Соблюдение интересов банка при внедрении стандарта PCI...

www.deiteriy.com

Соблюдение интересов банкапри внедрении стандарта PCI DSS

Евгений Безгодовисполнительный директор, CISA, PCI QSA

Интересы банка в проекте по PCI DSS2

Требования к процессу внедрения и сертификации:- Соблюдение сроков- Оптимальные затраты на достижение соответствия- Минимальная нагрузка на сотрудников банка- Качественное планирование

Требования к результату:- Сертификат- Минимум изменений для бизнеса- Оптимальные затраты на поддержание соответствия

Контрольные точки внедрения и сертификации3

На что следует обратить внимание на каждом из этапов?

Обследование инфраструктуры

Разработка компенсационных

мер

Разработка решений

Внедрение решений и

компенсационных мер

Разработка нормативных документов

Тест на проникновение и ASV-сканирование

Сертификационный аудит

СЕРТИФИКАТ

Этап 1: Обследование инфраструктуры4В договоре:

- Предоставление опросных форм перед обследованием- Форма представления результатов обследования- Участие сертифицированного QSA-аудитора (рекомендуется)- Сроки

В процессе выполнения:- Заранее согласуйте форму отчёта об обследовании- Своевременно заполните опросные формы- Предупредите сотрудников, что они будут общаться с консультантом, а не с аудитором- Если в ходе интервью сотрудники банка открывают для себя новое о своей работе – это хорошее интервью- Проверьте качество оформления отчёта

мер

Этап 2: Разработка решений5В договоре:

- Предложение вариантов решений на выбор во всех случаях, когда это возможно- Предложение коммерческого и бесплатного ПО- Промежуточные контрольные точки

В процессе выполнения:- Обсудите Ваши предпочтения заранее- Согласуйте промежуточные результаты- Выясните возможные альтернативы

мер

Этап 3: Разработка компенсационных мер6В договоре:

- Разработка компенсационных мер в случае необходимости

В процессе выполнения:- Подробно расскажите о технических ограничениях и требованиях бизнеса- Если они препятствуют прямому выполнению какого-либо из требований стандарта, рассмотрите возможные компенсационные меры- Компенсационные меры часто оказываются дороже прямого выполнения требования, но бывает и наоборот- Главный критерий: защита данных о держателях карт, а не формальное выполнение требований

мер

Этап 4: Внедрение7

В процессе выполнения:- Извлеките пользу для защиты всего бизнеса, а не только данных о держателях платёжных карт

мер

Этап 5: Разработка нормативных документов8В договоре:

- Разработка всех документов, необходимых и достаточных для достижения и поддержания соответствия- От Политики информационной безопасности до инструкций сотрудников- Не стоит прописывать в договор конкретный перечень документов – он будет определен позже

В процессе выполнения:- Заранее обсудите удобный формат документов- Определите, как они будут интегрированы с уже существующими в компании документами- Проверьте полноту разработанных документов

мер

Этап 6: Испытания9В договоре:

- Предусмотреть условия выполнения повторного теста на проникновение

В процессе выполнения:- Обеспечить точное соблюдение графика ASV-сканирований

мер

Этап 7: Сертификационный аудит10В договоре:

- Выполнение сертифицированным QSA-аудитором

В процессе выполнения:- Проверить действительный статус QSA-компании- Проверить действительный статус QSA-аудитора

www.pcisecuritystandards.org

- Получить подтверждение от МПС о принятии Отчета о соответствии – Report on Compliance (ROC).

мер

О компании11Компания Deiteriy основана 26 января 2010 года

Сегодня компания обладает двумясертифицированными аудиторами CISA

6 июня 2011 года в партнерстве с ISACA запущенамедиа-площадка для общения бизнеса и ИТ:inFORmanagement.Ru

8 июня 2011 года получен статус QSA и возможность выполнять сертификационный аудит

на соответствие требованиям PCI DSS

В штате компании есть два сертифицированных QSA-аудитора с опытом выполнения сертификационных аудитов по PCI DSS более трёх лет

Вопросы?12

Спасибо!Ваши вопросы?

Вручение призов!Евгений Безгодов

CISA, PCI QSAEvgeniy.Bezgodov@deiteriy.com

Соблюдение интересов банка при внедрении стандарта PCI...

Business

Мы за соблюдение правил дорожного движения - 5 б

мир моих интересов 2 класс

о внедрении в учебный процесс модульных образовательных программ

Мы за соблюдение правил дорожного движения - 5 д

Мы за соблюдение правил дорожного движения - 7 а

Кодекс деловой этики и поведения компании Bio-Rad · • Соблюдение деловой этики на рабочем месте. • Соблюдение

Мы за соблюдение правил дорожного движения - 10 а

Hub One. Юлия Копейкина - Конфликт интересов

Развитие познавательных интересов учащихся младших классов

ксуп как заработать на внедрении

Буклет "На защите интересов трудящихся"

Мы за соблюдение правил дорожного движения - 7 б

Управлять конфликтом интересов!

Мы за соблюдение правил дорожного движения - 8 б

Приоритеты интересов молодых научных работников

Мир моих интересов (1 класс)

Ivideon помогает контролировать соблюдение условий франшизы

Шойдин (СоДИТ) "Подводные камни при внедрении СЭД"

Представительство интересов работников

Пара слов о внедрении стиля города