно изменяющемуся рынку кредитных и депозитных карт. Постоянно растет перечень услуг, связанных с картами, а следовательно, расширяется сфера использования PCI DSS.

Эксперты уверены, что PCI DSS имеет большие перспективы в России, хотя бы потому что благодаря требованиям стандарта банки и другие организации находят более эффективные способы защиты данных своих клиентов. Тем более что стандарт - это не только защита, но и договор о правилах работы на рынке, ведь любая стандартизация упрощает интеграцию между организациями.

Можно предположить, что Банк России включит в свои требования по безопасности какие-то важные пункты из PCI DSS. В ЦБ РФ прекрасно понимают, что отечественные банки взаимодействуют с огромным количеством контрагентов за рубежом, поэтому если они будут использовать стандарт PCI DSS, это намного упростит работу кредитных организаций.