Для безопасного использования платежных карт и обеспечения защиты данных клиентов международными платежными системами VISA, Mastercard, Diners Club и JCB разработан специальный стандарт по информационной безопасности Payment Card Industry Data Security Standard (PCI DSS). Данный стандарт был создан еще в 2004 году и сначала был обязателен к исполнению только для организаций США и Западной Европы. Но с сентября 2006 г. жесткие правила были распространены на регион CEMEA, в который входит и Россия. Это послужило стимулом для внедрения PCI DSS российскими банками, процессинговыми центрами и торговосервисными организациями.

Для проведения аудита и приведения систем в соответствие с требованиями стандарта PCI DSS должна привлекаться специализированная компания, обладающая статусами Qualified Security Assessor (QSA, для аудита) и Approved Scanning Vendor (ASV, для сканирования сети). В России на сегодня этими статусами обладают несколько компаний, в том числе и компания «Инфосистемы Джет». В конце марта она объявила об успешном завершении проекта по приведению процессингового центра ЗАО «Компания объединенных кредитных карточек» в соответствие с требованиями PCI DSS. Компания «КОКК» (UCS) одной из первых в Российской Федерации получила сертификат соответствия, свидетельствующий о полном выполнении требований последней версии стандарта PCI DSS 1.2.
О том, как проходил этот проект и что необходимо компании для обеспечения информационной безопасности, рассказывают Игорь ЛЯПУНОВ, директор Центра информационной безопасности компании «Инфосистемы Джет», и Дмитрий СИДОРОВ, директор Дирекции IT ЗАО «Компания объединенных кредитных карточек»(UCS).

На рынке информационной безопасности компания «Инфосистемы Джет» работает более 15 лет. Проект в компании UCS потребовал от вас выполнения ряда очень жестких формальных требований платежных систем и получения статусов QSA и ASV. Они были получены для этого проекта?

Игорь ЛЯПУНОВ: Нет, конечно. В конце 2007 года на основе анализа рыночной ситуации нашей компанией было принято решение о развитии целого бизнес-направления по PCI DSS. Мы подобрали штат людей, обучили и сертифицировали их, разработали методики реализации проектов, сами выполнили требования платежных систем по защите наших информационных систем, застраховали наши риски, связанные с деятельностью по аудиту PCI DSS. Получение статусов -это верхушка айсберга.
Сейчас у нас большой пул проектов по PCI DSS, их более 15. Один из самых больших и интересных из уже реализованных - приведение процессингового центра компании UCS в соответствие с требованиями PCI DSS.

 

А почему UCS остановила свой выбор именно на компании «Инфосистемы Джет»?

Дмитрий СИДОРОВ: Некоторое время назад мы сделали с «Инфосистемами Джет» еще один крупный проект - построение «под ключ» дата-центра. Мы остались очень довольны результатами нашего сотрудничества. Поэтому и следующий, не менее важный для нас проект по подготовке нашей компании к получению сертификата PCI DSS мы решили доверить им же, тем более что немногие российские компании обладают необходимыми для проведения этого аудита статусами, а самое главное - практическим опытом.

Расскажите о том, как проходил проект по приведению процессингового центра компании UCS в соответствие PCI DSS.

Игорь ЛЯПУНОВ: Наша работа строилась в три этапа: первоначальный анализ соответствия требованиям стандарта, устранение несоответствий и внедрение необходимых организационно-технических мер защиты и сертификационный аудит.
На первом этапе в отличие от стандартных проектов по аудиту PCI DSS перед нами сразу стояла задача сбора всей необходимой информации для второго этапа, чтобы максимально точно разработать организационные и технические решения, не нарушить работу процессингового центра. Мы провели полномасштабное обследование, которое потребовало привлечения большого количества ресурсов, в том числе человеческих. Необходимо было собрать множество данных, опросить не один десяток сотрудников, согласовать полученные данн. Мы обследовали не только систему, но и технологические, и бизнес-процессы компании, а также их взаимодействие.
   На втором этапе проекта были запущены процессы управления информационной безопасностью, управления рисками, инцидентами и уязвимостями, был внедрен целый ряд технических систем: обеспечен жесткий периметр сетей процессингового центра и защита от DDoS-атак, создана система сквозного мониторинга событий ИБ, реализована система контроля целостности на всех этапах работы с данными. Особое внимание было уделено решениям по управлению доступом к информации и информационным базам. Очень часто свои действия мы были вынуждены выполнять «по-живому» - без остановки даже отдельных компонентов процессингового центра. В некоторых случаях были найдены действительно уникальные решения.

Дмитрий СИДОРОВ: Очень важный аспект этой работы - со стороны руководства компании-заказчика донести до своих сотрудников важность и необходимость такой перестройки. Мы смогли оценить, насколько сплочен наш коллектив, насколько люди хотят и умеют работать в команде, насколько сотрудники готовы бросить все свои силы для решения такой вот задачи. Мы пользовались технологией параллельных решений, когда новый процесс внедрялся параллельно со старым, велась верификация результатов старого и нового процессов, и если результаты верификации совпадали, то новый процесс уже внедрялся на место старого. Могу сказать, что ни одного серьезного сбоя не было.

Игорь ЛЯПУНОВ: Третий этап - сертификационный аудит. Он не был для нас формальным. Несмотря на то что специалисты нашей компании проводили и работы по удовлетворению требованиям PCI DSS, и сам аудит - это были две абсолютно разные команды. Мы обеспечили независимую экспертизу проделанной работы. Аудиторы не участвовали в работах предыдущих двух этапов и фактически «с нуля» собирали информацию, заполняли чек-листы, проводили интервью и в итоге дали подтверждение соответствия процессингового центра компании UCS стандарту PCI DSS. А окончательное решение принимали все-таки платежные системы VISA и MasterCard, изучив предоставленные им результаты аудита.

Сколько времени занял весь процесс?

Игорь ЛЯПУНОВ: Этап первоначального аудита и обследования занял целых два месяца, в отличие от наших традиционных трех-четырех недель, восемь месяцев - внедрение необходимых мер защиты, и около двух месяцев - сертификационный аудит, т. е. почти год. Правда, для разных компаний могут быть и другие сроки: в основном меняются сроки второго этапа, это зависит от объемов работы и начальной готовности процессингового центра. Платежные системы обычно дают на второй этап и устранение замечаний от года до трех. Если к проекту подходить серьезно и решать не только задачи формального соответствия стандарту, но и внедрять конкретные меры и средства защиты, заниматься текущими проблемами, выявленными в процессе обследования (что мы настоятельно рекомендуем всем делать), то весь процесс занимает все-таки около года.

Гарантирует ли сертификат соответствия стандарту PCI DSS реальную защиту данных клиентов?

Дмитрий СИДОРОВ: Конечно, гарантирует. На самом деле - и в этом можно убедиться, посмотрев официальные документы, -стандарт PCI DSS по уровню своих требований, по своей жесткости даже превосходит национальные стандарты. И тот запас, который этот стандарт дает, позволяет нам чувствовать себя достаточно уверенно в этом отношении.

Игорь ЛЯПУНОВ: Да, тем более если учитывать всю серьезность подхода компании UCS к построению систем информационной безопасности, а также к выстраиваемому процессу регулярной актуализации систем ИБ.

К 1 января 2010 года все организации, обрабатывающие персональные данные, должны привести свои информационные системы в соответствие с требованиями Закона о защите персональных данных (ЗПД). Дата не за горами, а обещанные регулятором санкции весьма жесткие. Увеличился ли в связи с этим поток ваших клиентов?

Игорь ЛЯПУНОВ: Да, значительно увеличился. Несмотря на шумиху вокруг услуг по защите персональных данных, немногие компании обладают реальным опытом по обеспечению соответствия ФЗ-152 и нормативным требованиям ФСБ России и ФСТЭК России. В этих работах очень много тонкостей. Не погружаясь в них, хочу лишь отметить, что в отличие от PCI DSS ключевым является как раз первый этап - анализ информационных систем, мест и объемов обработки персональных данных, классификация информационных систем, построение моделей угроз. Именно в этот момент можно значительно оптимизировать свои расходы на выполнение нормативных требований.
 

Как вы оцениваете готовность кредитно-финансовых учреждений к 1 января 2010 года? Будет ли массовый отзыв лицензий?

Игорь ЛЯПУНОВ: Одна из главных задач любого оператора персональных данных, невзирая на формальные требования, - обеспечение безопасности данных своих клиентов. Еще до того, как был принят закон и ужесточены требования, большинство компаний, особенно в кредитно-финансовой сфере, занимались этими вопросами. Следовательно, это не только требования закона или стандарта, это - требования жизни и бизнеса.
   Если говорить о формальной стороне, то на данный момент очень немногие организации на 100% соответствуют нормативным требованиям, мало кто имеет все необходимые аттестаты на системы обработки персональных данных. Но 1 января 2010 года никто не отменял, поэтому сейчас многие организации находятся в процессе подготовки.
   С точки зрения санкций, которые могут начаться в 2010 году, я могу лишь высказать частное мнение: не думаю, что сразу будут отзываться или приостанавливаться лицензии на основной вид деятельности. На начальном этапе будут выноситься предупреждения, накладываться штрафы, жесткие санкции будут применены только к злостным нарушителям. В первую очередь одним из основных побуждающих мотивов для организаций будут репутационные риски, связанные с неудовлетворительными заключениями проверяющих органов.

Дмитрий СИДОРОВ: Если говорить о нас, то стандарт PCI DSS во многом перекрывает требования ЗПД, поэтому мы считаем, что вся проведенная работа по получению сертификата PCI DSS - это и работа по приведению нашей процессинговой системы в соответствие с требованиями Закона о персональных данных. Кроме того, среди наших клиентов достаточно много банков, и каждый банк может пойти по разному пути развития бизнеса. В частности, у нас существует полный аутсорсинг банков, когда на стороне клиента ставится удаленный терминал и работа осуществляется через нашу процессинговую систему, база счетов банка располагается у нас, и для банка проблема безопасности сведена к минимуму. Фактически это уже проблема компании UCS. И то, что у нас проблемы безопасности полностью решены, дает нашим клиентам большие преимущества.