Wyszukiwarka

PCI DSS

PCI DSS PCI DSS PCI DSS PCI DSS PCI DSS PCI DSS

Wprowadzenie

Wdrożenie PCI DSS wymusił gwałtowny wzrost ilości osób korzystających z tego typu form płatności oraz oszustw z tym związanych. Raporty branżowe pokazały wyraźny wzrost ataków na sprzedawców akceptujących karty płatności – powyżej 50 % w latach 2003-2006. Organizacje zrzeszające instytucje finansowe wydające karty płątnicze (MasterCard, VISA, etc.) wymusiły na przedsiębiorstwach obsługujących ten rodzaj płatności do implementacji procedur standardu PCI DSS w swojej infrastrukturze. Przedsiębiorstwa, które oferują płatności elektroniczne a nie będą posiadały infrastruktury zgodnej z wymogami posiadanie certyfikatu PCI DSS narażone są na ryzyko odmowy przejęcia odpowiedzialności za szkody związane z oszustwami dokonanymi na kartach płątniczych swoich klientów lub cofnięcie umowy na świadczenie usług płatności elektronicznych. Audyty certyfikacyjne przeprowadzane są przez firmy oceniające bezpieczeństwo, Mastercard i Visa.

 

Straty finansowe i utrata wizerunku

Straty finansowe poniesione w wyniku oszustw podczas płatności kartą dotykają głownie klientów detalicznych. Operatorzy kart, odmawiają przyjęcia odpowiedzialności i odnoszą się przy tym do istniejących luk bezpieczeństwa w infrastrukturze sprzętowej. Straty spowodowane atakami na słaby system bezpieczeństwa skutecznie odstraszają klientów od korzystania z usług płatności elektronicznych oferowanych w danym przedsiębiorstwie. Odpowiednie standardy bezpieczeństwa maja wpływ na duże ulgi u operatorów kart i sprzedawców, ponieważ mogą oni polegać na ustalonych specyfikacjach oraz pewności od strony prawnej. Klienci  mogą więc być spokojni o strategie bezpieczeństwa, która zapewnia poufność danych i zwiększa ich zaufanie. Każda firma i klient detaliczny, chcący mieć możliwośc płatności karta musi spełniać określone standardy, a jeśli tak nie jest, to w takim przypadku stosuje się kary a odpowiedzialnością za szkody wywołane przez ataki obarczani są sami klienci detaliczni.

 

Szczegółowo o standardzie PCI standard

Przetwarzanie danych związanych z płatnościami kartą obejmuje wiele etapów i elementów sieci w firmach detalicznych – od czytnika kart i gotówki do centralnego serwera, oraz systemu ERP. Sieci te wykonane są za pomocą routerów oraz przełączników, które łączą wszystko w całość i kontrolują przepływ danych komunikacyjnych miedzy sieciami lokalnymi a zdalnymi (cała drogę do serwera rozliczeniowego operatora karty). Standard PCI określa jakie są wymagania co do infrastruktury IT dla braży kredytowej w sprzedaży detalicznej. Specyfikacje te odnoszą się do całego systemu, a nie tylko do poszczególnych urządzeń lub segmentów systemu. Nawet w przypadkach gdzie większość systemu spełnia standardy PCI DSS, to jest on uważany za niebezpieczny, ponieważ może zaistnieć jakaś luka po stronie sprzętowej lub innych mechanizmów bezpieczeństwa. Każdy element musi być kompatybilny z PCI aby był on w pełni z godny z jego założeniami. Głównym celem standardu PCI, jest pełne bezpieczeństwo danych komunikacyjnych od punktu sprzedaży aż do firmy obsługującej płatności karta kredytową.

 

Planowanie respektowania standardów PCI w systemach IT      

Nawet jeśli pewne elementy systemu nie mają żadnego bezpośredniego związku z infrastrukturą kart płatniczych, napastnik może wykorzystać jakąś jedną niechronioną lokalizację i zagrozić bezpieczeństwu całego systemu. W związku z tym że planowanie sieci komputerowych jest zazwyczaj inwestycją długoterminową, to musi być zapewniona możliwość wymiany poszczególnych jej składników, bez zagrożenia dla całego systemu. Istotne jest też to ze system musi być zgodny ze standardami nie tylko w czasie ataku/oszustwa, nie tylko przed lub po. Występuje możliwość wykorzystania systemu na zasadzie tymczasowej.  System musi zapewnić możliwość sledzenia, ponieważ w przypadku ataku musi przestawić „migawkę” zgodną ze standardem. Wynikiem jest zestaw wykonanych specyfikacji PCI DSS: rozwiązanie w ramach projektu powinno być zorganizowane modułowo i być zarządzalne, serwisowane i kontrolowane z centralnej lokalizacji. Musi też posiadać przeglądu zdarzeń z przeszłości.

 

12 wymagań standardu PCI
PCI DSS ustanawia 12 wymagań:

  1. Zainstalować i utrzymywać zaporę
  2. Nie należy używać dostarczonych domyślnie przez producenta sprzętu dla systemu: hasła i innych parametrów bezpieczeństwa
  3. Chronić i przechowywać dane posiadaczy kart
  4. Szyfrować transmisje danych posiadaczy kart w całej otwartej publicznej sieci
  5. Posiadanie ochrony antywirusowej i malware
  6. Rozwój i utrzymanie bezpiecznych systemów i aplikacji
  7. Ograniczenie dostępu do danych posiadacza karty do niezbędnych podstawowych informacji
  8. Przypisać unikatowy identyfikator dla każdej osoby z dostępem do komputera
  9. Ograniczyć fizyczny dostęp do danych posiadacza karty
  10. Śledzenie i monitorowanie dostępu do wszystkich zasobów sieciowych i danych posiadacza karty
  11. Regularnie sprawdzać systemy bezpieczeństwa i procesów
  12. Chronić informacje adresowe

Końcowy produkt jest szczególnie istotny, ponieważ wszystkie poprzednie pozycje mogą być z niego uzyskane. Polityka oraz strategia bezpieczeństwa IT, musi odnosić się do całego systemu i obejmować wszystkie pozostałe elementy. Wymagania wykraczają daleko poza wdrożenie sprzętu i oprogramowania kompatybilnego z PCI. Polityka bezpieczeństwa IT musi także dotyczyć zachowań pracowników i innych wymagań PCI DSS, a podstawowym celem musi być wychwytywanie i zamykanie ewentualnych luk w systemie. Nawet jeśli poszczególne urządzenia i programy spełniają wymogi PCI DSS, są uznane tylko wówczas za zgodne z normą jeśli obejmują cały system.

 

Składniki sieci muszą być zgodne z PCI   

Część z wymagań normy PCI musi być spełniona przez elementy składowe sieci (routery i przełączniki), np. poprzez stworzenie odpowiedniego firewalla i obsługę szyfrowania (np. VPN w sieci WAN)

Dzięki tym funkcjom, komponenty sieciowe nie mogą zrobić nic więcej niż wykonywanie pewnych funkcji zabezpieczeń i innych usług w strukturze sieci. Istotnym aspektem do spełnienia wymogów PCI jest kontrola i dostęp do elementów sieci przez same urządzenia. Osoba atakująca może uzyskać dostęp do routera lub przełącznika i może być w stanie zmienić konfigurację lub wyłączyć inne mechanizmy zabezpieczeń, co mogłoby zagrozić całemu systemowi IT.

Aby ochronić sieć przed nieautoryzowanym dostępem do sprzętu i utrzymać zgodność PCI, komponenty muszą obsługiwać protokół „triple-A’’. Jest to protokół uwierzytelniania, autoryzacji i zliczania.

*Uwierzytelnianie sprawdza tożsamość użytkownika i zapewnia że tylko identyfikowani użytkownicy mają dostęp do elementów sieciowych (pkt. 8 wymagań PCI).

*Zezwolenie kontroli reguluje dostęp i przypisuje prawa dostępu dla użytkownika.

*Działania rachunkowe podjęte przez użytkownika. To sprawia, że ​​możliwe jest ich kolejne kontrolowanie aby sprawdzić, czy system PCI był respektowany w określonym czasie.

 

Komponenty sieciowe mogą być zgodne z wymaganiami PCI, tylko jeśli obsługują funkcje uwierzytelniania, autoryzacji i zliczające. Jedyny system, który wspiera system Triple-A jest ‘’TACACS +’’. W porównaniu z powszechnie stosowanym systemem RADIUS, system TACACS + ma tę zaletę że każda z jego trzech funkcji: uwierzytelniania, autoryzacji i zliczania, mogże być przetwarzane przez oddzielne składniki. Na przykład, konta użytkowników do uwierzytelniania oraz ich działania (zliczanie), mogą być rejestrowane i kontrolowane osobno na różnych serwerach. TACACS + oferuje również lepsze szyfrowanie danych.

Urządzenia Lancom zapewnienia w całym systemie.
 

Urządzenia Lancom zapewniają zgodność PCI  w całym systemie

Dzięki wsparciu TACACS+, urządzenia LANCOM   zapewniają, że tylko zidentyfikowani użytkownicy mają dostęp do urządzenia oraz jego konfiguracji. Odpowiednie ustawienia praw dostępu dla użytkowników (autoryzacji) zapewnia, że wszelkie zmiany wprowadzone przez użytkownika są w pełni przejrzyste, ponieważ są rejestrowane na serwerze zliczającym. W szczególności blokowane są te funkcje które pozwalają na pełna zmianę konfiguracji urządzania w jednym kroku, jak to bywa podczas pracy z LANconfig. Jeśli funkcja ta byłaby włączona zaistniała by możliwość dokonania zmiany konfiguracji przez kogoś niezalogowanego, co było by sprzeczne z wymogami zgodności ze standardem PCI. Dodatkowe funkcje bezpieczeństwa, w tym ochrony konfiguracji w przypadku kradzieży urządzenia zapewnią ze routery i przełączniki LANCOM są idealne do tworzenia infrastruktury IT zgodnej z PCI.