Типовые ошибки в Implementation Guide

1. Типовые ошибки
в Implementation Guide
Евгений Безгодов
Digital Security
Ведущий аналитик по ИБ

2. Типовые ошибки в Implementation Guide
Что такое Implementation Guide?
1. Implementation Guide – это документ, разрабатываемый поставщиком приложения и
представляющий собой Руководство по внедрению приложения в соответствии с
требованиями PCI DSS
2. Стандарт PA-DSS требует обязательного наличия Implementation Guide для приложения
© 2002—2010, Digital Security 2

3. Типовые ошибки в Implementation Guide
Роль Implementation Guide при достижении соответствия
Implementation
Разработчик ПО Guide
_______
_____
PA-DSS
Compliance PCI DSS
Compliance
Платежное приложение
ООО «Эх, заплачу!»
© 2002—2010, Digital Security 3

4. Типовые ошибки в Implementation Guide
Содержание Implementation Guide
1. Важно! Implementation Guide определяет границу ответственности разработчика и
пользователя
2. Цель Implementation Guide – предоставить интеграторам и администраторам приложения
полную информацию о том, как обеспечить соблюдение требований PCI DSS при внедрении
и эксплуатации приложения
3. Стандартом PA-DSS определен перечень обязательных разделов Implementation Guide,
описывающих выполнение соответствующих требований этого Стандарта
4. Наиболее частая ошибка при разработке Implementation Guide – неполное предоставление
информации.
© 2002—2010, Digital Security 4

5. Типовые ошибки в Implementation Guide
Обязательные разделы Implementation Guide
1. Удаление критичных аутентификационных данных, сохраненных предыдущими версиями
приложения
ОЙ! Секретная информация не маскируется ни в базе данных, ни во время
просмотра в приложении. Это объясняется тем, что оператор, выпускающий
карты, видит PAN и CVV2 непосредственно на готовой карте, поэтому
скрывать от него эту информацию нет смысла.
2. Удаление критичных аутентификационных данных, сохраненных в процессе поиска
неисправностей приложения
3. Удаление данных о держателях карт после истечения срока хранения этих данных,
установленного пользователем
4. Удаление криптографических ключей и зашифрованных данных, сохраненных предыдущими
версиями приложения
© 2002—2010, Digital Security 5

6. Типовые ошибки в Implementation Guide
Обязательные разделы Implementation Guide, продолжение
5. Использование уникальных идентификаторов пользователей и безопасной аутентификации
для административного доступа и доступа к данным о держателях карт
ОЙ!
START_ACC - техническая учетная запись с жестко ограниченными правами
и паролем по умолчанию “START_ACC". Пользователя START_ACC нельзя
удалять, менять ему пароль, лишать привилегий и права подключения к БД.
6. Использование уникальных идентификаторов пользователей и безопасной аутентификации
для доступа к рабочим станциям, серверам и базам данных
Для доступа в приложение из предыдущего примера используются учетные ОЙ!
записи сервера БД.
7. Внедрение автоматического протоколирования событий
© 2002—2010, Digital Security 6

7. Типовые ошибки в Implementation Guide
Обязательные разделы Implementation Guide, продолжение
8. Безопасное подключение беспроводных технологий
9. Безопасная передача данных о держателях карт посредством беспроводных технологий
10. Хранение данных о держателях карт только на серверах, неподключенных к Интернет
Об этом разработчики Implementation Guide часто забывают написать. ОЙ!
11. Безопасная доставка обновлений приложения от производителя
12. Применение двухфакторной аутентификации для удаленного доступа к приложению
13. Безопасное использование функций удаленного доступа к приложению
© 2002—2010, Digital Security 7

8. Типовые ошибки в Implementation Guide
Обязательные разделы Implementation Guide, заключение
14. Безопасная передача данных о держателях карт посредством общедоступных сетей
15. Шифрование данных о держателях карт, передаваемых посредством пользовательских
технологий передачи сообщений
16. Шифрование неконсольного административного доступа
Это минимальный набор требований, способы выполнения которых следует описать в
Implementation Guide.
© 2002—2010, Digital Security 8

9. Типовые ошибки в Implementation Guide
Вопросы?
Вопросы?
FORUM.PCIDSS.RU
© 2002—2010, Digital Security 9