'

Введение в проблематику PA-DSS

Понравилась презентация – покажи это...





Слайд 0

Гольдштейн Анна, PA QSA Заместитель директора департамента аудита Введение в проблематику PA-DSS “Стандарт PA-DSS: безопасность платежных приложений” Семинар компании «Информзащита» г. Москва, 25 марта 2010 г., Holiday Inn Suschevsky


Слайд 1

PA-DSS: Причины появления Невозможность или сложность выполнения требований PCI DSS Сохранение TRACK,CVC2/CVV2,PINBLOCK приложением Невозможность удалить/вычистить TRACK,CVC2/CVV2 из архивов Хранение номеров карт (PAN) в открытом виде Отказ поддержки вендором приложения патчей на СУБД


Слайд 2

“Серебряная пуля” PCI DSS Реализация переложена на разработчиков: Все применимые к прикладному уровню требования PCI DSS Возможность работы приложения в PCI DSS-compliant среде Контроль уровня безопасности приложения Решение проблемы совместимости с обновлениями безопасности платформ


Слайд 3

PA-DSS: краткая информация Основная цель – поддержка реализации PCI DSS Является прямым наследником VISA PABP Дата рождения: апрель 2008 Разработчик – PCI Security Standards Council (PCI SSC) Ориентирован на разработчиков платежных приложений Форма подтверждения соответствия – сертификация Сертификацию проводит компания, имеющий статус PA QSA


Слайд 4

Что сертифицировать? Подлежит сертификации, если: Обрабатывает номера карт (PAN) в рамках авторизации/расчетов Разрабатываются на продажу, не являются разовой заказной разработкой Основные виды сертифицируемого ПО ПО процессинга (front-office, back-office (расчеты), middleware/switching) ПО для банкоматов ПО для POS-терминалов ПО для поддержки электронной коммерции ПО мобильной коммерции Исключение: отдельно стоящие POS терминалы, если: подключены напрямую к эквайеру не хранят данных платежных карт обновляются разработчиком ПО


Слайд 5

Поддержка сертификации Сертифицируется конкретная версия приложения Срок действия сертификата – 3 года При обновлении приложения необходима досертификация Процедура зависит от характера вносимых изменений Затронуты вопросы безопасности или реализация платежного процесса ? «НЕТ» - подтверждение от аудитора факта отсутствия влияния «ДА» - проведение сертификационных проверок (их части)


Слайд 6

Зачем сертифицировать? Внедрение PA-DSS реализуют МПС независимо друг от друга Требования по внедрению направлены на членов МПС Обязательные сроки перехода на PA-DSS сертифицированные приложения от Visa Inc.: С 1 июля 2010г - Новые мерчанты обязаны соответствовать PCI DSS или использовать PA-DSS сертифицированное ПО до 1 июля 2012 г - Эквайеры обязаны удостовериться, что все мерчанты и агенты используют PA-DSS сертифицированное ПО


Слайд 7

Рынок сертифицированного ПО Более 150 вендоров имеют сертификат PA-DSS* Около 700 сертифицированных приложений 60% приложений – «POS-related» Основной поток сертификации начался в 2009г Сертифицированное ПО процессинга (из любимых в России): Base24, Way4, Tranzware Ежегодная плата PCI SSC за публикацию в списке сертифицированных $1 250 * - Информация по опубликованным данным PCI SSC (https://www.pcisecuritystandards.org/security_standards/vpa/)


Слайд 8

Требования стандарта PA-DSS ВСЕГО 14 ТРЕБОВАНИЙ И ПОЧТИ 120 ПРОЦЕДУР АУДИТА


Слайд 9

PA-DSS vs PCI DSS


Слайд 10

(495) 980 23 45 goldanna@infosec.ru Гольдштейн Анна Заместитель директора департамента аудита ВОПРОСЫ ? “Стандарт PA-DSS: безопасность платежных приложений” Семинар компании «Информзащита» г. Москва, 25 марта 2010 г., Holiday Inn Suschevsky


×

HTML:





Ссылка: