1. PCI P2PE:
Point-to-Point Encryption
Алексей Бабенко
руководитель направления, PCI&PA QSA

2. Решение P2PE (P2PE solution)
Решение P2PE – совокупность устройств, ПО и
процессов, обеспечивающая надежное шифрование
данных платежных карт от точки взаимодействия
(point-of-interaction (POI)) до среды расшифрования, а
именно:
• Надежное шифрование данных платежных карт в
точках взаимодействия c клиентом (POI)
• Использование P2PE сертифицированных
приложений в точках взаимодействия (в том числе
на POI)
• Безопасное управление устройствами
шифрования/расшифрования
• Обеспечение безопасности среды расшифрования
данных и самих данных в открытом виде.
• Безопасное управление криптографическими
ключами

3. Решение P2PE
Пример:

4. Поставщик P2PE (P2PE solution provider)
Поставщик P2PE решения – организация (например,
процессинг, платежный шлюз, мерчант), которая несет
ответственность за разработку и реализацию
конкретного P2PE решения, а так же управляет P2PE
решением для своих клиентов (мерчантов).
Так же поставщик решений несет ответственность за
обеспечение выполнений всех требований
предъявляемых к P2PE, включая требования
выполняемые третьими лицами (например: центры
сертификации, инсталляция криптографических
ключей)

5. Стандарт P2PE
Стандарт PCI P2PE содержит требования и процедуры
проверки, направленные на вендоров (ПО, устройств)
и поставщиков P2PE решений, с целью подтверждения
надежности применения решений для обеспечения
безопасности данных платежных карт.
На данный момент доступна версия 1.1 направленная
аппаратные P2PE решения (Encryption, Decryption, and
Key Management within Secure Cryptographic Devices)
реализуемые третьими лицами (мерчант не имеет
доступа к открытым данным и ключам шифрования)
В дальнейшем планируется расширение требований
для учета возможности использования программных
средств шифрования/расшифрования, а так же
самостоятельного управления мерчантами своими
ключами.

6. Выгода от внедрения P2PE решений
Использование P2PE решений, позволяет мерчантам
сократить область проверки PCI DSS.
Мерчанты соответствующего уровня, использующие
для обработки данных только сертифицированные
P2PE решения, заполняют SAQ P2PE-HW v2.0,
содержащий минимальное количество требований (в
основном требования к документированным
политикам)
P2PE решения помогают обеспечивать безопасную
обработку данных платежных карт.

7. Рoint-of-interaction (POI) devices
Устройство взаимодействия с картодержателем (Рoint-
of-interaction (POI) devices) – сертифицированное по
PCI PTS with SRED (secure reading and exchange of data)
устройство, в том числе любое устройство
сертифицированное по PCI PTS v3.0 либо по PCI PTS
v2.0 с проведением дополнительных SRED проверок.

8. Содержание стандарта
Домен Описание
1. Управление устройствами Требования к использованию безопасных
шифрования устройств шифрования и надежной защиты их от
несанкционированного доступа
2. Безопасность приложений Требования к безопасности приложений в среде
P2PE
3. Среда шифрования (среда Требования к обеспечению безопасности среды
мерчанта) использования POI
4. Разделение среды Требования к разделению обязанностей и функций
шифрования и расшифрования в рамках сред шифрования и расшифрования
(не применимы для аппаратных решений)
5. Среда расшифрования и Требования к обеспечению безопасности среды и
управление устройствами устройств расшифрования данных
6. Управление Требования к использованию надежных
криптографическими ключами криптографических ключей и процедур управления
ключами.

9. Проведение проверки
Проверка P2PE решений осуществляется:
• QSA (P2PE) – для всех доменов, кроме 2-го
(например при использовании уже
сертифицированных приложений)
• PA-QSA (P2PE) – для всех доменов, в том числе 2-го
QSA (P2PE) и PA-QSA (P2PE) – это QSA и PA-QSA
прошедшие дополнительную аттестацию и
обладающими требуемыми для проверки знаниями.
Все отчеты о проверки проходят процедуру
согласования PCI SSC

10. Спасибо за внимание.
Вопросы?
Алексей Бабенко
руководитель направления, PCI&PA QSA
a.babenko@infosec.ru
+7 (495) 980-23-45 доп.458
www.infosec.ru
arekusux.blogspot.com