02 декабря 2008
М. Эмм, Н. Зосимовская. Стандарт PCI DSS: основные несоответствия и как с ними бороться.
М. Эмм, Н. Зосимовская
ПЛАС №1, 2008
Тема требований стандарта PCI DSS, а также вопросы прохождения аудита на соответствие этим требованиям на сегодняшний день являются одними из наиболее обсуждаемых на форумах и конференциях, посвященных обеспечению безопасности в кредитно-финансовой сфере. Поэтому в рамках настоящей статьи мы не только рассмотрим основные теоретические аспекты данного вопроса, но и предложим общие практические рекомендации тем, кто планирует пройти аудит на соответствие требованиям PCI DSS.
Теория
О стандарте PCI DSS было сказано и написано уже многое, его требования размещены в открытом доступе (например, по адресу: www.pcisecuritystandards.org), и с ними может подробно ознакомиться каждое заинтересованное лицо. Исходя из этого, в первой части статьи мы коротко остановимся лишь на некоторой ключевой информации, касающейся целей внедрения стандарта PCI DSS и сфер его применения.
Историческая справка
В последние годы по всему миру участились случаи взлома банковских информационных систем, сопровождавшиеся компрометацией данных держателей карт с последующим использованием полученной информации для совершения мошенничества.
Подобная тенденция послужила одной из главных причин, побудивших международные платежные системы объединить свои усилия и принять дополнительные меры для защиты своих клиентов. С этой целью в 2004г. был разработан единый набор требований к безопасности данных - Payment Card Industry Data Security Standard, объединивший в себе требования ряда программ по безопасности таких платежных систем как Visa, MasterCard, American Express, Discover Card и JCB. Впоследствии для развития и продвижения стандарта PCI DSS в сентябре 2006 г. был создан специальный Совет по стандартам безопасности - PCI Security Standards Council, в который вошли представители данных платежных систем.
Изначально международные платежные системы требовали от своих участников и торгово-сервисных предприятий обеспечить соответствие стандарту на территории США и Западной Европы, применяя штрафные санкции за невыполнение данных требований. Для других регионов требования PCI DSS были также обязательны, но никаких санкций за их невыполнение предусмотрено не было. Однако с сентября 2006 года Visa Int. объявила, что за непрохождение аудита по стандарту PCI DSS торгово-сервисными предприятиями (merchants) и поставщиками услуг (service providers -процессинговые центры, платежные шлюзы, Интернет-провайдеры), работающими с Visa Int. на территории стран региона СЕМЕА, к которым относится, в том числе, и Россия, будут взиматься штрафы. Собственно, именно это и послужило стимулом к внедрению стандарта российскими банками.
PCI Security Standards Council
7 сентября 2006г. платежные системы American Express, Discover Financial Services, JCB International, MasterCard Worldwide и Visa International выступили с совместным заявлением о создании независимого Совета по стандартам безопасности (PCI Security Standards Council), основным направлением деятельности которого стала координация работы по разработке и развитию PCI DSS.
По оценкам экспертов, это событие стало закономерным этапом в деятельности платежных систем по защите данных держателей карт, подчеркивающим исключительно важное значение этой задачи в мировом масштабе. Создав независимый Совет для работы над стандартом безопасности PCI, его основатели развивают систему, максимально доступную и эффективную для всех участников платежного процесса, включая торгово-сервисные предприятия, процессинговые центры и финансовые организации.
Совет действует как консультационная группа и осуществляет общую разработку стандартов безопасности PCI. Каждый участник данной структуры имеет возможность предлагать изменения, вносить вклад в будущие проекты, участвовать в разработке дополнений к стандартам безопасности, а также влиять на деятельность организации в целом. Кроме того, организации-участники имеют право выбирать и быть избранными в консультативный орган Совета по стандартам безопасности PCI.
В числе стоящих перед Советом задач - развитие и укрепление глобального стандарта безопасности технических данных для защиты информации о держателях карт, снижение издержек и сроков внедрения Стандарта безопасности данных путем создания единых технических стандартов и процедур проверки для использования всеми платежными системами, а также создание базы данных квалифицированных разработчиков решений в области безопасности.
Новая структура начала свою деятельность с принятия стандарта информационной безопасности PCI Data Security Standard v. 1.1, направленного на определение уровня обеспечения безопасности информации о держателях карт, а также с формирования рекомендаций для торговосервисных предприятий, производителей и поставщиков программных решений и терминального оборудования о мерах, необходимых для повышения уровня защиты используемого программного обеспечения.
При этом каждая платежная система по-прежнему несет ответственность за внедрение собственных стандартизованных программ в данной области.
Сферы применения PCI DSS
Действие PCI DSS распространяется на все торгово-сервисные предприятия и поставщиков услуг, работающих с международными платежными системами, т.е. на всех тех, кто передает, обрабатывает и хранит данные держателей карт. Сейчас актуальна версия стандарта PCI Data Security Standard v. 1.1, основные отличия которой от предыдущей касаются конкретизации и расширения некоторых требований.
В таблице 1 приведены различные типы данных и требования к обеспечению их безопасности, которые выдвигает PCI DSS.
Также в зависимости от количества обрабатываемых транзакций каждой компании присваивается определенный уровень с соответствующим набором требований, которые должны выполняться для подтверждения соответствия стандарту. Процедуры подтверждения соответствия могут включать в себя ежегодное прохождение аудита, ежеквартальные сканирования сети или ежегодное заполнение листа самооценки (Self Assessment Questionnaire - специальная анкета, разработанная PCI SSC для самооценки компаний). Нужно отметить, что для выполнения аудита и ежеквартальных сканирований своих сетей компании должны привлекать стороннюю организацию, имеющую статус Qualified Security Assessor (для проведения аудита) или Approved Scanning Vendor (для проведения сканирования сети). Данные статусы присваиваются Советом по стандартам безопасности.
Процедура аудита
В рамках аудита реализуется несколько последовательных этапов, различающихся по своей трудоемкости и длительности.
Этап №1: Проверка документов и определение зоны контроля. На данном этапе аудиторы анализируют и проверяют пакет необходимой документации клиента - компании, выступающей заказчиком прохождения аудита на соответствие требованиям стандарта PCI DSS. В числе данных документов: схема сети с указанием всех подключений к части сети, в которой производится хранение, обработка или передача данных, содержащих информацию о держателях карт, реестр ресурсов, стандарты и политики, принятые в компании, документированные процедуры и процессы.
Зона контроля (Scope) включает в себя:
- все устройства и сетевые сегменты, в которых производится хранение, обработка или передача данных, содержащих информацию о держателях платежных карт;
- все сетевые сегменты и устройства, подключенные к этим сегментам (в том числе активное сетевое оборудование).
Зона контроля может быть довольно обширной, особенно в том случае, если внутри сеть компании не сегментирована и (в случае, если речь идет о кредитной организации) для отделения процессингового центра от остальной сети банка не используются внутренние межсетевые экраны. Используя специальную методику, аудитор делает репрезентативную выборку (Sampling) тех устройств, которые непосредственно будут подлежать проверке в ходе аудита.
Этап № 2: оценка соответствия на месте (On-site audit). После того как решен вопрос с выборкой и завершена проверка необходимых документов, начинается этап On-site audit, т. е. этап проверки реализации требований стандарта PCI DSS непосредственно на месте, т. е. на территории клиента. Аудиторы проверяют реализацию методов защиты и их соответствие требованиям PCI DSS согласно процедурам аудита, насчитывающим более 230 проверок.
Этап № 3: Подготовка и распространение отчета. После окончания процедуры проверки на месте начинается работа над подготовкой отчета. Если компания соответствует по всем пунктам требованиям стандарта, то в международную платежную систему, с которой она работает, посылается соответствующий отчет (ROC для Visa Int. и COV для MasterCard Worldwide).
Этап № 4: Подготовка плана по устранению несоответствий. Если в ходе проверки было найдено хотя бы одно несоответствие, проверяемая компания составляет план по устранению несоответствий (action plan). В этом плане должны быть указаны конкретные даты исправления обнаруженных несоответствий, а также те способы и меры, с помощью которых каждое из них планируется исправить.
Практика
Теперь, коснувшись общей информации о стандарте PCI DSS и процедуре аудита, мы считаем целесообразным остановиться на практических аспектах данной проблематики, а также привести немного статистики.
Сразу хотелось бы оговориться относительно достоверности информации, предоставляемой авторами настоящей статьи, - на сегодняшний день компания «Информзащита» является единственной российской компанией, обладающей статусами Qualified Security Assessor и Approved Scanning Vendor и сертифицированной на выполнение аудита информационных систем компаний, а также сканирование их сетей в соответствии с требованиями стандарта PCI DSS. В течение 2007г. «Информзащита» успешно провела более 15 соответствующих аудитов крупных банков и процессинговых центров в РФ и других странах СНГ. В процессе исполнения данных проектов аудиторами компании был накоплен богатый практический опыт реализации необходимых процедур, отточена методика проведения аудита, аккумулировано и проанализировано огромное количество информации, касающейся несоответствий требованиям стандарта, а также основных причин этих несоответствий. Используя эту информацию, мы постараемся обозначить наиболее важные, с точки зрения практического применения, моменты, которые смогут послужить подспорьем компаниям, готовящимся к прохождению необходимой процедуры аудита и пытающимся самостоятельно разобраться с пробелами в соответствии тем или иным требованиям стандарта.
Основные несоответствия и их причины
Как известно, в отношении любой непрофильной деятельности, а обеспечение информационной безопасности для процессинговых центров является именно таковой, бытует ряд мифов, в плену которых часто находятся компании. В нашем слу чае подобные заблуждения могут подвергнуть компанию высокому риску компрометации данных клиентов, а в настоящее время - являться причиной несоответствия тем или иным требованиям стандарта PCI DSS. Перечислим основные из этих мифов и попробуем их развенчать.
Миф №1: «внутренних» злоумышленников не существует. Отчего-то многие до сих пор считают, что все угрозы связаны с действиями «внешних» злоумышленников, и поэтому основные усилия по IT-защите направлены на обеспечение безопасности периметра сети. При этом вопросы защиты ресурсов внутри сети часто вообще не рассматриваются или им не уделяется должного внимания. По статистике, более 70% инцидентов, связанных с информационной безопасностью, происходит по вине инсайдеров.
Миф №2: треки нужны для претензионной работы и поэтому должны храниться вместе с журналами транзакций. Такой подход противоречит требованиям стандарта PCI DSS, в соответствии с которыми данные треков должны удаляться сразу после процедуры авторизации, т.к. именно эти данные чрезвычайно ценны для злоумышленников, и их компрометация позволяет им впоследствии изготавливать поддельные платежные карты и выполнять мошеннические транзакции.
Миф №3: данные платежных карт вообще не следует удалять, вдруг они когда-нибудь кому-нибудь понадобятся. Такой подход сегодня принципиально ошибочен. Если раньше политикой безопасности регламентировались минимальные сроки хранения данных, то теперь стандарт PCI DSS требует, напротив, ограничения максимальных сроков хранения определенных данных, т.е. в компании должна быть реализована задокументированная политика хранения данных, четко определяющая необходимый для поддержания бизнес-процессов период хранения данных и требования к процедурам их последующего уничтожения.
Миф №4: подключения по выделенным каналам являются защищенными по определению. Многие компании ошибочно полагают, что если они подключат своих клиентов и партнеров по выделенным каналам связи, такое соединение защищать не придется, защищать следует только подключения через Интернет. На самом деле выделенные каналы также требуют защиты, а именно шифрования передаваемых данных и соответствующей настройки VPN и средств межсетевого экранирования.
Миф №5: соответствия PCI DSS можно достичь, просто разработав комплект нормативной документации, поскольку на практике аудиторы ограничиваются проверкой документов и интервью с персоналом. Это в корне не верно: помимо вышеперечисленного аудиторы осуществляют также проверку настроек ПО и анализ содержимого файлов и таблиц баз данных, а также проверку соответствия сведений, указанных в предоставленных им документах, реальному положению вещей в компании.
Теперь приведем немного статистики, касающейся наиболее проблемных, с точки зрения соответствия PCI DSS, требований стандарта, несоответствия которым наиболее часто обнаруживаются в ходе аудиторской проверки.
Как наглядно демонстрирует диаграмма 1, наиболее «проблемными» для компаний по количеству несоответствий являются следующие требования стандарта PCI DSS:
Требование 11: Необходимо проводить регулярное тестирование систем и процессов обеспечения безопасности.
Требование 2: Необходимо запретить использование параметров безопасности и системных паролей, задаваемых производителями по умолчанию.
Требование 3: Необходимо защищать хранимые данные держателей карт.
Требование 10: Необходимо отслеживать и проводить мониторинг всех попыток доступа к сетевым ресурсам и данным держателей карт.
Требование 8: Необходимо назначать уникальный идентификатор каждому, кто имеет доступ к компьютеру.
Диаграмма 1. Среднее количество выявленных несоответствий по каждому из требований PCI DSS
12 основных требований стандарт PCI DSS:
Требование 1: Необходимо установить и поддерживать конфигурацию межсетевого экрана для обеспечения защиты данных держателей карт.
Требование 2: Необходимо запретить использование параметров безопасности и системных паролей, задаваемых производителями по умолчанию.
Требование 3: Необходимо защищать хранимые данные держателей карт.
Требование 4: Необходимо шифровать данные держателей карт при их передаче по открытым, публичным сетям.
Требование 5: Необходимо использовать и регулярно обновлять антивирусное программное обеспечение.
Требование 6: Необходимо разрабатывать и поддерживать защищенные системы и приложения.
Требование 7: Необходимо ограничивать доступ к данным держателей карт по принципу необходимого знания.
Требование 8: Необходимо назначать уникальный идентификатор каждому, кто имеет доступ к компьютеру.
Требование 9: Необходимо ограничивать физический доступ к данным держателей карт.
Требование 10: Необходимо отслеживать и проводить мониторинг всех попыток доступа к сетевым ресурсам и данным держателей карт.
Требование 11: Необходимо проводить регулярное тестирование систем и процессов обеспечения безопасности.
Требование 12: Необходимо поддерживать и совершенствовать политику информационной безопасности.
Несоответствия перечисленным выше требованиям выявляются чаще всего. В то же время выполнение следующих требований стандарта обычно не вызывает больших трудностей:
Требование 9: Необходимо ограничивать физический доступ к данным держателей карт
Требование 4: Необходимо шифровать данные держателей карт при их передаче по открытым, публичным сетям.
Требование 7: Необходимо ограничивать доступ к данным держателей карт по принципу необходимого знания.
Важно отметить, что вышеописанные значения несоответствий рассчитаны с учетом применимости проверок к компаниям. Так, например, большинство компаний, где «Информзащита» проводила аудит, не занимается разработкой собственного ПО, поэтому многие проверки на соответствие Требованию 6 (Необходимо разрабатывать и поддерживать защищенные системы и приложения) к ним применить нельзя. Доля неприменимых проверок для различных требований стандарта приведена на диаграмме 2.
Диаграмма 2. Доля неприменимых проверок для различных требований стандарта PCI DSS
Как показывает диаграмма, к банкам и процессинговым центрам применимы в среднем около 70% всех проверок (из 232-х содержащихся в стандарте).
Очень многие вопросы безопасности в компаниях реализуются в рамках исторически сложившихся практик, которые далеко не всегда соответствуют требованиям стандарта PCI DSS или даже внутренней политике безопасности компании. Поэтому ниже мы привели перечень наиболее часто встречающихся несоответствий требованиям стандарта.
1. Необходимые для обеспечения бизнес-процессов сетевые протоколы и политики межсетевого экранирования незадокументированы.
2. Авторизационные данные хранятся в журналах транзакций ATM, POS-терминалов и т.д.
3. Внутреннее сканирование уязвимостей сетевых устройств не проводится.
4. Не определена политика хранения данных, т. е. нет четкой установки, где и какие данные платежных карт хранить и когда их нужно удалять.
5. Должным образом не обеспечивается контроль целостности приложений и операционных систем серверов.
6. Не стандартизированы настройки операционных систем и приложений, в том числе с точки зрения обеспечения безопасности.
7. Не устанавливаются вообще или устанавливаются несвоевременно обновления безопасности на сервера процессинга, так как для их установки необходимо перезаружать сервера и останавливать работу.
8. В случае использования ПО собственной разработки последнее ничем не регламентировано, и разработчики всегда поддерживают продукционную систему самостоятельно, как наиболее компетентные специалисты.
9. Парольная политика применяется в основном только в доменах Windows. На Unix-серверах, в базах данных и к приложениям парольная политика применяется крайне редко.
10. Регистрация событий не рассматривается как источник информации для мониторинга уровня безопасности и расследования инцидентов.
11. Обучение рядовых сотрудников в части информационной безопасности обычно ограничивается единственным инструктажем при приеме на работу.
Таким образом, ознакомившись с приведенным списком основных несоответствий требованиям стандарта PCI DSS, вы можете попытаться «примерить» его на свою компанию и заранее постараться устранить выявленные несоответствия.
В заключение хотелось бы отметить, что компаниям, в которых процессы управления IT и IT-безопасностью реализованы в соответствии ITIL, COBiT и другими современными IT-стандартами, намного проще выполнить все требования PCI DSS, нежели компаниям, где исторически всей автоматизацией и безопасностью процессинга управляли несколько специалистов, действовавших на собственное усмотрение и без документирования своей деятельности.
Об авторах: Максим Эмм, директор департамента аудита компании «Информзащита»; Наталья Зосимовская, ведущий специалист компании «Информзащита»
Источник: НИП «Информзащита»
