Компании «МультиКарта» и «Инфосистемы Джет» недавно объявили об успешном завершении очередного этапа проекта по приведению процес-сингового центра «МультиКарты» в соответствие с требованиями PCI DSS. О том, как проходил этот проект, каковы его основные этапы и особенности, рассказывают руководитель направления PCI DSS компании «Инфосистемы Джет» Иван ТВЕРДОХЛЕБОВ и директор по информационной безопасности компании «МультиКарта» Михаил ФЕДОРОВ.

НБЖ: В компании «Инфосистемы Джет» функционирует выделенное бизнес-направление по PCI DSS. Почему было принято решение развивать это направление, и что представляет собой на данный момент пул проектов по PCI DSS?

И. ТВЕРДОХЛЕБОВ: Широкое распространение пластиковых карт - неотъемлемый атрибут современного мира. Но помимо множества удобств, связанных с их использованием, современные технологии имеют и обратную сторону: год от года увеличивается число случаев с карточным мошенничеством. В целях преодоления этой ситуации международные платежные бренды принимают различные меры, в том числе разработали единый стандарт безопасности - Payment Card Industry Data Security Standard (PCI DSS), направленный на то, чтобы минимизировать риски и обеспечить максимальное развитие карточных услуг.

Компания «Инфосистемы Джет» является сертифицированным аудитором   -   обладает  статусами  Approved Scanning Vendors (для проведения ASV-сканирований) и Qualified Security Assessor (для проведения «on-site» аудита). Это позволяет нам осуществлять полный комплекс работ по приведению в соответствие с требованиями стандарта PCI DSS, начиная от проведения первоначального обследования и заканчивая выдачей сертификатов соответствия. В настоящее время мы активно ведем работы по данному направлению, это более 35 проектов, из них 5 уже завершены выдачей сертификатов соответствия. Одним из первых наших заказчиков, достигших соответствия, стала «Компания объединенных кредитных карточек» (UCS). В 2011 году сертификаты получили МОСКОВСКИЙ КРЕДИТНЫЙ БАНК, компания «МультиКарта», в настоящее время ряд банков находится на стадии завершения подобных проектов.

НБЖ: Насколько давно в компании «МультиКарта» созрело решение о приведении процессингового центра в соответствие PCI DSS? Почему исполнителем проекта была выбрана именно компания «Инфосистемы Джет»?

М. ФЕДОРОВ: «МультиКарта» - одна из крупнейших российских компаний, обеспечивающих полный комплекс процес-синговых услуг для банков и торгово-сервисных предприятий. В настоящее время компания обслуживает 38 банков, и мы прогнозируем значительное увеличение этой цифры в 2012 г.

«МультиКарта» обладает статусом процессора международных платежных систем, и соответствие стандарту PCI DSS является для нас обязательным условием. Поэтому мы постоянно проводим работу по совершенствованию процессов обеспечения и управления информационной безопасностью и привлекаем аудиторов для проведения независимой экспертизы. Однако в этом году мы впервые достигли соответствия требованиям стандарта PCI DSS.

Важно понимать, что бизнес компании   чрезвычайно   разнообразен.

«МультиКарта» имеет развитую ИТ-инфраструктуру, включающую более 60 серверов. И нам необходимо обеспечивать непрерывную работу всех систем. Компания «Инфосистемы Джет» знала эти особенности: у нас уже был положительный опыт сотрудничества по другому проекту. В 2008 году «МультиКарта» модернизировала процессинговые системы, что было связано с ростом бизнеса, развитием новых услуг, появлением банков Группы ВТБ в СНГ.

Оставшись довольными результатами нашего взаимодействия, мы и другой, не менее важный для нас проект по приведению нашего процессингового центра в соответствие с требованиями стандарта PCI DSS решили доверить компании «Инфосистемы Джет». Тем более что видели: компания обладает необходимыми для проведения этого аудита статусами, активно развивает направление PCI DSS, предлагает широкий спектр услуг и технических решений. И действительно, «Инфосистемы Джет» предоставили нам полный комплекс услуг по приведению в соответствие процессинга, включая помощь в проектировании и поддержке решений по обеспечению ИБ.

НБЖ: Какие задачи в связи с данным проектом стояли перед компаниями? О каких особенностях проекта можно говорить?

М. ФЕДОРОВ: Как уже говорилось, у нас действуют строгие ограничения по непрерывности бизнеса, время простоя всех систем не должно превышать одного часа в год. Поэтому работы мы строили в соответствии с расписанием технологических окон, что и было одной из трудностей.

И. ТВЕРДОХЛЕБОВ: Одна из ключевых особенностей проекта заключалась в том, что в ходе его реализации компания «МультиКарта» осуществляла миграцию на новый процессинговый центр, который совместно с нашими консультантами и техническими специалистами готовили к последующей сертификации уже на этапе его проектирования и внедрения. Одновременно компания «МультиКарта» расширяла спектр услуг и подключала новые банки. Это требовало от нас непрерывного анализа текущей ситуации и оперативного внесения корректировок в реализуемые решения.

М. ФЕДОРОВ: То, что одновременно с проектом по PCI DSS проводились работы по инсталляции нового процессингового центра, - не только особенность, но и сложность, которую нам успешно удалось преодолеть. К настоящему моменту мы сертифицировали оба процессинго-вых центра на соответствие требованиям стандарта безопасности в индустрии платежных карт и планируем завершить миграцию к 2013 году.

НБЖ: Раз уж мы коснулись ключевых проблем, то с какими еще трудностями вам пришлось столкнуться в ходе проекта?

И. ТВЕРДОХЛЕБОВ: Проблемы данного проекта можно считать типовыми, с которыми нам уже приходилось сталкиваться в ряде других проектов. Главная задача, с которой встречается большинство про-цессинговых центров не только в России, но и в мире, - это вопрос реализации механизмов шифрования номеров карт, которые хранятся в их системах. При этом для старых процессинговых центров, имеющих зачастую далеко не самую современную платформу, реализовать шифрование бывает технологически невозможно. Поэтому необходимо разрабатывать комплекс компенсирующих мер защиты, позволяющих минимизировать вероятные риски, связанные с невозможностью реализации шифрования данных платежных карт. Вторая - это проблема аудита событий безопасности на системных компонентах процессингового центра. Речь идет не только о том, чтобы ограничивать доступ, что само собой разумеется. Нужно понимать, кто именно осуществил доступ, к каким данным и т.д. Это необходимо как минимум для того, чтобы можно было гарантировать расследование произошедшего инцидента и оперативно принимать необходимые меры.

НБЖ: Расскажите о том, как проходил проект по приведению процессингового центра компании «МультиКарта» в соответствие с требованиями PCI DSS.

И. ТВЕРДОХЛЕБОВ: Наша работа осуществлялась в три основных этапа: первоначальная оценка соответствия требованиям стандарта, устранение несоответствий и внедрение необходимых организационно-технических мер защиты и в завершение - сертификационный аудит.

В рамках первого этапа наши консультанты проводили анализ архитектуры и изучали взаимодействие всех системных компонентов, которые есть в про-цессинговом центре «МультиКарты». Перед нами стояла задача - определить границы предстоящей сертификации. Для этого мы провели полномасштабное детальное обследование всей инфраструктуры, которое потребовало привлечения большого количества ресурсов.

Необходимо было собрать множество данных, обследовать не только систему, но и технологические и бизнес-процессы компании, а также планы «МультиКарты» по модернизации процессинга.

Завершились работы первого этапа разработкой плана мероприятий (рекомендаций) по приведению процессингового центра «МультиКарты» в соответствие с требованиями стандарта. Этот план мы разрабатывали в ходе непосредственного взаимодействия с «МультиКартой», руководство и специалисты компании шли на открытый диалог, что позволило нам принимать своевременные решения.

Далее начался второй, самый длительный и трудоемкий этап. Он связан с устранением всех имеющихся проблем и приведением процессинга в соответствие со стандартом: разрабатывались соответствующие документы, изменялась архитектура систем, внедрялись различные технические решения и процедуры. Были запущены необходимые процессы управления информационной безопасностью, управления рисками, инцидентами и уязвимостями.

После чего мы перешли к третьему, завершающему этапу - непосредственно сертификационному аудиту. На этом этапе отдельная группа специалистов -QSA-аудиторов нашей компании - проверила соответствие требованиям стандарта и составила заключение.

М. ФЕДОРОВ: Хочу добавить, что результатом проекта стало получение «МультиКартой» сертификата соответствия стандарту PCI DSS. Однако это не разовый проект, соответствие требованиям стандарта нужно подтверждать ежегодно.

НБЖ: Какие специализированные решения были внедрены в ходе проекта?

М. ФЕДОРОВ: Мы выбирали из лучших решений, представленных на рынке.

Во-первых, это IBM Guardium - решение по мониторингу всех событий, происходящих в базах данных, которое позволяет офицерам безопасности отслеживать значимые события в БД и в случае необходимости проводить расследование. Во-вторых, мы внедрили систему ArcSight Logger, которая позволяет фиксировать и анализировать все данные журналов аудита организации. Еще одно внедренное решение - Safe Net Data Secure - помогает решить проблему шифрования файлов.

Решение Deep Security, примененное в этом проекте, позволяет отслеживать любые изменения на важных конфигурационных системных файлах и серверах.

НБЖ: Гарантирует ли сертификат соответствия стандарту PCI DSS реальную защиту данных клиентов?

М. ФЕДОРОВ: Безусловно, ни один сертификат не даст стопроцентной гарантии защищенности. Однако внедрение стандарта PCI DSS позволяет в целом повысить уровень обеспечения информационной безопасности в компании, что особенно важно для таких критичных данных, как, например, данные платежных карт, информация о клиентах и партнерах. Внедрение стандарта PCI DSS способствует существенному снижению рисков безопасности данных платежных карт при их обработке, хранении или передаче.

НБЖ: Планируете ли вы в дальнейшем продолжать сотрудничество с компанией «Инфосистемы Джет»?

М. ФЕДОРОВ: Мы довольны сотрудничеством и планируем продолжить его по различным направлениям. С ростом бизнеса нам потребуются дополнительные средства автоматизации части тех процедур, которые уже выполнены на уровне регламентов или административных мер. И опыт компании, возможно, будет востребован для решения этих задач.