Безопасность карточного бизнеса : бизнес-энциклопедия.

Сферы применения РСI DSS.

Действие стандарта РСI DSS распространяется на все торгово-сервисные предприятия (mеrсhаnts) и поставщиков услуг (sеrviсе рrоvidеrs), работающих с международными платежными системами, т. е. на всех тех, кто передает, обрабатывает и хранит данные держателей карт. В табл. 2.1 проиллюстрированы различные типы данных и требования к ним, которые выдвигает РСI DSS.

Также в зависимости от количества обрабатываемых транзакций каждой платежной системой компании присваивается определенный уровень с соответствующим набором требований, которые должны выполняться в обязательном порядке. Это может быть (1) ежегодное прохождение аудита, (2) ежеквартальные сканирования сети или (3) ежегодное заполнение листа самооценки (Sеlf Аssеssmеnt Quеstiоnnаirе — специальная анкета, разработанная РСI SSС для самооценки компаний).

Требования Стандарта безопасности данных платежных приложений (РА DSS) являются производными от требований Стандарта безопасности данных индустрии платежных карт (РСI DSS) и Процедур аудита безопасности РСI DSS (РСI DSS Sесuritу Аudit Рrосеdurеs). Эти документы, с которыми можно ознакомиться на сайте РС РСI, содержат подробное описание требований безопасности данных, которые торгово-сервисные предприятия и сервис-провайдеры должны соблюдать для соответствия стандарту РСI DSS (следовательно, какое приложение платежной системы необходимо использовать для обеспечения соответствия этому стандарту)[68].

Стандарт РСI DSS обычно не распространяется на производителей приложений платежных систем, поскольку большинство производителей не выполняют хранение, обработку и передачу данных о держателях карт. Однако поскольку приложения платежных систем используются клиентами для хранения, обработки и передачи данных о держателях карт, а клиенты должны соблюдать требования стандарта РСI DSS, то приложения платежных систем должны соответствовать требованиям стандарта РСI DSS и не нарушать их.

Ниже приведены несколько способов использования приложений платежных систем, при которых требования стандарта РСI DSS нарушаются:

• хранение данных магнитной полосы карты в сети клиента после авторизации;

• использование приложений, для корректной работы которых требуется отключение клиентами программного обеспечения, которое должно применяться для соблюдения требований стандарта РСI DSS (например, антивирусных программ или межсетевых экранов);

• использование производителями незащищенных методов подключения к этим приложениям для технической поддержки клиента.

При использовании защищенных приложений платежных систем в среде, соответствующей требованиям стандарта РСI DSS, уменьшается вероятность нарушения безопасности, приводящая к компрометации полных данных магнитной полосы, кодов проверки подлинности карты (САV2, СID, СVС2, СVV2), ПИН-кодов и ПИН-блоков и, в результате, — к осуществлению злоумышленниками мошеннических операций.