Обзор стандарта PCI DSS

22 Августа 2021

pci_dds_compliance_data_center.pngДля защиты информации о пользователях платежных карт используются специальные меры. Одной из основных является стандарт PCI DSS – это набор специальных требований, которые помогают повысить безопасность сетевой инфраструктуры и устранить уязвимости, угрожающие конфиденциальности пользователей.

Стандарт был введен более 15 лет назад, однако до сих пор является актуальным. Среди разработчиков Payment Card Industry Data Security Standard – Visa, MasterCard и прочие финансовые организации. Соблюдать представленные требования должны все организации, которые обрабатывают любую информацию о держателях банковских карт.

Стандарт предполагает аудит компаний, позволяющий определить правильность соблюдения всех норм и требований. Разберемся, в чем же особенности PCI DSS и как происходит сертификация.

Требования стандарта PCI DSS

Стандарт представляет собой официальный документ, в котором подробно прописаны необходимые меры для поставщиков услуг и торговых предприятий, которые работают с данными платежных карт. Стоит отметить, что описанные требования являются обязательными и для организаций, которые могут влиять на сохранность конфиденциальной платежной информации. Документ является всемирным и используется, в том числе, и для компаний в России.

Всего в стандарте описывается более 280 критериев оценки, которые нужно выполнить, чтобы получить необходимую сертификацию. Это проверка на управление доступом, защиту вычислительной сети, физическую защищенность системы, способы аутентификации и т. д.

Аренда выделенного
сервера
Разместим оборудование
в собственном дата-центре
уровня TIER III.
Конфигуратор сервера
Подбор оборудования для решения Ваших задач и экономии бюджета IT

Если обобщать, то можно выделить 6 требований, лежащих в основе стандарта безопасности PCI DSS. Их в той или иной мере можно назвать общепринятыми во всем мире. Что же это за условия?

  • Использование защиты сетевой инфраструктуры. Этот критерий подразумевает наличие фаерволов для фильтрации входящего/исходящего трафика. Кроме этого, потребуется особый подход к обработке любой информации о клиентах – процедуры должны быть сегментированы на несколько независимых кластеров. Каждая функция делегируется только одной ВМ, во избежание получения несанкционированного доступа к нескольким частям данных.
  • Антивирусное ПО. Очень важный пункт, который обезопасит систему от хакерских атак и взлома, а также поможет защитить процесс обновления уязвимого ПО. Также мера носит предупредительный характер, помогая закрыть еще не обнаруженные уязвимости.
  • Использование шифрования. Этот пункт стандарта PCI DSS подразумевает использование криптографии с ключами длиной более 128 бит. Мера была введена несколько лет назад из-за обнаруженной уязвимости, позволяющей злоумышленникам извлечь информацию из зашифрованного канала связи. Стандарт содержит и список рекомендуемых провайдеров, чьи решения позволят обеспечить шифрование данных.
  • Постоянный мониторинг инфраструктуры. Потребуется контроль за всеми операциями, который позволит обнаружить попытки взлома или несанкционированные действия над данными. Также мониторинг потребуется для своевременного обнаружения уязвимостей в системе.
  • Настройка политики доступа к данным. Обязательным является применение многофакторной аутентификации при подключении к компонентам инфраструктуры и хранилищам данных. При этом доступ к местам хранения файлов должен быть ограничен. Рекомендована корректировка политики при любых кадровых перестановках в компании, чтобы ограничить доступ для бывших сотрудников.
  • Наличие корпоративной политики по информационной безопасности. Еще одно обязательное условие для сертификации – это разработка общих принципов обеспечения безопасности IT-инфраструктуры. В ней должны содержаться пункты об алгоритме доступа к персональным данным и мерах при угрозе безопасности.

Кроме этих пунктов для соответствия стандарту PCI DSS потребуется протоколирование всех событий и действий системы, дополнительная защита данных при передаче, настройка конфигурации компонентов информационной структуры и т. д. Как вы видите, речь в требованиях идет как о физической части, так и об аппаратном компоненте – то есть проверяется абсолютно все.

Какие организации должны соблюдать стандарт

покупки в интернетеПодробнее остановимся на том, для каких компаний требования документа станут обязательными. Это:

  • банки;
  • поставщики сервисов;
  • интернет-магазины;
  • call-центры;
  • платежные шлюзы.

Этот список можно дополнить компаниями, оказывающими услуги и продающих их через свой сайт. Также не стоит забывать о других организациях, деятельность которых в той или иной мере касается обработки и хранения сведений о владельцах платежных карт.

Особенности сертификации

Для прохождение сертификации PCI DSS компании потребуется выбрать подходящий способ аудита:

  • Внешний (QSA). Проводится аудиторской компанией, которая имеет соответствующую сертификацию. Проверка подразумевает изучение всех мер, принимаемых компанией, и сбор доказательств об их соблюдении. Специалисты оценивают «железо» и программное обеспечение инфраструктуры, конфигурацию ОС, топологию сети и другие технические параметры, которые могут повлиять на безопасность данных. Результаты аудита действительно в течение определенного периода, по истечении срока проверка проводится повторно. Подобный аудит подходит для организаций, которые обрабатывают более 6 млн транзакций в год.
  • Внутренний (ISA). Выполняется внутренним специалистом, то есть одним из сотрудников компании. Основное требование – это прохождение обучения и наличие сертификата Совета PCI DSS. Во время сертификации специалист собирает сведения о выполнении норм стандарта. ISA потребуется для компаний, которые обрабатывают более 20 тыс. платежей в год (но менее 6 млн).
  • Самостоятельный (SAQ). Наиболее простой вариант сертификации, который подойдет для компаний, обрабатывающих не более 20 тыс. платежей в год. Выполняется аудит при помощи заполнения листа самооценки. Сбор свидетельств о выполнении стандартизированных правил не потребуется.

Различают 4 уровня сертификатов, которые позволяют компании обрабатывать различное количество транзакций в год:

  • Level 4 – до 20 тыс..
  • Level 3 – от 20 тыс. до 1 млн.
  • Level 2 – от 1 млн до 6 млн.
  • Level 1 – более 6 млн.

Что получает компания

Сертификация PCI DSS является обязательной, однако многие организации стремятся пройти ее самостоятельно. Происходит это по ряду причин:

  • Конверсия. Отсутствие перехода на отдельную платежную страницу позволяет избежать потери части оплат.
  • Технические задачи. Иногда фирме из-за специфики бизнеса требуется собственная платформа для проведения платежей.
  • Репутация и имидж. Это позволяет избежать перехода клиента на сайт сторонней организации для ввода банковских карт.

Кроме этого, соответствие стандарту помогает предотвратить любые мошеннические операции и повысить уровень защиты.

Надеемся, что вы разобрались в том, что такое PCI DSS. Если у вас остались вопросы, то специалисты дата-центра Xelent всегда готовы ответить на них!

Популярные услуги
Получить консультацию специалиста
Персональный ассистент
Cloud.Xelent