Проекты PCI DSS: как совместить требования бизнеса и регуляторов?

Сергей Шустиков
Генеральный директор компании
Deiteriy, CISA, PCI QSA, PCI PA-QSA

Любой рынок в своем развитии проходит путь от свободы творчества к той или иной форме регулирования, осуществляемого государством или негосударственными организациями. Целью регулирования обычно становится защита интересов, находящихся в противоречии с извлечением прибыли, и по этой причине не являющихся предметом заботы со стороны бизнеса. Не является исключением и платежная индустрия. Вставая на защиту интересов держателей платежных карт, международные платежные системы предъявляют к участникам платежного бизнеса требования по обеспечению безопасности данных при осуществлении транзакций.

Соответствие PCI DSS

Международный стандарт безопасности данных индустрии платежных карт (PCI DSS) распространяется на торгово-сервисные предприятия, банки, процессинговые центры, платежные шлюзы и иные организации, вовлеченные в процесс оплаты по картам. Соответствие этому стандарту является необходимым условием ведения бизнеса, связанного с карточными платежами. Правила подтверждения соответствия PCI DSS устанавливают международные платежные системы, наиболее известными из которых являются Visa и MasterCard. Кроме того, для торгово-сервисных предприятий эти правила могут изменять банки-эквайеры.

Важность вопроса соответствия требованиям международного регулятора заставляет организацию мобилизовать значительные ресурсы на его достижение, и в первую очередь речь идет о кадровом ресурсе. Сертификат соответствия, выдаваемый QSA-аудитором, становится для организации достойной наградой.

Рассмотрим, что происходит далее в организации, только что внедрившей PCI DSS, где процессы ИБ находятся еще в самом начале своего развития и не достигли достаточной зрелости. Добившись определенного уровня и получив от аудитора свидетельство соответствия требованиям регулятора, бизнес испытывает естественное желание направить мобилизованные ресурсы туда, где находятся его прямые интересы. Но только что внедренные процессы ИБ уже требуют внимания и ресурсов, поскольку требования регулятора обязывают выполнять рутинную работу.

Обнаруживается противоречие между требованиями регулятора, устанавливающими необходимость выполнения регулярных процедур ИБ, и требованиями бизнеса о максимизации внимания к основной деятельности.

Разрешение противоречий

На помощь в таком случае может прийти консультант, профессионально знакомый с тонкостями поддержки соответствия стандарту PCI DSS после сертификации. Довольно часто QSA-аудиторы, выполнившие сертификацию, предлагают своим клиентам ту или иную форму сопровождения сертифицируемой инфраструктуры. Зная большинство подводных камней, поджидающих бизнес на пути, регулируемом внешними требованиями, консультант может не только подсказать методы повышения эффективности вспомогательных процессов, но и взять на себя часть рутинной работы.

Логика в этом достаточно простая. Работа консультанта по внедрению PCI DSS заключается в снятии с плеч бизнеса вопросов, связанных с достижением соответствия требованиям регулятора. Поэтому поддержанием соответствия в той или иной форме тоже может заниматься внешний консультант.

Форма участия внешнего консультанта может быть различной. В минимальном варианте это регулярный мониторинг того, что выполнение всех процессов И Б находится в норме. Более глубокое участие предполагает вовлечение внешней компании, специализирующейся на услугах по ИБ, в выполнение ежедневной рутины. Например, это может быть согласование QSA-консультантами изменений в информационной инфраструктуре сертифицированной организации или включение внешних специалистов во внутренний цикл разработки ПО на этапах анализа программного кода и тестирования безопасности новых модулей.

Кроме того, немаловажную роль играет постоянная актуализация знаний в области регулирования. Требования регуляторов платежной индустрии сегодня изменяются очень активно, особенно если принять во внимание не только PCI DSS, но и требования российского законодательства о национальной платежной системе.

Иногда можно наблюдать ситуацию, когда выполнение требований регулятора не находится в классическом противоречии с требованиями бизнеса, а, наоборот, способствует его продвижению. Это характерно для компаний, отдельные направления бизнеса которых либо невозможны, либо ограничены в возможностях без выполнения регулятивных норм.

Управление соответствием, как один из трех базовых процессов обеспечения ИБ наряду с управлением рисками и управлением требованиями бизнеса, направлено на взаимодействие с изменяющейся средой внешнего регулирования. Эта особенность позволяет использовать специализированные ресурсы внешних консультантов для гармонизации требований регуляторов и бизнеса.