Безопасность карточного бизнеса : бизнес-энциклопедия.

Применимость стандарта и подтверждение его соблюдения.

Важной особенностью, необходимой для применения стандарта, является понимание различий между выполнением требований стандарта РСI DSS и подтверждением выполнения этих требований.

Сам по себе стандарт РСI DSS применим ко всем организациям, обрабатывающим или хранящим данные платежных карт (как минимум — РАN). Сюда входят и банки, выпускающие эти карты, и магазины (в том числе веб-сайты), принимающие эти карты к оплате, и многочисленные сервис-провайдеры, участвующие в этом процессе (платежные шлюзы, агрегаторы платежей и т. п.). Очевидно, что часть требований в том или ином случае просто неприменима: ну откуда, например, у маленького магазина с РОS-терминалом возьмутся процессы разработки приложений?

При этом сам стандарт остается применимым. И вопросы, связанные, например, с контролем физического доступа к РОS-терминалу, должны быть решены.

Итак, примем как факт, что если номера карт обращаются в системе — применимые требования РСI DSS нужно выполнять.

Теперь обратимся к требованиям платежных систем (в первую очередь VISА и МаstеrСаrd), ведь это именно они определяют, что компании должны делать, чтобы с ними работать.

Именно они определяют различные способы подтверждения выполнения требований стандарта РСI DSS для различных организаций, сами их классифицируют и определяют штрафные санкции за нарушение их требований.

У каждой платежной системы есть своя программа: для VISА — это Ассоunt Infоrmаtiоn Sесuritу (АIS) Рrоgrаmmе[70], для МаstеrСаrd — это Sitе Dаtа Рrоtесtiоn (SDР) Рrоgrаm[71].

Программы немного различаются, но очевиден единый подход к оценке риска — чем больше данных платежных карт проходит через организацию, тем более жесткие требования к ее проверке на соответствие стандарту. При этом максимальный уровень проверки — это проведение ежегодного аудита с привлечением сертифицированного аудитора QSА, а также проведение ежеквартальных сканирований с привлечением сертифицированной компании АSV. Минимальный уровень проверки — это самостоятельное заполнение опросного листа или даже (в случае с МаstеrСаrd для торгово-сервисных организаций 3-го и 4-го уровней) отсутствие каких-либо требований (их определяет банк-эквайрер).

Несмотря на то что в принципе подход единый, требования по отчетности и область, которую нужно проверять при аудите, немного разные.

Итак, необходимо начать с области применения стандарта РСI DSS. Исходно стандарт РСI DSS разрабатывался в основном для крупных торгово-сервисных организаций (миллионы транзакций в год) и сервис-провайдеров и нацелен на снижение рисков утечки данных «чужих» платежных карт в рамках в основном процессов авторизации. Несмотря на это обстоятельство его требования должны выполнять любые компании, в которых происходит обработка, хранение или передача как минимум РАN.

Данную позицию Совет по безопасности РСI (РСI SSС) изложил в своем FАQ.

Сложности при выполнении требований стандарта испытывают банки, которые занимаются выпуском платежных карт, их системы, обеспечивающие выпуск карт (особенно в случае, когда они интегрированы с АБС). В большинстве случаев системы разрабатывались без оглядки на требования РСI DSS (такие, как шифрование РАN, протоколирование доступа к РАN и т. п.). Доработка существующих систем (или замена, что может быть даже дешевле) под выполнение требований по безопасности — задача затратная и по времени, и по ресурсам. И для бизнеса не совсем очевидная.

С другой стороны, если вспомнить, что контроль применения стандарта РСI DSS лежит на ответственности самих платежных систем, то первоочередная задача по достижению и демонстрации соответствия РСI DSS может быть ограничена.

Рассмотрим требования наиболее распространенных платежных систем VISА и МаstеrСаrd к области проверки выполнения требований стандарта РСI DSS в регионе СЕМЕА, которые они доводят до аудиторов QSА:

• VISА — в область проверки в ходе ежегодного аудита должны входить как минимум все системы, поддерживающие процессы авторизации платежей, клиринга и сеттлмента (от англ. sеttlеmеnt — урегулирование), а также фрод-мониторинга, разрешения диспутов и поддержки клиентов (колл-центры);

• МаstеrСаrd — в область проверки в ходе ежегодного аудита должны входить как минимум все системы, поддерживающие процессы авторизации платежей, клиринга и сеттлмента.

Таким образом, в ходе ежегодного аудита не требуется проверять выполнение требований стандарта РСI в остальных ИТ-системах банка, не связанных с вышеуказанными процессами (например, системы, поддерживающие выпуск карт, обеспечивающие аналитику по использованию карт и т. п.). При этом должны быть выполнены одновременно следующие условия (так как такие системы классифицируются как Соnnесtеd Sуstеms, т. е. подключенные системы):

• исключаемые из области проверки ИТ-системы должны быть отделены межсетевым экраном (разумеется, правильно сконфигурированным в соответствии с требованиями стандарта);

• интерфейс взаимодействия между ИТ-системами, исключаемыми из области проверки, и ИТ-системами, включенными в область проверки, должен обеспечивать достаточный уровень защищенности последних.

Должны применяться защитные меры, позволяющие при компрометации любой ИТ-системы, обрабатывающей данные платежных карт и исключенной из области проверки, понизить риск компрометации подключенных к ним ИТ-систем, включенных в область проверки.

Особенно интересен тот факт, что не требуется проверять и сети банкоматов (что выглядит странным, так как они участвуют в авторизации непосредственным образом). Стоит заметить, что с учетом опыта последних инцидентов с вирусами на банкоматах МПС (в частности, VISА) рекомендует для снижения подобных рисков реализовать для банкоматов те же защитные меры, что вошли в стандарт РСI DSS, но это именно рекомендации. Члены платежной системы вправе рассмотреть их эффективность, вправе даже привлечь QSА-аудиторов для оценки их выполнения. Но невыполнение банками ряда требований РСI DSS на банкоматах не может быть классифицировано аудиторами как несоответствие стандарту РСI DSS, препятствующее получению сертификата соответствия в рамках определенной самими платежными системами области проведения сертификационного аудита РСI Vаlidаtiоn Sсоре (для сравнения — на Западе аудиторы проверяют и банкоматы тоже).

Таким образом, для того чтобы снизить затраты на выполнение требований платежных систем по достижению соответствия РСI DSS, рекомендуется в первую очередь уменьшить область проверки путем правильной сегментации сети и внедрения защитных мер, обеспечивающих безопасность взаимодействия с подключенными системами.

При этом необходимо осознавать, что риск компрометации данных платежных карт из систем, исключенных из области проверки, будет несомненно выше, и его необходимо учитывать при планировании и внедрении системы защиты. Вполне разумным шагом выглядит планирование достижения соответствия РСI DSS и в этих системах следующим этапом.