Как соблюдается стандарт PCI DSS

--> Дата: Янв 30, 2011 30

По заказу Cisco аналитическая компания InsightExpress опросила 500 американских руководителей, принимающих решения в области ИТ, чтобы выяснить их отношение к стандарту PCI DSS (Data Security Standard) через пять лет после его разработки и в момент выхода его новой, второй версии.

В опросе приняли участие ИТ-руководители, отвечающие за соблюдение спецификаций PCI в организациях из сферы образования, финансовых услуг, государственного управления, здравоохранения и розничной торговли. Целью исследования было оценить их отношение к стандарту PCI DSS, измерить расходы на его внедрение и выявить проблемы, связанные с соблюдением этих нормативных требований, а также оценить распространение определенных технологий, чтобы лучше понять, чем организации руководствуются при выполнении спецификации PCI DSS.

В результате выяснилось следующее:

70% опрошенных считают, что соблюдение стандарта PCI DSS делает их организации более защищенными;
87% полагают, что требования стандарта PCI DSS необходимы для защиты данных держателей платежных карт;
из всех отраслей лучше всех выполняют требования PCI DSS предприятия розничной торговли и финансовые организации;
67% опрошенных ожидают, что в течение ближайшего года их расходы на соблюдение стандарта PCI DSS будут расти; это значит, что руководители компаний и члены советов директоров считают PCI DSS весьма важной инициативой;
60% опрошенных предположили, что усилия по соблюдению стандарта PCI DSS могут стимулировать другие проекты, связанные с сетями и сетевой безопасностью.

Отвечая на вопрос о проблемах соблюдения спецификаций PCI DSS, респонденты чаще всего упоминали необходимость обучения сотрудников правильному обращению с данными держателей платежных карт. По мнению 43% опрошенных, в этой области существуют проблемы. Кроме того, 32% упомянули необходимость обновления устаревших систем.

По мнению респондентов, из 12 требований PCI DSS труднее всего соблюдать требования к отслеживанию и мониторингу всех случаев доступа к сетевым ресурсам и пользовательским данным (37%), разработке и поддержке безопасных систем и приложений (32%) и защите хранимых данных держателей карт (30%).

С аудитом требований PCI DSS лучше всех справляются государственные организации: 85% госучреждений успешно прошли аудит PCI DSS с первого раза. Впрочем, подавляющее большинство других организаций тоже стараются защитить конфиденциальные данные держателей карт: 85% опрошенных считают, что в настоящий момент их организации способны успешно пройти аудит PCI DSS, а 78% успешно прошли такой аудит с первого раза. Хуже всего проходили аудит медицинские организации (72%).

Самыми примечательными оказались ответы на вопросы о роли технологии в платежной среде. Открылся удивительный факт: организации внедряют новые технологии заранее, еще до выхода соответствующих директив Совета США по внедрению стандартов безопасности в платежной индустрии (PCI Security Standard Council). Хотя совет дал рекомендации по технологиям, не включенным открыто в спецификации DSS, таким как шифрование каналов "точка-точка" и EMV (карточные системы Europay, MasterCard и Visa с микропроцессорами и PIN-кодами), точных стандартов для шифрования "точка-точка" до сих пор не существует. Тем не менее организации принимают эту технологию в надежде на "сжатие среды пользовательских данных", т. е. уменьшение требований к компьютерным системам, обрабатывающим данные держателей платежных карт. Кроме того, хотя совет дал некоторые разъяснения по поводу виртуализации, мир ждет дополнительную информацию по этому вопросу. При этом многие организации не ждут разъяснений совета и внедряют передовой опыт в нужных областях самостоятельно.

По оценкам Cisco, исследование показало, что Совет PCI Security Standards Council успешно информирует рынок и активно стимулирует распространение стандарта PCI DSS среди заинтересованных лиц. Кроме того, результаты исследования говорят о том, что организации все лучше понимают преимущества, которые дает соблюдение этого стандарта. Вместе с тем в области защиты данных держателей платежных карт все еще существуют проблемы, не имеющие стопроцентного решения.