70% опрошенных считают, что соблюдение стандарта PCI DSS делает их организации более защищенными

21 января 2011 г., 19:33

После крупных взломов карточных платежных систем, произошедших в последние годы, тема соблюдения стандартов информационной безопасности PCI DSS, PA DSS, PTS стала как никогда важна и актуальна.

По заказу Cisco аналитическая компания InsightExpress опросила 500 руководителей американских компаний, принимающих решения в области информационных технологий, чтобы выяснить их отношение к стандарту PCI DSS (Data Security Standard - стандарт безопасности данных) через пять лет после его разработки и в момент выхода его новой, второй версии.

Почти 70% опрошенных считают, что соблюдение стандарта PCI DSS делает их организации более защищенными, при этом 87% полагают, что требования стандарта PCI DSS необходимы для защиты данных держателей платежных карт.

Из всех отраслей лучше всех выполняют требования PCI DSS предприятия розничной торговли и финансовые организации.

Львиная доля респондентов (67%) ожидают, что в течение ближайшего года их расходы на соблюдение стандарта PCI DSS будут возрастать. Кроме того, 60% опрошенных предположили, что усилия по соблюдению стандарта PCI DSS могут стимулировать другие проекты, связанные с сетями и сетевой безопасностью.

Отвечая на вопрос о проблемах соблюдения спецификаций PCI DSS, респонденты чаще всего упоминали необходимость обучения сотрудников правильному обращению с данными держателей платежных карт. По мнению 43% опрошенных, в этой области существуют проблемы, а 32% упомянули необходимость обновления устаревших систем.

По мнению респондентов, из 12 требований PCI DSS труднее всего соблюдать требования к отслеживанию и мониторингу всех случаев доступа к сетевым ресурсам и пользовательским данным (37%), разработке и поддержке безопасных систем и приложений (32%) и защите хранимых данных держателей карт (30%).

Самыми примечательными оказались ответы на вопросы о роли технологии в платежной среде. Открылся удивительный факт: организации внедряют новые технологии заранее, еще до выхода соответствующих директив Совета США по внедрению стандартов безопасности в платежной индустрии (PCI Security Standard Council).
Хотя совет дал рекомендации по технологиям, не включенным открыто в спецификации DSS, таким как шифрование каналов "точка-точка" и EMV (карточные системы Europay, MasterCard и Visa с микропроцессорами и PIN-кодами), точных стандартов для шифрования "точка-точка" до сих пор не существует. Тем не менее, организации принимают эту технологию в надежде на "сжатие среды пользовательских данных", то есть уменьшение требований к компьютерным системам, обрабатывающим данные держателей платежных карт. Кроме того, хотя совет дал некоторые разъяснения по поводу виртуализации, мир ждет дополнительную информацию по этому вопросу. При этом многие организации не ждут разъяснений совета и внедряют передовой опыт в нужных областях самостоятельно.

Почти 36% респондентов хотят увеличить число виртуальных устройств безопасности (межсетевых экранов и систем предотвращения вторжений), чтобы удовлетворить требования PCI 2.0. Треть опрошенных стремятся увеличить защищенность виртуализационного программного обеспечения с помощью методов, рекомендуемых производителями и стандартом PCI DSS.