Google+
Журнал Плас Плас Журнал http://www.plusworld.ru/
ул. Кржижановского, д. 29, корп. 5 Москва, 117218 Россия
+7 495 961 1065 http://www.plusworld.ru/upload/templates/logo_plus_ru.png
RSS RSS RSS RSS

Хранение данных: взгляд сквозь призму PCI DSS

(Нет голосов)

14.03.2012 Количество просмотров 1312 просмотров

Продолжая цикл публикаций, посвященных таким практическим аспектам внедрения системы менеджмента информационной безопасности на пути к PCI Compliance, как пространственное соответствие PCI DSS, диалектика регулирования информационной безопасности, практика определения об­ласти аудита и др., в рамках сотрудничества журнал «ПЛАС» и web-портал PCIDSS.RU предлагают вашему вниманию материал, подготовленный Пав­лом Федоровым, начальником отдела менеджмента ИБ компании Digital Security. В настоящей статье автор рассматривает такой важный аспект, как защита хранимых данных держателей карт.


Рано или поздно любая структура, обрабатывающая или передаю­щая данные держателей платеж­ных карт, сталкивается с необходимостью соответствия стандарту PCI DSS. И одним из важнейших шагов к достижению соот­ветствия является защита хранимых дан­ных, ведь доступ к сохраненным данным может дать злоумышленнику наибольшее количество номеров карт (PAN).

Для начала нужно определиться, где хранить платежные данные. Если ваша инфраструктура уже функционирует на момент принятия решения о необходимо­сти соответствия PCI DSS, мест, где они хранятся на самом деле, оказывается го­раздо больше, чем достаточно для безо­пасного хранения критичных данных и ре­шения всех бизнес-задач. «Лишние» дан­ные обнаруживаются на серверах, исполь­зовавшихся ранее в других целях, или на рабочих станциях сотрудников, имеющих доступ к данным о картах и хранящих на своих компьютерах некоторые файлы для собственного удобства. Специфическое ПО (зачастую - собственной разработки) также иногда требует избыточного коли­чества мест хранения данных. Так что, хо­тя наличие схемы сети и понимание про­цессов передачи данных существенно помогают при подготовке инфраструктуры к соответствию, не стоит пренебрегать та­кими мерами, как сканирование всех сер­веров и рабочих станций, имеющих хоть какое-то отношение к обработке платеж­ных данных. Почти наверняка такое ска­нирование выявит несколько мест, где на­личие платежных данных удивит даже тех системных администраторов, которые знают об инфраструктуре все.

В результате получается два списка: места, где данные хранятся для решения бизнес-задач, и места, где их хранение обосновано слабо, а то и вовсе не обосно­вано. Разумеется, во втором случае необ­ходимо как можно скорее безопасно уда­лить данные, а носители промаркировать и безопасно уничтожить по окончании срока их использования.

Для тех мест, где хранение платежных данных действительно необходимо, нужно регламентировать методы защиты: в ряде случаев может оказаться, что номер карты достаточно хранить в усеченном (по правилу 6*4) виде, тогда можно обойтись без шифрования.

 Для мест хранения PAN также нужно определиться с необходимостью резервного копирования данных. В зависимости от этого рекомендуется выбрать метод шифрования. Несмотря на то, что для большей безопасности данных рекомендуется использовать отдельный механизм шифрования для создания резервных копий, для достижения соответствия PCI DSS достаточно только одного уровня шифрования. Таким образом, если использовать шифрование на уровне файлов или таблиц БД, можно сэкономить ресурсы при создании резервных копий. В случае организации шифрования на уровне диска и резервного копирования на уровне файлов придется использовать отдельные механизмы шифрования, так как файлы будут попадать на резервный носитель нешифрованными.

Стоит отметить, что необходимо шифровать данные во всех случаях, когда они записаны на энергонезависимый носитель – даже если сразу после записи файлы с платежными данными шифруются, а нешифрованные оригиналы удаляются, или если нешифрованные файлы просто удаляются через несколько секунд после создания. Из-за специфики работы жестких дисков через какое-то время на носителе с такими файлами может оказаться огромное количество помеченных как удаленные, но не удаленных на самом деле файлов, восстановить которые не составит никакого труда для злоумышленников.

В случае использования усечения по правилу 6*4 для хранения PAN следует избегать использования простого шифрования, если возможно сопоставить зашифрованный и усеченный PAN: злоумышленник сможет без особых усилий вычислить полный номер карты.

Если хранить PAN в обоих видах и иметь возможность сопоставления его значений все же необходимо, рекомендуется использовать «соль» (добавление к PAN строки случайных данных перед шифрованием). Впрочем, использование «соли» для шифрования отдельных PAN – хорошая практика в любой системе. Если для хранения или передачи платежных данных используются переносные носители, рекомендуется использовать шифрование на уровне всего диска: таким образом, злоумышленник, получивший доступ к носителю, не сможет получить доступ ни к самим данным, ни даже к структуре файлов, их содержащих.

Самым небезопасным носителем платежных данных, тем не менее, являются бумажные документы. В распечатанном виде платежные данные нередко бывают нужны для проведения ряда операций, например, chargeback. Несмотря на то, что по плотности размещенной информации бумажные носители уступают электронным носителям, их доступность гораздо выше, и они также представляют немалый интерес для злоумышленников. К сожалению, зачастую необходимость соответствия PCI DSS воспринимается как исключительно IT-проект, и сам факт наличия платежных данных в бумажном виде может выясниться только в момент сертификации, что может привести к ряду негативных последствий для организации.

Следует помнить, что для хранения бумажных носителей с платежными данными надо применять не меньшие (а то и большие, хотя для соответствия PCI DSS это не обязательно) меры безопасности, чем к электронным носителям: хранить их необходимо в сейфах, доступ во все помещения, где они могут находиться, должен быть ограничен, а инструкции персонала, работающего с подобными документами, должны отдельно учитывать специфику носителя. Например, сотрудник может перепутать стопки документов на своем столе и отдать распечатанные номера карт другому сотруднику – не имеющему допуска и, возможно, работающему вообще в другом подразделении.

В заключение стоит отметить, что если во время аудита на компьютере сотрудника будет обнаружен файл с номером карты, принадлежащей самому этому сотруднику, – это, конечно, не будет прямым нарушением требований стандарта PCI DSS. Однако у аудитора может появиться ряд дополнительных вопросов, касающихся ответственности сотрудника и его отношения к информационной безопасности.


Комментарии (0):

Добавлять комментарии могут только зарегистрированные Пользователи


Читайте в этом номере:
обновить

а вы знаете, что...

… деньги из раковин на Соломоновых островах отличаются устойчивостью к любым финансовым кризисам? Если население отдаленных островов используют раковины в качестве расчетной единицы, то в более цивилизованных местах архипелага такие деньги используются как надежный запас на черный день, в то время как расчеты ведутся «обычными» деньгами. Недостаток у них один – недолговечность: раковины хрупкие, часто ломаются. Из-за этого денежная масса остается стабильной и не нарастает, что позволяет поддерживать постоянный курс.