基本層面防禦欠奉:維持 PCI DSS 項目及格十分困難!專家分享致勝之道

基本層面防禦欠奉:維持 PCI DSS 項目及格十分困難!專家分享致勝之道

基本層面防禦欠奉:維持 PCI DSS 項目及格十分困難!專家分享致勝之道

提到網絡安全,PCI DSS 可以說是企業不可或缺的,尤其是對於某些行業!當企業能通過 PCI DSS 認證,整體來說其安全防禦能力往往會比一般企業高,不過要取得相關認證,並在評測時及格卻絕非易事!本文將會為大家淺談一下 PCI DSS 安全標準與防禦網絡攻擊能力的關係,同時亦會分享一下幫助管理控制項生命週期方法。

近年網絡罪案猖獗,企業和消費者亦隨之益發關注付款卡安全。支付卡產業資料安全標準(PCI DSS)能為接納付款卡的商舖提供保障,以免商舖的付款系統受數據失竊和資料盜取等威脅。而根據 Verizon 2017 年《付款安全報告》(Payment Security Report)顯示,企業是否達標,將與其防禦網絡攻擊能力掛勾。

在所有經 Verizon 調查的付款卡數據失竊個案中,沒有一間機構在事發時是完全達至安全標準,在 12 個 PCI DSS 主要控制項中,僅有 10 個達標。

環觀全球,符合 PCI 標準的企業整體上有顯著上升。據評測結果所得,55.4% 的機構通過 2016 年的中期測試,與 2015 年的 48.4% 相比可見明顯改善。但這亦代表近半的零售商、餐廳、酒店和其他接納付款卡的企業在過去兩年仍未能完全達至安全標準。

行業相關的重要結果及真實例子

IT 服務行業為是次研究中,最能達至安全標準的主要行業。在全球,有近六成(61.3%)IT 服務企業在 2016 年中期評測均能達標。其次為達 59.1% 的金融服務機構(包括保險業)、零售業(50%)和餐旅業(42.9%)。

就以下行業,亦重點列出多個行業相關的安全控制項中最常見的缺失:

● 零售業:進行安全檢測、加密數據傳送及身份驗證
● 酒店業及旅遊業:安全加固、保障傳輸中的數據及實體數據安全
● 金融服務業:制訂安全程序、安全設置、保障傳輸中數據、漏洞管理及整體風險管理

提到企業未能遵從安全標準的真實例子,其中之一就是一間正為其無線網絡申請 PCI DSS 標準豁免的金融服務機構,當中他們竟發現,其大廈內已存有另一個無線網絡,而由於有此疏忽,因而最終令該公司申請失敗。事發後發現,由於該公司的伺服器設於最底層,而 IT 部門位於三樓,該部門有員工為免除經常上落樓層的麻煩,自行安裝了路由器以便由桌上直接操控伺服器。

達標數目為持續合格的關鍵

儘管企業理應能達至如安全檢測、滲透測試等 PCI 控制項目,但報告發現,很多企業連基本層面的設置亦欠奉。在 2015 年中期評測不及合的企業當中,平均有 12.4% 未達控制項目的要求,而在 2016 年更稍升至 13%。

現在問題已經不是在於是否需要保護數據,而是如何能持續地保護數據。很多企業依然獨立地看待 PCI DSS 的控制項目,而忽略這些控制項目之間的關連。企業亦往往缺乏管理控制項生命週期的概念。公司內缺乏這方面的專業人士為常見問題。

2017 年的《付款安全報告》報告提出以下五個指引幫助管理控制項生命週期:

1. 統一系統方便管理:不停增加不同安全方案並不是解決方法。現有的 PCI DSS 標準已經包含多個互連的數據保護標準和規定。企業應藉此合併及簡化控制措施管理。
2. 為發展專才進行投資:企業應適當地投資在員工上,培訓及維持他們對改善、監察或評估已有安全控制措施的知識。
3. 套用平衡策略:企業需要對內維持強大和彈性的控制項環境,以防控制措施表現不符合規格。
4. 儘量自動化程序:實施數據保護程序及自動化模式可為管理控制項帶來極大好處,但留意所有自動化程序均需要經常覆核。
5. 設計及管理對內的控制措施環境:每個 PCI DSS 控制措施的表現都有相互影響。假如其中一個控制措施出現問題,其他控制措施的表現亦會繼而受影響。因此企業必須明白這一關連以達至有效和可持續的數據保障計劃。

企業要持續維持安全控制項目及格十分困難,而稍一不慎持卡人資料將會曝露在網絡攻擊的風險之中。這個趨勢亦是促使 PCI 數據安全標準版本 3.2 改變的主因之一,改變集中幫助企業全年都能保持達到一定數目的數據安全控制項,以及確保這些控制項通過定期有效測試,並成為日常安全管理過程的一部分。

這份 2017 報告的目的並不是說服讀者符合 PCI 標準的需要,而是根據可量度的參數以評測 PCI 標準的實際表現。今年報告的結果均由 Verizon 經認證、為超過 30 個國家的財富 500 及大型跨國公司作安全評估的團隊所評核的。

《付款安全報告》為基於真實案例而且集中在金融服務(47.5%)、資訊科技服務(22.3%)、餐旅業(15.1%)和零售業(14.4%)而編制。報告覆蓋的地區包括美國(42.4%)、歐洲(28.1%)及亞太地區(29.5%)的資料。

 

Tags: , , , , , , , , , , , , , , ,

 

About the author

More posts by

 

 

 

Add a comment

You must be logged in to post a comment.