भुगतान सुरक्षा। भाग 1: पीसीआई डीएसएस मानक

कोई भी उद्योग अपने विकास में रचनात्मकता की स्वतंत्रता से राज्य या गैर-सरकारी संगठनों द्वारा किए गए विनियमन के किसी न किसी रूप में जाता है। नियमन का लक्ष्य आम तौर पर उन हितों की रक्षा करना है जो लाभ कमाने के साथ संघर्ष में हैं, और इस कारण से व्यापार के लिए चिंता का विषय नहीं हैं।

भुगतान उद्योग कोई अपवाद नहीं है। व्यापार का हित ग्राहकों के लिए व्यापार और सेवा उद्यमों के पक्ष में भुगतान करने और सभी बाजार सहभागियों से संबंधित सेवाओं के प्रावधान में सबसे तेज और सबसे आरामदायक तरीके से निहित है। दुर्भाग्य से, स्टोर की वेबसाइट पर सुविधाजनक एक-क्लिक भुगतान बैंक कार्ड धारक के लिए अप्रिय परिणाम का कारण बन सकता है यदि भुगतान श्रृंखला में प्रतिभागियों में से एक - एक स्टोर, बैंक या प्रसंस्करण केंद्र - ने डेटा संसाधित करते समय आवश्यक सुरक्षा उपाय नहीं किए हैं। यद्यपि ग्राहक कार्ड पर धन की सुरक्षा व्यवसाय के लिए प्रतिष्ठा का विषय है, लेकिन इसका प्रत्यक्ष लाभ स्पष्ट रूप से नहीं होता है,। इसलिए राज्य नियामक और अंतर्राष्ट्रीय समुदाय सुरक्षा आवश्यकताओं की स्थापना करते हुए खेल में आते हैं। यदि पहले "गैर-नकद भुगतान" शब्द मुख्य रूप से केवल बैंकों और प्राप्तियों से जुड़ा था, तो क्रेडिट कार्ड, खुदरा गैर-नकद भुगतान और इलेक्ट्रॉनिक मनी के लोकप्रिय होने से भुगतान उद्योग में एक छोटा व्यवसाय शामिल था, जो मुख्य रूप से ई-कॉमर्स उद्यमों और भुगतान एजेंटों द्वारा दर्शाया गया था।

पिछले कुछ वर्षों में, भुगतान सुरक्षा पर कई नियामक दस्तावेज सामने आए हैं, और नियामकों की गतिविधि को देखते हुए, अधिक दिखाई देगा। वर्तमान में, रूस में सबसे अधिक प्रासंगिक अंतर्राष्ट्रीय मानक पीसीआई डीएसएस और पीए-डीएसएस हैं , साथ ही राष्ट्रीय भुगतान प्रणाली पर फेडरल लॉ नंबर 161-Payment और सुरक्षा के क्षेत्र में संबंधित उप-कानून हैं। यह उनके साथ है कि मुख्य रूप से रूसी कंपनियों से निपटना है, जिन्होंने अपने व्यवसाय को कैशलेस भुगतान के साथ जोड़ने का फैसला किया है। आइए उन पर विचार करें।



भुगतान कार्ड उद्योग डेटा सुरक्षा मानक (PCI DSS) पश्चिम से हमारे पास आया है और ऐतिहासिक रूप से भुगतान सुरक्षा आवश्यकताओं का पहला लोकप्रिय सेट बन गया है। पीसीआई एसएससी परिषद - मानक को अंतर्राष्ट्रीय भुगतान प्रणाली वीजा, मास्टरकार्ड, अमेरिकन एक्सप्रेस, जेसीबी और डिस्कवर के समुदाय द्वारा विकसित किया गया था, जिसने इसके विकास के लिए एक नियामक निकाय बनाया।

इस मानक के आवेदन का उद्देश्य प्रत्येक संगठन है जो अपनी सूचना प्रणालियों में स्टोर, प्रक्रिया या प्रसारण करता है, उपरोक्त अंतर्राष्ट्रीय भुगतान प्रणालियों में से किसी के ब्रांड के तहत जारी किए गए भुगतान कार्ड की संख्या। यही है, इसकी आवश्यकताएं साधारण और ऑनलाइन स्टोर, बैंक, पेमेंट गेटवे, प्रोसेसिंग सेंटर और अन्य संबंधित संरचनाओं पर लागू होती हैं। नियामक की विचारधारा के अनुसार, सभी संगठन, एक तरह से या भुगतान भुगतान लेनदेन की प्रक्रिया में शामिल अन्य, दो श्रेणियों में विभाजित होते हैं - व्यापारी और सेवा प्रदाता। पहले में वे सभी शामिल हैं जो सामान या सेवाएं बेचते हैं और ग्राहकों से भुगतान कार्ड स्वीकार करते हैं - दुकानें, रेस्तरां, होटल, गैस स्टेशन, पार्किंग स्थल। दूसरा - वे सभी जो भुगतान प्रक्रिया प्रदान करते हैं - बैंक, भुगतान द्वार, अंतर्राष्ट्रीय भुगतान प्रणाली, होस्टिंग प्रदाता और अन्य।

PCI DSS मानक में 12 खंडों में विभाजित कार्ड डेटा की सूचना सुरक्षा सुनिश्चित करने के लिए काफी विशिष्ट तकनीकी और संगठनात्मक आवश्यकताओं की एक सूची है। आवश्यकताएँ एक नियंत्रण कार्ड के सिद्धांत के अनुसार आयोजित की जाती हैं, जिसके अनुसार आप एक आवश्यकता से दूसरी आवश्यकता पर जा सकते हैं और एक चेक मार्क लगा सकते हैं: "पूरा" या "पूरा नहीं"। इस दृष्टिकोण की अपनी कमियां हैं; सूचना सुरक्षा पेशेवर समय-समय पर अनम्यता और जोखिम आधारित दृष्टिकोण की अनुपस्थिति के लिए मानक को डांटते हैं। हालांकि, पीसीआई डीएसएस को सही ठहराने के लिए, यह कहने योग्य है कि व्यापार और सेवा उद्यमों द्वारा बड़े पैमाने पर कार्यान्वयन के लिए मानक विकसित किया गया था, जिनके कर्मचारियों के पास शायद ही कभी सुरक्षा विशेषज्ञ होते हैं जो आईएसओ 27001 की शैली में जोखिमों का प्रबंधन कर सकते हैं।

मानक की आवश्यकताओं को सभी स्तरों पर सूचना बुनियादी ढांचे की सुरक्षा सुनिश्चित करने पर केंद्रित है। सुरक्षित रूप से विकसित अनुप्रयोगों और डेटाबेस द्वारा सुरक्षित रूप से कॉन्फ़िगर किए गए नेटवर्क उपकरणों और सर्वरों की मेजबानी सुरक्षित कमरे। निरंतर निगरानी और नियमित ऑडिट द्वारा सुरक्षा की प्रासंगिकता सुनिश्चित की जाती है। प्रशिक्षित कर्मी स्थापित प्रक्रियाओं के अनुसार सूचना प्रणाली का संचालन करता है। व्यवहार में, सूचना सुरक्षा अंतरराष्ट्रीय भुगतान प्रणालियों के दृष्टिकोण से दिखती है।

संगठन को प्रतिवर्ष PCI DSS मानक के अनुपालन की पुष्टि करनी चाहिए, जबकि इसकी पुष्टि करने के कई तरीके हैं। यह एक SAQ सेल्फ-असेसमेंट शीट भर रहा है, एक आंतरिक ISA ऑडिट कर रहा है और एक बाहरी QSA ऑडिट पास कर रहा है। कौन सा तरीका चुनना है? इस सवाल का जवाब उतना स्पष्ट नहीं है जितना पहली नज़र में लग सकता है। शुरू करने के लिए, आपको यह याद रखना चाहिए कि संगठन दो मुख्य प्रकारों में से है - एक व्यापार और सेवा कंपनी या एक सेवा प्रदाता।

यदि हम एक सेवा प्रदाता के बारे में बात कर रहे हैं, तो हमें 300,000 का आंकड़ा याद रखना होगा। यह सेवा प्रदाताओं के लिए वीजा और मास्टरकार्ड दोनों द्वारा निर्धारित पहले और दूसरे स्तर (स्तर 1 और स्तर 2) के बीच की सीमा है। यदि लेनदेन में वार्षिक संख्या या डेटाबेस में संग्रहीत कुल कार्ड संख्या 300,000 की सीमा से अधिक है, तो यह पहला स्तर है, और आपको बाहरी क्यूएसए ऑडिट के लिए पीसीआई क्यूएसए की स्थिति वाली ऑडिट कंपनी को कॉल करना होगा। यदि लेनदेन की संख्या कम है, तो बस एक एसएक्यू टाइप डी सेल्फ-एसेसमेंट शीट भरें और एक सेवा प्रदाता के साथ अधिग्रहणकर्ता बैंक प्रदान करें। हम बाद में आत्म-सम्मान पत्र के प्रकारों के बारे में बात करेंगे।

यदि संगठन एक व्यापार और सेवा उद्यम है, तो इसके लिए चार स्तर हैं। लेकिन सादगी के लिए, फिर से, आपको केवल एक आंकड़ा याद रखना होगा - एक मिलियन। यदि कोई स्टोर प्रति वर्ष एक मिलियन से अधिक लेनदेन की प्रक्रिया करता है, तो यह पहले या दूसरे स्तर से संबंधित है और सालाना एक बाहरी क्यूएसए या आंतरिक आईएसए ऑडिट से गुजरना चाहिए। यदि लेनदेन की वार्षिक कुल संख्या एक मिलियन से कम है, तो यह तीसरा या चौथा स्तर है, उनके लिए यह SAQ स्व-मूल्यांकन शीट भरने के लिए पर्याप्त होगा, जिनमें से प्रसंस्करण कार्ड की विधि के आधार पर प्रकार का चयन किया जाता है। यहां पर निर्धारित मानदंड स्टोर की सूचना प्रणालियों में कार्ड संख्याओं का भंडारण है। यदि स्टोर कार्ड डेटा संग्रहीत करता है, तो यह SAQ D. है। यदि यह केवल अपने सिस्टम के माध्यम से स्थानांतरित करता है और इसे स्टोर नहीं करता है, तो यह SAQ C. है। यदि यह सेवा प्रदाता को विशेष रूप से टेलीफोन द्वारा स्थानांतरित करता है, तो यह SAQ B. है। यदि व्यापारी पूरी तरह से कार्ड डेटा की प्रोसेसिंग देता है। एक प्रमाणित सेवा प्रदाता के लिए आउटसोर्सिंग और उनके स्थानांतरण में भी भाग नहीं लेता है, तो सबसे छोटी स्व-मूल्यांकन शीट SAQ A उस पर लागू होती है। अनुपालन पुष्टिकरण विकल्पों का सारांश तालिका नीचे दी गई है।

यह याद रखना चाहिए कि व्यापार और सेवा उद्यमों और सेवा प्रदाताओं के स्तर की परिभाषाएं अंतरराष्ट्रीय भुगतान प्रणालियों द्वारा केवल सामान्य अभिविन्यास के लिए दी जाती हैं। सबसे महत्वपूर्ण नियम यह है कि पीसीआई डीएसएस आवश्यकताओं के अनुपालन के लिए सेवा प्रदाता या स्टोर के लिए, जिम्मेदारी मुख्य रूप से इसकी सर्विसिंग अधिग्रहणकर्ता बैंक की ज़िम्मेदारी है, और केवल प्राप्तकर्ता बैंक को ही संगठन को अनुपालन की पुष्टि करने का एक तरीका निर्धारित करने का अधिकार है।

(जारी रखने के लिए)

टेबल। PCI DSS अनुपालन विकल्प

विकल्प	प्रयोज्यता	सत्यापन प्रक्रियाओं की संख्या
SAQ ए	इलेक्ट्रॉनिक कॉमर्स द्वारा लेन-देन करने वाले ट्रेडिंग और सेवा उद्यम, जिन्होंने पीसीएस डीएसएस अनुपालन की पुष्टि करने वाले सेवा प्रदाता को कार्ड डेटा के इलेक्ट्रॉनिक प्रसंस्करण, भंडारण और हस्तांतरण के सभी कार्य दिए हैं।	13
SAQ बी	पीओएस-टर्मिनलों का उपयोग करते हुए ट्रेडिंग और सेवा उद्यम, एक टेलीफोन लाइन का उपयोग करते हुए, इंटरनेट के माध्यम से कार्ड डेटा संचारित नहीं करते हैं, और इलेक्ट्रॉनिक कार्ड डेटा स्टोरेज नहीं करते हैं।	29
SAQ सी	पीओएस-टर्मिनलों या भुगतान अनुप्रयोगों का उपयोग करके ट्रेडिंग और सेवा उद्यम जो इंटरनेट के माध्यम से कार्ड डेटा प्रसारित करते हैं और इलेक्ट्रॉनिक कार्ड डेटा स्टोरेज नहीं करते हैं।	40
SAQ C-VT	एक सेवा प्रदाता से इंटरनेट के माध्यम से आभासी वेब टर्मिनलों का उपयोग करने वाले व्यापारियों ने पीसीआई डीएसएस अनुपालन की पुष्टि की है और जिनके पास इलेक्ट्रॉनिक कार्ड डेटा स्टोर नहीं है।	51
SAQ डी	सभी व्यापार और सेवा उद्यमों और सभी सेवा प्रदाताओं को छोड़कर, भुगतान प्रणाली या अधिग्रहण बैंक की आवश्यकताओं के अनुसार, आईएसए या क्यूएसए लेखा परीक्षा की आवश्यकता होती है।	288
ISA ऑडिट	भुगतान प्रणाली या अधिग्रहण बैंक की आवश्यकताओं के अनुसार, इसके अलावा, सभी व्यापार और सेवा उद्यमों को क्यूएसए ऑडिट की आवश्यकता होती है।	288
QSA ऑडिट	सभी व्यापार और सेवा उद्यम और सभी सेवा प्रदाता।	288