PCI DSS मानक के प्रिज़्म के माध्यम से ऑडिटिंग पर एक नज़र

प्लास्टिक कार्ड का उपयोग करने वाले कार्यों की संख्या तेजी से बढ़ रही है: ऑनलाइन भुगतान, व्यापार और सेवा उद्यमों में कैशलेस भुगतान, ऑनलाइन बैंकिंग सिस्टम में बैंक खाते का हेरफेर और सेवा प्रदाताओं से अन्य भुगतान आवेदन। तदनुसार, बुनियादी ढांचे का विस्तार हो रहा है, जिसमें कार्डधारकों और महत्वपूर्ण प्रमाणीकरण डेटा के बारे में जानकारी प्रसारित हो रही है। यदि यह जानकारी या इसका कुछ हिस्सा हमलावरों के हाथों में पड़ता है, तो जारीकर्ता बैंकों और अंतिम उपयोगकर्ताओं दोनों को वित्तीय नुकसान होता है।

भुगतान कार्ड धारकों के बारे में डेटा प्रोसेसिंग सिस्टम के पैमाने के विकास के साथ, धोखाधड़ी के लिए क्षेत्र भी बढ़ता है। इस मुद्दे के संदर्भ में, उपयोगकर्ता के लिए लक्षित सबसे आम हमले अभी भी दुर्भावनापूर्ण सॉफ़्टवेयर का उपयोग करके डेटा की चोरी और एक विक्रेता कंपनी के नकली वेब संसाधनों (फ़िशिंग) का उपयोग करके जानकारी की चोरी है। विक्रेता पर निर्देशित हमले, ज्यादातर मामलों में, प्रभावित कंपनी (अंदरूनी सूत्र) के कर्मचारियों द्वारा किए जाते हैं। और अगर पहले मामले में, हमलावरों को उपयोगकर्ता को सूचित करने और उपयुक्त क्लाइंट सॉफ़्टवेयर स्थापित करने के स्तर पर लड़ा जा सकता है, तो दूसरे मामले में, सिस्टम की प्रक्रियाओं की रक्षा के लिए एक उपयुक्त संगठनात्मक और तकनीकी दृष्टिकोण की आवश्यकता होती है जिसमें प्लास्टिक कार्ड डेटा तत्वों को संग्रहीत, संसाधित और प्रेषित किया जाता है।

भुगतान कार्ड उद्योग सुरक्षा मानक परिषद (पीसीआई एसएससी ) [1], जिसे प्रमुख अंतरराष्ट्रीय भुगतान प्रणालियों ( वीज़ा, मास्टर कार्ड, अमेरिकन एक्सप्रेस, डिस्कवर, जेसीबी ) द्वारा स्थापित किया गया है, ने सुरक्षा नियमों में शामिल दस्तावेजों का एक समूह विकसित किया है कार्डधारक डेटा - भुगतान कार्ड उद्योग डेटा सुरक्षा मानक (PCI DSS )।



PCI DSS मानक अवसंरचना के घटकों की सुरक्षा पर सख्त आवश्यकताओं को लागू करता है जिसमें भुगतान कार्ड की जानकारी प्रेषित, संसाधित या संग्रहीत होती है। इन आवश्यकताओं के अनुपालन के लिए भुगतान के बुनियादी ढांचे की जाँच से उन कारणों का पता चलता है जो इसकी सुरक्षा के स्तर को काफी कम करते हैं। इसके अलावा, एक अच्छी तरह से संरचित ऑडिट प्रक्रिया अनुरूपता मूल्यांकन गतिविधियों के दौरान प्राप्त जानकारी को संरचित करने और प्राथमिकता क्रम में सूचना सुरक्षा में सुधार के लिए सिफारिशें करने की अनुमति देती है। इस प्रकार, कंपनी के निपटान में जिसने मानक की आवश्यकताओं के अनुपालन का आकलन करने की सेवा का आदेश दिया, परिणाम न केवल भुगतान की अवसंरचना की सुरक्षा का सबसे पूरा चित्र है, जिसमें आधिकारिक रिपोर्ट के रूप में प्रत्येक आवश्यकता पर टिप्पणी की गई है, बल्कि एक कार्य योजना भी है, जो मूल चरणों का एक सेट है जिसे पूरा किया जाना चाहिए। समस्याओं को ठीक करने के लिए। पेनिट्रेशन परीक्षण, जो पीसीआई डीएसएस मानक द्वारा विनियमित अनिवार्य घटनाओं की सूची में शामिल हैं, अध्ययन की परिधि के बाहर स्थित हमलावर की स्थिति और कंपनी के आंतरिक कर्मचारी की स्थिति दोनों से कंपनी के सूचना संसाधनों की सुरक्षा के वास्तविक स्तर को प्रदर्शित कर सकते हैं।
अंतर्राष्ट्रीय भुगतान प्रणाली ( एमपीएस ) सभी बैंकों, व्यापार और सेवा उद्यमों ( टीएसपी ), प्रोसेसर और अन्य कंपनियों को बाध्य करती है जो पीसीआई डीएसएस मानक के अनुपालन के लिए भुगतान कार्ड के क्षेत्र में कारोबार करती हैं। मानक की आवश्यकताओं के अनुपालन न करने के लिए रेल मंत्रालय से दंड की अनुपस्थिति टीएसपी और सेवा प्रदाताओं के बुनियादी ढांचे और व्यावसायिक प्रक्रियाओं के लिए एक अनुकूलन उपाय है। पूर्वगामी से, यह इस तथ्य का अनुसरण करता है कि आपको PCI DSS अनुपालन सत्यापन सेवा को केवल औपचारिकता के प्रमाण पत्र प्राप्त करने के लिए एक औपचारिक प्रक्रिया के रूप में नहीं लेना चाहिए।

पीसीआई डीएसएस अनुपालन सत्यापन सेवा प्रदान करने वाली एक सलाहकार कंपनी को इस मानक के ऑडिट के लिए अपने निपटान में एक कार्यप्रणाली होनी चाहिए, जो अध्ययन के तहत बुनियादी ढांचे की सुरक्षा स्थिति का आकलन करेगी। PCI DSS आवश्यकताओं के संदर्भ में, कार्यप्रणाली समय की एक निश्चित अवधि के लिए अध्ययन के तहत प्रणाली के मुख्य घटकों को उजागर करने और परिणामों को तदनुसार संरचना करने की अनुमति देगा। इस प्रकार, सलाहकार का कार्य कार्डधारक डेटा की सुरक्षा सुनिश्चित करना है और परिणामस्वरूप, ग्राहक PCI DSS मानक की आवश्यकताओं को पूरा करने में सहायता करना है।

परिभाषित

ASV (स्वीकृत स्कैनिंग विक्रेता) एक स्कैनिंग सेवा प्रदाता है जिसे सुरक्षा मानक परिषद (PCI SSC) से आधिकारिक दर्जा प्राप्त है।

ऑन-साइट ऑडिट - ग्राहक के बुनियादी ढांचे का एक ऑडिट, जो ऑडिटर द्वारा सीधे कार्यशील घटकों पर किया जाता है।

क्यूएसए (क्वालिफाइड सिक्योरिटी एसेसर) एक ऐसी कंपनी है, जिसके कर्मचारियों ने व्यक्तिगत रूप से सुरक्षा मानक परिषद (पीसीआई सुरक्षा परिषद) द्वारा आयोजित प्रशिक्षण और परीक्षाएं उत्तीर्ण की हैं।

ऑडिटर (सलाहकार) - पीसीआई डीएसएस (मानक की आवश्यकताओं के अनुपालन का सत्यापन) और पीसीआई डीएसएस मानक की आवश्यकताओं के अनुपालन से संबंधित परामर्श गतिविधियों से संबंधित एक ऑडिट में लगे व्यक्ति।

ग्राहक - PCI DSS मानक की आवश्यकताओं के अनुपालन के लिए एक चेक के ठेकेदार द्वारा प्रदर्शन में रुचि रखने वाली कानूनी इकाई।

अधिग्रहणकर्ता बैंक कार्ड जारी करने वालों के संघ का सदस्य होता है, जो भुगतान कार्ड को स्वीकार करने वाले व्यापार और सेवा नेटवर्क के उद्यमों के साथ बातचीत को स्थापित और बनाए रखता है। [2]

PCI DSS स्टैंडर्ड

PCI DSS ओवरव्यू

भुगतान कार्ड उद्योग डेटा सुरक्षा मानक भुगतान कार्ड धारकों पर डेटा की सुरक्षा सुनिश्चित करने के लिए 12 विस्तृत आवश्यकताओं का एक सेट है जो व्यापार और सेवा उद्यमों, सेवा प्रदाताओं और अन्य संगठनों के सूचना बुनियादी ढांचे में संचारित, संग्रहीत और संसाधित किए जाते हैं। मानक की आवश्यकताओं के अनुपालन को सुनिश्चित करने के लिए उचित उपाय करना, भुगतान कार्ड डेटा की सूचना सुरक्षा सुनिश्चित करने के लिए एक एकीकृत दृष्टिकोण का अर्थ है।

संरचना [3] और पीसीआई डीएसएस मानक के आधिकारिक सहायक दस्तावेजों का विवरण:

1) भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। सुरक्षा ऑडिट आवश्यकताओं और प्रक्रियाओं। संस्करण 2.0 (भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। आवश्यकताएँ और सुरक्षा मूल्यांकन प्रक्रिया v2.0)।
दस्तावेज़ में मानक की विस्तार से 12 आवश्यकताओं, उनकी प्रयोज्यता का दायरा, मानक आवश्यकताओं के अनुपालन की एक ऑडिट की तैयारी पर बुनियादी जानकारी और एक ऑडिट आयोजित करने के साथ-साथ रिपोर्टिंग सामग्री पर जानकारी का वर्णन है। दस्तावेज़ को मुख्य रूप से लेखा परीक्षकों द्वारा मानक की आवश्यकताओं के अनुपालन के लिए ऑनसाइट ऑडिट आयोजित करने के लिए विकसित किया गया था।

2) शब्दावली। संस्करण 2.0 (शब्दावली v2.0)।
PCI DSS विनियामक दस्तावेजों में उपयोग किए जाने वाले नियमों और संक्षिप्तताओं की एक सूची। इसका उद्देश्य अन्य सहायक दस्तावेजों में प्रयुक्त शर्तों को समझना है और इसलिए ग्राहक को समीक्षा के लिए सिफारिश की जाती है।

3) पीसीआई डीएसएस में अभिविन्यास। संस्करण 2.0 (PCI DSS को नेविगेट करना। संस्करण 2.0)।
एक दस्तावेज जो व्यापार और सेवा नेटवर्क, सेवा प्रदाताओं और अन्य वित्तीय संस्थानों के उद्यमों द्वारा मानक आवश्यकताओं की समझ में सुधार करने के लिए उनके अर्थ की व्याख्या के साथ मानक की 12 आवश्यकताओं का वर्णन करता है।

4) PCI DSS अनुपालन प्राप्त करने के लिए प्राथमिकता वाला दृष्टिकोण। संस्करण 1.2 (पीसीआई डीएसएस v1.2 के लिए प्राथमिकता वाला दृष्टिकोण)।
मानक के अनुपालन को प्राप्त करने के लिए गतिविधियों के शुरुआती चरणों में जोखिम को कम करने के लिए काम के नियम। प्राथमिकता वाले दृष्टिकोण में 6 चरण होते हैं, जो प्राथमिकता के क्रम में अनुपालन को प्राप्त करने के प्रयासों को वितरित करने में मदद करेगा, निष्पादन की प्रक्रिया में भुगतान कार्ड डेटा से समझौता करने के जोखिम को कम करेगा। दृष्टिकोण PCI DSS v2.0 मानक की आवश्यकताओं को प्रतिस्थापित नहीं करता है।

5) अर्हताप्राप्त सुरक्षा विशेषज्ञों के लिए आवश्यकताएँ (पीसीआई डीएसएस मान्यता प्राप्त अर्हताप्राप्तिक मूल्यांकनकर्ताओं के लिए आवश्यकताएँ)।
एक आवेदन जिसमें सुरक्षा विशेषज्ञों के लिए भुगतान कार्ड सुरक्षा मानक बोर्ड की आवश्यकताएं होती हैं जो एक योग्य सुरक्षा विशेषज्ञ (क्यूएसए) की स्थिति प्राप्त करते हैं या पहले से ही हैं।

6) स्कैनिंग सेवा प्रदाताओं के लिए आवश्यकताएँ (स्वीकृत स्कैनिंग विक्रेताओं के लिए PCI DSS सत्यापन आवश्यकताएँ)।
एक आवेदन जिसमें सुरक्षा विशेषज्ञों के लिए भुगतान कार्ड सुरक्षा मानक बोर्ड की आवश्यकताएं होती हैं जो एक स्कैनिंग सेवा प्रदाता (एएसवी) प्राप्त करते हैं या पहले से ही हैं।

7) आत्मसम्मान की चादर। संस्करण 2.0 (PCI DSS स्व-मूल्यांकन प्रश्नावली v2.0)।
स्व-मूल्यांकन पत्रक मानक के साथ उनके अनुपालन के व्यापार और सेवा उद्यमों और सेवा प्रदाताओं द्वारा स्व-मूल्यांकन का आयोजन करने के लिए हैं, दस्तावेज़ के अनुसार पीसीआई डीएसएस मानक के साथ वित्तीय संगठन के अनुपालन की पुष्टि करने के साधन का प्रतिनिधित्व करते हैं “भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। सुरक्षा ऑडिट आवश्यकताओं और प्रक्रियाओं। संस्करण 2.0 "(" भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। आवश्यकताएँ और सुरक्षा मूल्यांकन प्रक्रिया v2.0 ")। एक स्व-मूल्यांकन पत्रक के लिए कई विकल्प हैं जो किसी विशेष मामले में उपयोग किए जाते हैं।

8) PCI DSS अनुरूपता मूल्यांकन - व्यापार संगठन। संस्करण 2.0 (पीसीआई डीएसएस अनुपालन का सत्यापन - व्यापारी v2.0)।
एक दस्तावेज़ टेम्पलेट जो QSA या व्यापार संगठन द्वारा भरा जाता है (यदि व्यापार संगठन एक आंतरिक ऑडिट करता है), और परिणामस्वरूप PCI DSS मानक के साथ इस संगठन के अनुपालन पर एक आधिकारिक दस्तावेज़ है।

9) PCI DSS अनुरूपता मूल्यांकन - सेवा प्रदाता। संस्करण 2.0 (PCI DSS अनुपालन का सत्यापन - सेवा प्रदाता v2.0)।
दस्तावेज़ टेम्पलेट जिसे QSA और सेवा प्रदाता को PCI DSS मानक के साथ इस सेवा प्रदाता के अनुपालन पर एक आधिकारिक दस्तावेज़ के रूप में भरना चाहिए।

अतिरिक्त दस्तावेज:

1) अतिरिक्त दस्तावेज - एएसवी (अतिरिक्त दस्तावेज - एएसवी)।
स्कैन सर्विस प्रोवाइडर (एएसवी) डॉक्यूमेंटेशन किट: एएसवी प्रोग्राम गाइड, एएसवी रिक्वायरमेंट लिस्ट, एएसवी कंप्लायंस चेक।

2) अतिरिक्त दस्तावेज - क्यूएसए (अतिरिक्त दस्तावेज - क्यूएसए)।
योग्य सुरक्षा विशेषज्ञों के लिए प्रलेखन (QSA): QSA, QSA आवश्यकताओं की सूची।

3) अतिरिक्त दस्तावेज - पीएफआई (अतिरिक्त दस्तावेज - पीएफआई)।
भुगतान कार्ड उद्योग (पीएफआई) में फोरेंसिक विशेषज्ञों के लिए प्रलेखन का एक सेट: पीएफआई कार्यक्रम गाइड, पीएफआई आवश्यकताओं की सूची, पीएफआई स्थिति के अनुपालन का सत्यापन। भुगतान उद्योग में फोरेंसिक विशेषज्ञ की स्थिति PCI SSC परिषद द्वारा PCI DSS मानक के दूसरे संस्करण के साथ पेश की गई थी।

4) आवश्यकता 11.3 प्रवेश परीक्षण।
प्रवेश परीक्षण के लिए PCI DSS मानक 11.3 का विस्तृत विवरण।

5) आवश्यकता 6.6 आवेदन समीक्षा और वेब अनुप्रयोग फायरवॉल स्पष्ट।
वेब अनुप्रयोगों को सुरक्षित करने के लिए PCI DSS मानक 6.6 का स्पष्टीकरण।

6) वायरलेस नेटवर्क के लिए गाइड। संस्करण 1.2 (वायरलेस दिशानिर्देश v1.2)
दस्तावेज़ में PCI DSS आवश्यकताओं के संदर्भ में वायरलेस नेटवर्क को तैनात करने और परीक्षण करने के लिए सुझाव और सिफारिशें शामिल हैं।

मानक का डेवलपर अपने प्रलेखन आधार को संरचित करने की प्रक्रिया पर ध्यान नहीं देता है। परामर्शदाता को लेखापरीक्षा के लिए एक पद्धतिगत आधार विकसित करने के लिए आधिकारिक दस्तावेजों के संबंध को निर्धारित करना चाहिए। चित्र 1 में आधिकारिक PCI DSS दस्तावेजों के अधीनता को दर्शाने वाला एक आरेख है।



चित्र 1 - पीसीआई डीएसएस मानक के आधिकारिक दस्तावेजों की अधीनता

मुख्य डेटा सुरक्षा आवश्यकताओं

भुगतान कार्ड धारकों पर डेटा के संरक्षण के आयोजन के लिए मुख्य आवश्यकताएं दस्तावेज़ "भुगतान कार्ड उद्योग डेटा सुरक्षा मानक" में तैयार की जाती हैं। सुरक्षा ऑडिट आवश्यकताओं और प्रक्रियाओं। संस्करण 2.0 ”(“ भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। आवश्यकताएँ और सुरक्षा मूल्यांकन प्रक्रिया v2.0 ”) और इस तरह से समूहीकृत किया गया ताकि सुरक्षा ऑडिटिंग की प्रक्रिया को सरल बनाया जा सके। निम्नलिखित 12 आवश्यकताओं की एक सूची है जो PCI DSS मानक के केंद्र में है और इन्हें लेखापरीक्षा प्रक्रिया के प्रकार और उनके संक्षिप्त विश्लेषण द्वारा वर्गीकृत किया गया है। [४]

1) आवश्यकता 1. "कार्डधारक डेटा की सुरक्षा के लिए फ़ायरवॉल के कार्य को स्थापित और सुनिश्चित करें।"
2) आवश्यकता 2। "डिफ़ॉल्ट रूप से निर्माता द्वारा निर्धारित पासवर्ड और अन्य सिस्टम मापदंडों का उपयोग न करें।"

पहले समूह को "एक सुरक्षित नेटवर्क का निर्माण और रखरखाव" कहा जाता है (आवश्यकताओं 1 और 2)। पहली आवश्यकता से, यह स्पष्ट हो जाता है कि लक्ष्य के बुनियादी ढांचे के विभाजन की प्रक्रिया कितनी महत्वपूर्ण है और यह प्रक्रिया किस आधार पर बनी है। फ़ायरवॉल सुरक्षा की नींव है। परिचालित यातायात का उचित डिजाइन पूरे बुनियादी ढांचे को एक पूरे के रूप में दर्शाता है। फिर भी, मानक का नवीनतम संस्करण फिर भी पहली आवश्यकता के शब्दों में कुछ नरमी लाता है और केवल फ़ायरवॉल के माध्यम से यातायात को फ़िल्टर करने और अवरुद्ध करने के तथ्य का तात्पर्य नहीं करता है।

विचाराधीन प्रणाली के मुख्य घटकों पर नेटवर्क ट्रैफ़िक को अवरुद्ध और फ़िल्टर करने के अलावा (जो कि सहायक दस्तावेजों के संदर्भ में, अध्ययन के तहत नेटवर्क में एक सर्वर का मतलब है), पहली आवश्यकता में खंड 1.4 होता है, जो उचित कॉन्फ़िगरेशन वाले कंपनी कर्मचारियों के कार्यस्थानों में व्यक्तिगत फ़ायरवॉल का अर्थ है (उपयोगकर्ता मापदंडों को नहीं बदल सकता है) फ़ायरवॉल का काम) - संगठन के व्यवस्थापक द्वारा प्रक्रिया को नियंत्रित करना सबसे कठिन है। दूसरी आवश्यकता डिफ़ॉल्ट रूप से निर्माता द्वारा निर्धारित सिस्टम मापदंडों में अनिवार्य परिवर्तन के नेटवर्क प्रशासकों को याद दिलाती है।

3) आवश्यकता 3. "कार्डधारकों पर डेटा के सुरक्षित भंडारण को सुनिश्चित करने के लिए"।
4) आवश्यकता 4. "सार्वजनिक नेटवर्क के माध्यम से प्रसारित किए जाने पर कार्डधारकों पर डेटा का एन्क्रिप्शन सुनिश्चित करें।"

आवश्यकताओं का समूह "कार्डधारकों पर डेटा की सुरक्षा" (आवश्यकताओं 3 और 4) डेटा सुरक्षा के महत्वपूर्ण तरीकों (एन्क्रिप्शन, सुरक्षा कुंजी नीतियों, आदि) और उनके दायरे पर विचार करता है, जबकि अन्य आवश्यकताओं में वर्णित सूचना सुरक्षा के अन्य तरीके। समझौता के जोखिमों को कम करने के साधन के रूप में तैनात हैं। आवश्यकताओं का यह सेट सुरक्षा कुंजी नीति और जीवन चक्र का वर्णन करता है। इस तथ्य के कारण कि एन्क्रिप्टेड रूप में प्लास्टिक कार्ड के मालिकों पर डेटा का भंडारण एक हमलावर द्वारा उनके अवैध उपयोग के तथ्य को समाप्त करता है (यदि वह किसी तरह सुरक्षा के अन्य लाइनों से आगे निकल जाता है), इस समूह के अंक काफी कठोर शब्द हैं, जो इसे वस्तु द्वारा स्पष्ट रूप से व्याख्या करने की अनुमति देता है। और लेखा परीक्षा का विषय। व्यक्तिगत डेटा (किसी विशिष्ट व्यक्ति से संबंधित जानकारी) से संबंधित प्लास्टिक कार्ड धारकों पर डेटा संग्रहीत करने के लिए एक उपयोगी तकनीक उनका "प्रतिरूपणीकरण" है - इन डेटा के टुकड़ों को हटाने या स्वतंत्र रूप से संग्रहीत करने की प्रक्रिया जो स्वयं अपने मालिक की विशिष्ट पहचान नहीं कर सकती है।

5) आवश्यकता 5. "एंटीवायरस सॉफ़्टवेयर का उपयोग और नियमित रूप से अपडेट करें।"
6) आवश्यकता 6. "सुरक्षित प्रणाली और अनुप्रयोगों को विकसित और बनाए रखना।"

वह समूह जो 5 और 6 की आवश्यकताओं को जोड़ता है, उसे भेद्यता प्रबंधन कहा जाता है। भेद्यता प्रबंधन वर्तमान अद्यतनों की समय पर स्थापना को संदर्भित करता है, जिसमें एंटी-वायरस सॉफ़्टवेयर, सुरक्षित अनुप्रयोगों के विकास, रखरखाव और उपयोग शामिल हैं, जिसमें वेब-आधारित भी शामिल हैं।

7) आवश्यकता 7. "आधिकारिक आवश्यकता के अनुसार कार्डधारकों पर डेटा तक पहुंच को प्रतिबंधित करें।"
8) आवश्यकता 8. "प्रत्येक व्यक्ति के लिए एक अद्वितीय पहचानकर्ता असाइन करें, जिनके पास सूचना बुनियादी ढांचे तक पहुंच हो।"
9) आवश्यकता 9. "कार्डधारक डेटा तक भौतिक पहुंच को प्रतिबंधित करें।"

आवश्यकताएँ 7, 8, 9 को "कड़े अभिगम नियंत्रण उपायों के कार्यान्वयन" समूह में वर्गीकृत किया गया है और संगठनात्मक सुरक्षा उपायों और भौतिक पहुंच और निगरानी तंत्र दोनों का उपयोग करके सूचना की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और प्रकृति में हैं।

10) आवश्यकता 10. "नेटवर्क संसाधनों और कार्डधारकों पर डेटा तक किसी भी पहुंच को नियंत्रित और मॉनिटर करने के लिए"।
11) आवश्यकता 11. "सुरक्षा प्रणालियों और प्रक्रियाओं का नियमित परीक्षण करें।"

लेखा परीक्षक के लिए उल्लेखनीय आवश्यकताओं का समूह है "नेटवर्क की नियमित निगरानी और परीक्षण" (आवश्यकताओं 10, 11)। प्रत्येक खुदरा और सेवा उद्यम आंतरिक सूचना सुरक्षा सेवा की सामग्री को वहन नहीं कर सकता है और नियमित रूप से पैठ और निगरानी प्रक्रियाओं पर निवारक परीक्षण करता है। इन व्यवस्थित प्रक्रियाओं को लागू करने की आवश्यकता आंतरिक और बाहरी प्रवेश परीक्षणों के रूप में सूचना सुरक्षा बाजार में सेवाओं की एक श्रृंखला को जन्म देती है, जो पूरी तरह से अलग-अलग आपूर्तिकर्ताओं से कमजोरियों के लिए बुनियादी ढांचे को स्कैन करती है। PCI DSS मानक के अनुपालन का आकलन करने की प्रक्रिया में, लेखा परीक्षक को नवीनतम निवारक पैठ परीक्षण और ASV स्कैन (11.2 "त्रैमासिक भेद्यता स्कैनिंग" और 11.3 "वार्षिक पैठ परीक्षण") के परिणामों की समीक्षा करनी चाहिए और सुनिश्चित करें कि सभी पहचानी गई कमजोरियों का समाधान हो गया है।तथ्य यह है कि इन परिणामों को तीसरे संगठन द्वारा प्रदान किए गए पैठ परीक्षण और भेद्यता स्कैनिंग सेवाओं के परिणामस्वरूप प्राप्त किया जा सकता है और, परिणामस्वरूप, तीसरे पक्ष द्वारा इस सेवा के प्रावधान के दौरान प्राप्त आंकड़ों में विश्वास पर ऑडिटर का निष्कर्ष आधारित है।

12) आवश्यकता 12. "सूचना सुरक्षा नीति का विकास और रखरखाव करना।"

कार्यान्वयन के दायरे के संदर्भ में आवश्यकता 12 ग्राहक के बुनियादी ढांचे के अनुकूलन के मामले में सबसे कठिन है। खण्ड 12.1.1 में ऐसी नीति के निर्माण की आवश्यकता है जो सभी PCI DSS आवश्यकताओं को ध्यान में रखे। व्यापारी और सेवा प्रदाता जो प्रमाणित हैं, उन्हें अपनी सुरक्षा नीति विकसित करनी चाहिए या मानक की आवश्यकताओं के अनुसार वर्तमान की समीक्षा करनी चाहिए।

वीज़ा और मास्टरकार्ड सुरक्षा कार्यक्रम

PCI DSS मानक को अग्रणी अंतरराष्ट्रीय भुगतान प्रणालियों द्वारा विकसित किया गया है और यह वीज़ा और मास्टरकार्ड सुरक्षा कार्यक्रमों की आवश्यकताओं को जोड़ती है।

वीज़ा एआईएस कार्यक्रम

वीज़ा खाता सूचना सुरक्षा (एआईएस) कार्यक्रम को यूरोप के लिए वीज़ा द्वारा विकसित किया गया था (संयुक्त राज्य अमेरिका के लिए एक समान वीज़ा कार्यक्रम - कार्डधारक सूचना सुरक्षा कार्यक्रम) व्यापारियों और सेवा प्रदाताओं को वीज़ा भुगतान कार्ड धारकों के लिए अपने सुरक्षा उपायों में सुधार करने में मदद करने के लिए लेन-देन की जानकारी।

संगठन द्वारा मिलने वाले वीज़ा एआईएस कार्यक्रम की आवश्यकताएं संगठन द्वारा प्रतिवर्ष संग्रहीत, संसाधित और प्रेषित वीज़ा क्रेडेंशियल्स की संख्या पर निर्भर करती हैं। इन आंकड़ों के अनुसार, अधिग्रहणकर्ता व्यापारी को एक निश्चित स्तर प्रदान करता है। नीचे व्यापारियों और सेवा प्रदाताओं के लिए कार्यक्रम की आवश्यकताओं की एक सूची है।

व्यापारियों के लिए आवश्यकताएँ:

1) PCI DSS आवश्यकताओं के अनुपालन पर एक वार्षिक ऑडिट (कोई भी TSP जो प्रति वर्ष 6 मिलियन से अधिक वीज़ा लेनदेन की प्रक्रिया करता है या अंतर्राष्ट्रीय TSPs जिन्हें किसी अन्य क्षेत्र या देश में 1 वीज़ा स्तर सौंपा गया था);

2) प्रश्नावली (SAQ) का सालाना स्व-समापन (टीएसपी प्रसंस्करण 1 मिलियन से 6 मिलियन वीज़ा लेनदेन प्रति वर्ष सभी भुगतान चैनलों पर या टीएसपी प्रसंस्करण 20,000 से 1 मिलियन वीज़ा ई-कॉमर्स लेनदेन प्रति वर्ष) ;

3) स्कैनिंग सेवा प्रदाता (एएसवी) द्वारा त्रैमासिक नेटवर्क स्कैनिंग;

4) अनुरूपता के प्रमाण पत्र की उपस्थिति (टीएसपी के सभी स्तरों के लिए);

5) अधिग्रहणकर्ता द्वारा निष्पादित अनुपालन जांच (प्रति वर्ष 20,000 वीज़ा ई-कॉमर्स लेनदेन से कम टीएसपी प्रसंस्करण, या प्रति वर्ष 1 मिलियन लेनदेन तक सभी अन्य टीएसपी प्रसंस्करण)।

सेवा प्रदाताओं के लिए वीज़ा की आवश्यकताएं:

पीसीआई डीएसएस आवश्यकताओं के अनुपालन का 1) वार्षिक ऑडिट;

2) SAQ का वार्षिक समापन (कोई भी सेवा प्रदाता जो प्रति वर्ष 300,000 से कम वीज़ा लेनदेन की प्रक्रिया करता है);

3) PCI DSS मानक के अनुसार त्रैमासिक नेटवर्क स्कैनिंग;

4) अनुरूपता का प्रमाण पत्र की उपस्थिति।

मास्टरकार्ड एसडीपी कार्यक्रम

मास्टरकार्ड अनुमोदित मास्टरकार्ड साइट डेटा प्रोटेक्शन (एसडीपी) को पीसीएस डीएसएस मानक के अनुसार टीएसपी और मास्टरकार्ड खाते के सेवा प्रदाताओं को सुरक्षित रूप से स्टोर करने के लिए डिज़ाइन किया गया है। नीचे व्यापारियों और सेवा प्रदाताओं के लिए कार्यक्रम की आवश्यकताओं की एक सूची है।

व्यापारियों के लिए मास्टरकार्ड की आवश्यकताएं:

ए) स्तर 1 के टीएसपी (सभी टीएसपी मास्टरकार्ड और मेस्ट्रो कार्ड पर सालाना 6 मिलियन से अधिक के कारोबार के साथ; सभी टीएसपी जो एक हैक या हमले से पीड़ित थे, जिसके परिणामस्वरूप डेटा लीक हुआ था; कोई भी टीएसपी जिसे मास्टरकार्ड के विवेक पर 1 के स्तर पर सौंपा गया है) को निम्नलिखित आवश्यकताओं का पालन करना चाहिए:

1) क्यूएसए द्वारा किया गया वार्षिक ऑडिट;
2) ASV द्वारा किया जाने वाला त्रैमासिक नेटवर्क स्कैन;
3) अनिवार्य अनुपालन सत्यापन प्रक्रिया।

बी) टियर 2 टीएसपी (1 मिलियन से अधिक टर्नओवर वाले सभी टीएसपी, लेकिन मास्टरकार्ड और मेस्ट्रो कार्ड पर सालाना 6 मिलियन से कम लेनदेन के बराबर या अन्य टीएसपी, एक अन्य भुगतान प्रणाली के स्तर 2 के अनुरूप) निम्नलिखित आवश्यकताओं को पूरा करना चाहिए:

1) क्यूएसए द्वारा आयोजित वार्षिक ऑडिट ;
2) SAQ प्रश्नावली (31 दिसंबर, 2010 तक) का वार्षिक समापन;
3) ASV द्वारा त्रैमासिक नेटवर्क स्कैन;
4) प्रारंभिक अनुपालन सत्यापन प्रक्रियाओं का कार्यान्वयन (31 दिसंबर 2010 तक)।

ग) लेवल 3 टीएसपी (सभी टीएसपी, मास्टरकार्ड और मेस्ट्रो पर ई-कॉमर्स लेनदेन की संख्या प्रति वर्ष 20,000 से अधिक है, लेकिन मास्टरकार्ड और मेस्ट्रो पर इलेक्ट्रॉनिक कॉमर्स लेनदेन की कुल संख्या 1 मिलियन से अधिक नहीं है; सभी टीएसपी अन्य भुगतान प्रणाली के स्तर 3 के अनुरूप होना चाहिए) निम्नलिखित आवश्यकताएँ:

1) SAQ प्रश्नावली का वार्षिक समापन;
2) ASV द्वारा त्रैमासिक नेटवर्क स्कैन;
3) अनिवार्य अनुपालन सत्यापन प्रक्रिया।

डी) स्तर 4 के टीएसपी (सभी टीएसपी पहले तीन स्तरों से संबंधित नहीं हैं) को निम्नलिखित आवश्यकताओं को पूरा करना चाहिए:

1) एसएक्यू प्रश्नावली का वार्षिक समापन;
2) ASV द्वारा त्रैमासिक नेटवर्क स्कैन;
3) अनुपालन सत्यापन प्रक्रियाओं की तारीख पर अधिग्रहणकर्ता के साथ परामर्श।

सेवा प्रदाताओं के लिए मास्टरकार्ड की आवश्यकताएं:

ए) स्तर 1 सेवा प्रदाता (सभी तृतीय-पक्ष प्रोसेसर; सभी भंडारण संगठन जो प्रतिवर्ष 300,000 से अधिक मास्टरकार्ड और मेस्ट्रो लेनदेन की दुकान, स्थानांतरण या प्रक्रिया करते हैं) को निम्नलिखित आवश्यकताओं को पूरा करना चाहिए:

1 ) QSA द्वारा आयोजित वार्षिक लेखा परीक्षा;
2) ASV द्वारा त्रैमासिक नेटवर्क स्कैन।

ख) स्तर 2 के सेवा प्रदाताओं (सभी डेटा संग्रहण संगठन जो मास्टरकार्ड और मेस्ट्रो के 300,000 से कम लेनदेन को सालाना स्टोर, हस्तांतरण या प्रक्रिया करते हैं) को निम्नलिखित आवश्यकताओं को पूरा करना चाहिए:

1) SAQ प्रश्नावली का वार्षिक समापन;
2) ASV द्वारा त्रैमासिक नेटवर्क स्कैन।

IPU की आवश्यकताओं के अनुपालन में विफलता के लिए जिम्मेदारी

TSP का स्तर सीधे उस ब्रीफ़र द्वारा निर्धारित किया जाता है जिससे TSP जुड़ा हुआ है। बदले में, वर्ष में दो बार रेल मंत्रालय को PCI DSS मानक की आवश्यकताओं के साथ TSP स्तर 1, 2 और 3 के अनुपालन पर रिपोर्ट प्रदान करने के लिए परिचितों की आवश्यकता होती है। इस प्रकार, अधिग्रहणकर्ता व्यापार और सेवा उद्यमों और रेल मंत्रालय के बीच एक मध्यस्थ के रूप में कार्य करता है। व्यापार और सेवा उद्यमों द्वारा रेल मंत्रालय के नियमों के उल्लंघन के मामले में, वीज़ा जोखिमों को नियंत्रित करने के लिए उचित उपाय करेगा, जिसके परिणामस्वरूप प्राप्तकर्ताओं पर जुर्माना लगाया जा सकता है [5]।

सेवा प्रदाता जो स्तर 1 मानदंड को पूरा करते हैं वे आवश्यक अनुपालन प्रक्रियाओं से गुजरते हैं और पीसीआई डीएसएस शिकायत सेवा प्रदाताओं की सूची में शामिल होते हैं। स्तर 2 सेवा प्रदाताओं को निर्दिष्ट सूची में शामिल नहीं किया गया है और संबंधित परिचितों द्वारा नियंत्रित किया जाता है (नियंत्रण एक स्व-प्रश्नावली के परिणामों की निगरानी कर रहा है)।



चित्र 2 - वित्तीय संगठनों के साथ रेल मंत्रालय की सहभागिता की योजना

PCI DSS मानक के अनुसार IS ऑडिट

PCI DSS सेवाएँ

निम्नलिखित सेवाएँ हैं जो PCI DSS मानक के तहत प्रदान की जा सकती हैं।

1) PCI DSS मानक की आवश्यकताओं के अनुपालन के लिए ऑडिट।

यह QSA (क्वालिफाइड सिक्योरिटी एसेसर) की स्थिति के साथ ऑडिटर्स द्वारा किया जाता है और इसमें निम्नलिखित सामान्य चरण शामिल हैं:
a) PCI DSS मानक के अनुपालन के लिए ऑडिट की तैयारी और योजना पर काम;
ख) लेखा परीक्षा प्रक्रिया के अनुसार गतिविधियों का संचालन करना;
ग) परिणामों का विश्लेषण;
d) PCI DSS मानक के अनुपालन के लिए ऑडिट रिपोर्ट तैयार करना।

2) PCI DSS के अनुपालन के लिए ऑडिट आयोजित करने के लिए ग्राहक के बुनियादी ढांचे की तैयारी
यह PCI DSS मानक के अनुपालन के लिए प्रमाणन गतिविधियों के लिए ग्राहक के बुनियादी ढांचे को तैयार करने के लिए किया जाता है और मानक की आवश्यकताओं के अनुपालन के लिए प्रारंभिक ऑडिट है।

3) PCI DSS मानक की आवश्यकताओं के अनुसार भेद्यता स्कैनिंग।
यह ASV (स्वीकृत स्कैनिंग विक्रेता) की स्थिति वाली कंपनी द्वारा किया जाता है और PCI DSS मानक के 11.3 की आवश्यकता के अनुसार, एक अनिवार्य प्रक्रिया है जो आधिकारिक दस्तावेज PCI DSS सुरक्षा स्कैनिंग प्रक्रियाओं में विस्तृत है।

4) पीसीआई डीएसएस मानक की आवश्यकताओं के अनुसार
पेनेट्रेशन टेस्ट । मानक के अनुपालन को प्राप्त करने के लिए पेनेट्रेशन टेस्ट एक अनिवार्य प्रक्रिया है, जिसे वर्ष में कम से कम एक बार किया जाता है (पीसीआई डीएसएस मानक की 11.3 आवश्यकता) और शामिल हैं:

ए) एक बाहरी प्रवेश परीक्षा;
b) इंटरनल ऑडिट।

5) ग्राहक संगठन के कर्मचारियों की सूचना सुरक्षा के क्षेत्र में सतत शिक्षा पाठ्यक्रम।
यह ग्राहक के कर्मचारियों के बारे में जागरूकता बढ़ाने के उद्देश्य से किया जाता है और वैकल्पिक रूप से शामिल हैं:

क) सूचना सुरक्षा के विभिन्न पहलुओं पर प्रशिक्षण और सेमिनार;
बी) विषयगत प्रस्तुतियों का प्रदर्शन;
d) वेबिनार आयोजित करना।

PCI DSS मानक वीजा और मास्टरकार्ड (वीजा AIS, मास्टर कार्ड SDP) द्वारा विकसित सूचना सुरक्षा कार्यक्रमों की आवश्यकताओं को जोड़ती है, जो इन भुगतान प्रणालियों के साथ काम करने वाले सभी संगठनों पर लागू होता है।

मानक CEMEA क्षेत्र (मध्य और पूर्वी यूरोप, मध्य पूर्व और अफ्रीका) के लिए आवश्यक है, जहां PCI DSS मानक अनिवार्य है, इसलिए इस क्षेत्र के सभी TSP और सेवा प्रदाताओं को अनुपालन प्रक्रिया से गुजरना होगा। इस प्रकार, रूसी वित्तीय संगठन जो उपरोक्त MEAs के साथ सहयोग करते हैं, को PCI DSS मानक के अनुपालन का अनिवार्य मूल्यांकन करना चाहिए।

अनुपालन ऑडिट आयोजित करने के लिए सामान्य दृष्टिकोण

PCI DSS मानक के तहत प्रदान की जा सकने वाली सेवाओं की सामान्य सूची में, ग्राहक के बुनियादी ढांचे की सुरक्षा की समग्र तस्वीर प्राप्त करना और अनुपालन का प्रमाण पत्र जारी करना, अपनी आवश्यकताओं के अनुपालन के लिए एक ऑडिट सेवा प्रदान कर सकता है, जिसे QSA स्थिति प्राप्त करने वाली कंपनी द्वारा किया जाता है।

आईएस ऑडिट करने के दृष्टिकोण के बीच, दो मूलभूत रूप से भिन्न विधियां हैं:

1) प्रवेश परीक्षण;
2) सूचना सुरक्षा की तकनीकी लेखापरीक्षा।

अनुरूपता जांच प्रक्रिया के पहले चरणों में, लेखा परीक्षक ऑडिट क्षेत्र की पहचान करता है - घटकों का एक समूह, जिसका सत्यापन, उनकी राय में, भुगतान कार्ड डेटा की सुरक्षा की डिग्री के बारे में पूरी जानकारी प्राप्त करने के लिए पर्याप्त है।

PCI DSS मानक आवश्यकताओं के अनुपालन पर एक ऑडिट करने की प्रक्रिया में, आवश्यकताओं का विश्लेषण और आधिकारिक दस्तावेज़ में वर्णित उचित उपायों को अपनाने "भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। आवश्यकताएँ और सुरक्षा मूल्यांकन प्रक्रियाएँ "(" भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। आवश्यकताएँ और सुरक्षा मूल्यांकन प्रक्रियाएँ ")। ऑडिट क्षेत्र और नमूनों के निर्धारण के परिणामों की पुष्टि ऑडिटर द्वारा की जाती है और रिपोर्ट में दर्ज की जाती है। इसके अलावा, ऑडिटर घटकों की कुल संख्या (कंपनी कार्यालय, टीएसपी, कंपनी के चरित्र और अधिक) [6] निर्धारित करता है। प्राप्त आंकड़ों का उपयोग अनुरूपता मूल्यांकन के चरण में इनपुट के रूप में किया जाता है।

अनुरूपता मूल्यांकन करने के लिए विकसित पद्धति के अनुसार, लेखा परीक्षक प्रारंभिक डेटा एकत्र करने के चरण में प्राप्त जानकारी का विश्लेषण करता है। परिणाम आवश्यकताओं की तालिका में दर्ज किए जाते हैं। आवश्यकताओं के अनुपालन न करने की स्थिति में, क्षतिपूर्ति उपायों की एक सूची तैयार की जाती है [6], यदि अधूरी आवश्यकताओं के कारण ऐसे उपाय लागू होते हैं। अनुरूपता मूल्यांकन प्रक्रिया के अंत में, लेखा परीक्षक रिपोर्ट (एओसी, प्रमाण पत्र का प्रमाण पत्र) भरता है।

लेखापरीक्षा के मुख्य चरण

निम्नलिखित आइटम कार्य चरणों का एक सेट है जिसके आधार पर प्रमुख रूसी परामर्श कंपनियों की लेखा परीक्षा प्रथाओं का निर्माण किया जाता है।
1) स्टेज एक। विश्लेषण और व्यवस्थितकरण।
प्रारंभिक डेटा :
ए) ग्राहक की प्रणाली के घटकों के बारे में जानकारी, जिसमें भुगतान कार्ड धारकों के बारे में महत्वपूर्ण जानकारी संग्रहीत या संसाधित की जाती है;
ख) सूचना सुरक्षा से संबंधित ग्राहक का नियामक और प्रशासनिक दस्तावेज (सूचना सुरक्षा नीति, नियम, निर्देश और अन्य दस्तावेज जो कि पीसीआई डीएसएस की आवश्यकताओं के अनुसार आवश्यक हैं);
ग) हार्डवेयर और सॉफ्टवेयर सूचना हस्तांतरण, नेटवर्क टोपोलॉजी की संरचना और विशेषताएं;
डी) सूचना प्रणाली के आंतरिक और बाहरी संचार की प्रकृति, सूचना प्रणाली में महत्वपूर्ण जानकारी प्रसंस्करण के सिद्धांत।
कार्य का दायरा:
ए) स्रोत डेटा का विश्लेषण;
b) स्रोत डेटा के विश्लेषण के आधार पर ऑडिट क्षेत्र का चयन।
आउटपुट डेटा:
क) लेखापरीक्षा क्षेत्र की टोपोलॉजी (सूचना प्रसंस्करण उपकरणों की सूची और विशेषताएं);
ख) कार्य के दायरे और लेखा परीक्षा के आवश्यक तकनीकी साधनों के निर्धारण पर जानकारी।

2) स्टेज दो। मानक की आवश्यकताओं के अनुपालन का आकलन।
इनपुट डेटा : पिछले चरण में प्राप्त आउटपुट डेटा।
कार्य का दायरा (ग्राहक के चयनित प्रमाणन क्षेत्र की सुविधाओं द्वारा निर्धारित):
क) कॉर्पोरेट नेटवर्क का विश्लेषण और इसकी सुरक्षा का सत्यापन;
बी) वायरलेस नेटवर्क का विश्लेषण और उनकी सुरक्षा का सत्यापन;
सी) फायरवॉल के विन्यास का विश्लेषण;
घ) अभिगम नियंत्रण सूचियों का विश्लेषण;
ई) पासवर्ड नीति विश्लेषण;
च) महत्वपूर्ण सूचना प्रसंस्करण प्रौद्योगिकियों का विश्लेषण;
छ) नेटवर्क निगरानी सॉफ्टवेयर की उपलब्धता की जाँच करना और उपयोगकर्ता क्रियाओं को लॉग करना;
ज) सॉफ्टवेयर अद्यतन नीतियों (सुरक्षा सॉफ्टवेयर सहित) की जाँच करना।
आउटपुट डेटा:
क) PCI DSS मानक की आवश्यकताओं के साथ ग्राहक के बुनियादी ढांचे के अनुपालन पर अंतिम निष्कर्ष;
ख) ग्राहक द्वारा अपने बुनियादी ढांचे की सुरक्षा, मौजूदा कमजोरियों और सुरक्षा नीतियों के डिजाइन में त्रुटियों की एक तस्वीर प्राप्त करना।

3) स्टेज तीन। रिपोर्ट जनरेशन
इनपुट डेटा : पिछले चरण में प्राप्त आउटपुट डेटा।
कार्य का दायरा: प्रमाणन लेखा परीक्षा के परिणामों पर एक रिपोर्ट तैयार करना।
छाप: पीसीआई डीएसएस मानक की आवश्यकताओं के साथ ग्राहक के बुनियादी ढांचे के अनुपालन पर प्रमाणन ऑडिट के परिणामों पर रिपोर्ट।

युद्धक्षेत्र - खंड

यदि आप पीसीआई डीएसएस के आवेदन के क्षेत्र के बारे में आशावादी हैं, तो संक्षेप में आवश्यकताएं उस प्रणाली पर लागू होती हैं जिसमें कार्ड नंबर (पैन) में हेरफेर किया जाता है। हालांकि, व्यवहार में "सिस्टम" की अवधारणा काफी एक्स्टेंसिबल है और सिस्टम को परिभाषित करने वाले कई घटकों में कार्ड नंबर संसाधित किए जा सकते हैं। वैसे, कार्डधारक डेटा के अलावा, जिसमें पैन और अन्य जानकारी शामिल है, महत्वपूर्ण प्रमाणीकरण डेटा भी हैं, जिनमें से संग्रहण एन्क्रिप्टेड रूप में भी अस्वीकार्य है।



चित्र 3 - डेटा तत्वों और उनके अनुरूप उपायों

को दर्शाने वाली एक तालिका। यदि आप प्लास्टिक कार्ड डेटा तत्वों और उनके अनुरूप सुरक्षा उपायों को दर्शाने वाली तालिका को देखते हैं, तो आप देखेंगे कि ऐसे तत्व CVV2 (कार्ड सत्यापन मूल्य 2 - वीज़ा भुगतान प्रणाली के कार्ड का प्रमाणीकरण कोड) और सीवीसी 2 (मास्टरकार्ड भुगतान प्रणाली का समान कोड) महत्वपूर्ण प्रमाणीकरण डेटा हैं और इसलिए संग्रहीत नहीं किए जा सकते। फिर भी, उपयोगकर्ता अभ्यास में ऐसे मामले होते हैं जब एक बिक्री और सेवा कंपनी, अपने ग्राहकों के जीवन को सरल बनाने के लिए, अपने वेब संसाधन पर इस कोड को फिर से दर्ज करने की आवश्यकता नहीं होती है। ऐसे संगठनों को PCI DSS प्रमाणपत्र (और, इसके परिणामस्वरूप, उनकी व्यावसायिक प्रक्रियाओं की सुरक्षा) और अपने उपयोगकर्ताओं के लिए अत्यधिक छद्म देखभाल के बीच चयन करना पड़ता है, क्योंकि CVC2 और CVV2 ऑनलाइन वित्तीय लेनदेन करने में महत्वपूर्ण लिंक में से एक हैं।

पर्यावरण के बाद के चयन के साथ लक्ष्य प्रणाली की संरचना का अनुकूलन जिसमें कार्ड धारकों पर डेटा का हेरफेर किया जाता है, PCI DSS के प्रभाव के क्षेत्र को कम करने की अनुमति देता है, ऑडिटर का ध्यान अधिक विशिष्ट वस्तु पर केंद्रित करता है और परिणामस्वरूप, अनुरूपता मूल्यांकन की लागत को कम करता है। लेकिन विभाजन की प्रक्रिया को समझने की आवश्यकता है, और संभवतः, प्रश्न में संगठन की व्यावसायिक प्रक्रियाओं का पुनर्गठन करना, जो कि अनप्लिमेटेड ऑडिट की तुलना में बहुत अधिक महंगा हो सकता है। इस मामले में, पूरा नेटवर्क ऑडिट के दायरे में आता है। यहां, प्रत्येक संगठन को स्वयं के लिए यह तय करना होगा कि क्या उसे अपनी मौजूदा व्यावसायिक प्रथाओं को संशोधित करना चाहिए या क्या यह "जैसा है" चेक से गुजरना आसान है।

यदि किसी भी तरह से वायरलेस नेटवर्क का उपयोग कार्डधारकों के बारे में डेटा ट्रांसफर करने के लिए एक माध्यम के रूप में किया जाता है, तो यह तथ्य गलत विभाजन या उसकी अनुपस्थिति का परिणाम है। इस मामले में, वायरलेस नेटवर्क के लिए PCI DSS आवश्यकताएं लागू होती हैं, जो कि पार्टी के सत्यापन के लिए (आवश्यकताओं की "सावधानी" के कारण) या पार्टी की जाँच के लिए अच्छा नहीं है (वायरलेस सुरक्षा विशेषज्ञ "सड़क पर झूठ बोल रहे हैं")।

अध्ययन खंड में एक और "परजीवी" तीसरे पक्ष के संगठन हैं जो अध्ययन किए गए संगठन के कार्ड धारकों पर डेटा के प्रसंस्करण, भंडारण या हस्तांतरण के लिए सेवाएं प्रदान करते हैं। तृतीय पक्षों में से प्रत्येक को ऑडिटर के अनुपालन के पीसीआई डीएसएस प्रमाणपत्र प्रस्तुत करना होगा या, अन्यथा, अनुरूपता मूल्यांकन प्रक्रिया से गुजरना होगा।

हम निष्कर्ष निकालते हैं:

1)सक्षम विभाजन समय को कम कर सकता है और, कुछ मामलों में, एक अनुरूपता मूल्यांकन करने की वित्तीय लागत;
2) धारकों पर डेटा प्रसंस्करण के साधन के रूप में वायरलेस नेटवर्क की प्रणाली में उपस्थिति - एक गलत विभाजन प्रक्रिया या इसकी अनुपस्थिति का परिणाम;
3) व्यापार प्रक्रिया में तीसरे पक्ष की भागीदारी ऑडिटर द्वारा इन पार्टियों के सत्यापन के लिए अतिरिक्त समय की लागत को पूरा करती है, जो भुगतान उद्योग में अध्ययन और इसके सेवा प्रदाताओं (तीसरे पक्ष) के तहत कंपनी की भूमिका को स्पष्ट रूप से समझना चाहिए।

उपयोग किए गए स्रोतों की सूची

1. शब्दावली (संस्करण 2.0) - पीसीआई एसएससी, 2010 - 16 पीपी।
2. पीसीआई सुरक्षा मानक परिषद - पीसीआई एसएससी, 2010 - www.pcisecuritystandards.org ।
3. PCI DSS दस्तावेज़ पुस्तकालय - PCI SSC, 2010 - www.pcisecuritystandards.org/security_standards/documents.php?category=supporting
4. दस्तावेज़ "भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। सुरक्षा ऑडिट आवश्यकताएँ और प्रक्रियाएँ "(संस्करण 2.0) - पीसीआई एसएससी, 2010 - 84 पी।
5. पीसीएस डीएसएस अनुपालन प्रबंधन -" इंफ़रज़शिता ", 2010 - www.pcisecurity.ru ।
6. परिशिष्ट B, C, F दस्तावेज़ का “भुगतान कार्ड उद्योग डेटा सुरक्षा मानक। सिक्योरिटी ऑडिट रिक्वायरमेंट्स एंड प्रोसिजर्स (संस्करण 2.0) - पीसीआई एसएससी, 2010 - 84 पेज

जनवरी 2011 के लिए इस विश्लेषणात्मक कार्य की कुछ सामग्री हैकर पत्रिका (# 144) में प्रकाशित हुई थी।