گامهای استاندارد امنیت داده‌ها در صنعت پرداخت کارتی / اثرات اجرای PCI DSS بر چشم انداز شرکت‌های PSP

به گزارش پایگاه خبری بانکداری الکترونیک، به نقل از تارنمای ایران کیش، کارشناسان اعتقاد دارند به دلیل رشد بسیار سریع شبکه کارتخوان‌های فروشگاهی کشور و سایر روش‌های پرداخت الکترونیک نظیر پرداخت اینترنتی، لازم است که طی برنامه ریزی نهادهای ذی ربط در خصوص طراحی مجدد  لایه امنیتی، تمامی شرکت‌های PSP فعال و نیز تمامی بانک‌های حاضر در کشور ملزم به رعایت استاندارد PCI DSS یا Payment card industry Data Security Standardsگردیده و اقدام به اخذ و ارایه گواهینامه‌های مربوطه در خصوص تمامی ابزارها و تجهیزات خود نمایند و به‌کارگیری هر ابزاری در سطح جامعه منوط به طی فرآیند فوق باشد.*

استفاده از دانش فنی پیشرفته در این استاندارد بین‌المللی، به شرکت‌های PSP در بهره‌گیری حداکثری از منابع انسانی و مادی یاری می‌رساند.

فرآیندهای کارآمد تجاری و صنعتی منتج از این استاندارد، شرکت‌های PSP را برای حضور در عرصه رقابت جهانی و افزایش سرعت تولید با هزینه کمتر برای کسب بازارهای بیشتر توانمند می‌سازد.

بررسی استاندارد در حوزه خدمات پرداخت الکترونیک

انجمن استانداردهای امنیتی صنعت پرداخت کارتی (PCI DSS) با PCI Security Standard Council یک انجمن جهانی است که در سال 2006 تشکیل شد. موسسان این انجمن پنج برند اصلی شبکه پرداخت کارتی در جهان شامل شرکت‌های Visa، MasterCard، Discover، American Express و JCB بوده و تمامی این شرکت‌ها از سهم برابر در اداره و پیشبرد اهداف انجمن برخوردارند.

این انجمن برنامه‌های خود را در زمینه امنیت پرداخت کارتی، استاندارد امنیت داده‌ها در صنعت پرداخت کارتی (PCI DSS)در بخش‌های اصلی ذیل تدوین نموده که عبارتند از 12 مورد که در شش گروه کلی قرار دارند.

توسعه و مدیریت یک شبکه مطمئن شامل:

– نصب و مدیریت یک برنامه Firewall

– عدم استفاده از پارامترهای اولیه نصب‌شده توسط تولیدکننده به عنوان رمز عبور سیستم

محافظت از اطلاعات دارندگان کارت شامل:

– محافظت از اطلاعات ذخیره و آرشیو شده در سیستم

– کدگذاری داده‌های مرتبط با اطلاعات انتقال داده شده در شبکه‌های عمومی

استفاده از یک نرم‌افزار به منظور مدیریت ریسک شامل:

– استفاده و بروزرسانی مداوم نرم‌افزارهای ویروس‌یاب

– توسعه و مدیریت سیستم‌ها و برنامه‌های محافظت شده

پیاده‌سازی راهکارهای کنترلی شدید در میزان دسترسی به اطلاعات شامل:

– محدودکردن دسترسی به اطلاعات دارندگان کارت در حد لزوم

– تخصیص یک کد شناسایی مشخص به تک تک افرادی که به اطلاعات دسترسی دارند

– ایجاد محدودیت در دسترسی فیزیکی به اطلاعات ذخیره‌شده

کنترل و تست شبکه‌های مورد استفاده شامل:

– ثبت و کنترل تمامی ورودها به شبکه‌های حفظ و پردازش اطلاعات دارندگان کارت

– اجرای منظم تست سیستم‌ها و رویه‌های امنیتی

مدیریت یک سیاست امنیتی در قبال اطلاعات کارتی:

– اتخاذ و اجرای سیاستی که حفاظت امنیت اطلاعات توسط تمامی پرسنل را تضمین کند