Юлия Кащенко, Portmone: "Платежные системы должны быть заинтересованы в аудите безопасности"

Кто координирует работы по стандартизации безопасности платежных карт?

Еще в далеком 2006 году такие организации как American Express, Discover Financial Services, JCB, MasterCard Worldwide и Visa International совместно выступили с заявлением о создании независимого совета, в сферу которого была бы положена координация работы по развитию Стандарта Безопасности Данных Индустрии Платежных Карт (Payment Card Industry Data Storage Security Standards - PCI DSS). Цель очевидна – усовершенствование защиты данных транзакций.

Назовите ключевых участников?

Ключевыми можно считать именно основателей: American Express, Discover Financial Services, JCB, MasterCard Worldwide и Visa International.

Расскажите об основных направлениях деятельности фонда.

Прежде всего, деятельность этого фонда направлена на развитие и укрепление глобального стандарта безопасности технических данных для защиты информации о владельце счета, создание базы данных квалифицированных разработчиков решений в области безопасности, а также публикация базы на сайте Совета, проведение тренингов, обучающих семинаров, а также координация процесса сертификации и многое другое.

Какие требования к аудиту безопасности по PCI DSS?

Требования здесь достаточно высокие. Это и ежеквартальные проверки, представляющие собой сетевое сканирование на выявление уязвимых мест. Кроме того, предусмотрена ежегодная инспекция аудиторов и многое другое.

Стоит подчеркнуть, что по масштабности этот аудит является, без преувеличения говоря, беспрецедентным. К числу его участников с каждым годом добавляются все новые кредитно-финансовые организации. Однако, несмотря на все совершенствования, до сих пор только 65% даже американских компаний соответствуют данному стандарту.

Что дает этот аудит для компании?

Главное - понимание того, что сетевой безопасностью необходимо заниматься постоянно. Прохождение этого аудита компании не рассматривают для себя как конечную цель. Это лишь подтверждение профессионального подхода к вопросам безопасности Интернет-платежей.

Какие последствия невыполнения или несоответствия этому стандарту для компании-участника?

Если речь идет о последствиях для компаний, которые не прошли этого аудита, здесь стоит подразумевать следующее. Клиенты пользуются системами и процессингами с мало защищенными данными, а это в нашем мире чревато сами понимаете какими последствиями.

Для компаний, которые не соответствуют требованиям этого аудита, на самом деле предусмотрены штрафы. Какие штрафные санкции накладываются на учреждения? Цифры большие. Но тем не менее, насколько мне известно, пока никого еще не оштрафовали.