Разделы

Безопасность Стратегия безопасности

Безопасность по стандарту PCI DSS не спасла от крупной утечки

Компания Visa удалила процессинговую компанию «Хартленд» из своего списка организаций, предоставляющих услуги электронных платежей, которые соблюдают стандарт безопасности индустрии платежных картPCI DSS, передает creditcards.com.

Как сообщается, Visa подвергла сомнению соответствие системы защиты платежей «Хартленд» стандарту PCI DSS после того, как система была взломана в конце 2008 г. Согласно заявлению Visa, ни одна коммерческая организация, соблюдающая стандарты платежных систем, до сих пор не была скомпрометирована.

20 января 2009 г. Visa и MasterCard сообщили общественности об обнаружении подозрительной активности вокруг транзакций по банковским картам. Компания «Хартленд» пояснила, что в конце 2008 г. в их системе был обнаружен вирус. Скомпрометированные данные содержали информацию о номерах карт, сроках окончания действия карт, а в некоторых случаях - и имена держателей дебетовых и кредитных карт сети «Хартленд», которых в США насчитывается 250000.

«Хартленд» не раскрывал информацию о масштабах утечки, но руководство компании охарактеризовало ее как одну из самых крупных в истории. По всей стране банки быстро среагировали и стали отправлять карты на замену, а также посоветовали клиентам внимательно следить за своими счетами.

Руководитель аналитического департамента InfoWatch Илья Шабанов полагает, что «компания “Хартленд” своими действиями создала опасный прецедент, ставящий под сомнение качество сертификации PCI DSS для процессинговых компаний. Как мы видим на этом примере, формальное прохождение сертификации и получение соответствующего свидетельства не является основанием успокоиться и перестать соблюдать режим повышенной безопасности, который требуется в работе с конфиденциальными данными клиентов. Допущенной утечкой компания “Хартленд” не только нанесла сильный удар по доверию к себе со стороны клиентов, но и поставила под сомнения эффективность всей системы сертификации PCI DSS, продвигаемой Visa. Весьма забавно, что “Хартленд”, несмотря на этот инцидент, продолжает говорить о себе, как о компании с наиболее безопасным сервисом».

После удаления «Хартленд» из списка Visa, представители Хартленд напомнили о том, что за месяц до начала вторжения в их систему платежей компания была признана соответствующей стандарту PCI DSS. В ответ на это Visa пообещала восстановить «Хартленд» в списке доверенных организаций при условии, что компания приведет свою систему ИТ-безопасности в полное соответствие со стандартом PCI DSS. По словам директора компании «Хартленд» Роберта О Кара, это условие будет выполнено в течение нескольких недель.

Александр Головицин, «Росатом»: В России необходимо активизировать развитие промышленной роботизации
Цифровизация

По словам ведущего аналитика InfoWatch Николая Федотова, «Платёжная система «Виза» требует от своих агентов подтвердить соответствие стандарту PCI DSS до 30 сентября 2010 года (с ежегодным переподтверждением). Причём это требование распространяется только на крупных агентов - с оборотом более 6 миллионов транзакций в год. Для средних агентов требования более мягкие. Поэтому аннулирование сертификата о соответствии PCI DSS не означает для «Хартленда» запрета на обработку платежей. Пока только ущерб деловой репутации. Не исключено, что у «Визы» появятся и претензии к компании, которая проводила сертификацию «Хартленда». По правилам, признаются только сертификаты, выданные оценщиком, аккредитованным самой «Визой» (Qualified Security Assessor).

По мнению Федотова, «либо сертификация была проведена не должным образом, либо стандарт не гарантирует защиты. Представители Хартленда открыто указывают на второй вариант, а «Виза», один из разработчиков PCI DSS, естественно, настаивает на первом».

Как отмечается, спустя два месяца после инцидента, связанного с нарушением безопасности платежной системы компании «Хартланд» продолжают поступать жалобы на работу системы от коммерческих и финансовых организаций. По информации creditcards.com, ущерб от возможно крупнейшего в истории США нарушения безопасности в индустрии платежных систем продолжает расти, против «Хартланд» правляются иски в суд и ведется правительственное расследование.

Татьяна Короткова