PCI DSS trendek külföldön és Magyarországon Tátrai Péter Gáspár Csaba

Méret: px

Mutatás kezdődik a ... oldaltól:

Download "PCI DSS trendek külföldön és Magyarországon Tátrai Péter Gáspár Csaba"

Enikő Takács
8 évvel ezelőtt
Látták:

1 PCI DSS trendek külföldön és Magyarországon Tátrai Péter Gáspár Csaba december 7.

2 Napirend A PCI DSS-ről röviden Nemzetközi trendek QSA cégek tapasztalatai - felmérés Magyarországi helyzet Hogy érint ez minket?

3 A PCI DSS-ről röviden Egységes bankkártya-biztonsági szabvány Kiterjed minden intézményre, mely bankkártya adatot tárol, feldolgoz vagy továbbít Beszámolási kötelezettség a kártyatársaságok felé Beszámolás módja Önértékelési folyamat (SAQ) Helyszíni QSA Assessment (QSA audit) PCI DSS 2.0 verzió 12 követelmény-csoport 216 előírás 418 tesztelendő eset

kötelezettség a kártyatársaságok felé Beszámolás módja Önértékelési folyamat (SAQ)

4 Nemzetközi trendek adatlopás és iparág Vendéglátás 40% Kiskereskedelem 20% Pénzügyi szolgáltatók 22% Kormányzat 4% Gyártás Tech szolgáltatók Üzleti szolgáltatók Egészségügy Media Közlekedés Egyéb 1 2% 2% 1% 1% <1% <1% 2% *Verizon Data Breach Report % 5% 10% 15% 20% 25% 30% 35% 40% 45% Adatlopások iparág szerint*

szolgáltatók Egészségügy Media Közlekedés Egyéb 1 2% 2% 1% 1% <1% <1% 2%

35% Kiskereskedelem és vendéglátás 56% Kompromittált adatok

5 Nemzetközi trendek adatlopás és iparág Célkeresztben: Pénzügyi szolgáltatók Kereskedelmi cégek Egyéb 9% Pénzügyi szolgáltatók 35% Kiskereskedelem és vendéglátás 56% Kompromittált adatok mennyiségi megoszlása iparág szerint *Verizon Data Breach Report 2011

6 Nemzetközi trendek PCI DSS megfelelés A PCI DSS alkalmazása Radikális kockázatcsökkentést jelent de nem véd meg az adatlopástól! Megfelel 11% Nem felel meg 89% PCI DSS megfelelés az adatlopást szenvedett cégeknél* *Verizon Data Breach Report 2011

7 Nemzetközi trendek adatvesztés oka Adatvesztés oka* *Ponemon Institute Cost of a Data Breach 2010

8 QSA cégek tapasztalatai - felmérés Adatvédelem, adatkezelés fontossága QSA cégek szerint 51% - nem megfelelő 24% - megfelelő PCI DSS megfelelés költsége kereskedők szerint 54% - túl drága 20% - megfelelő QSA audit költségvetés biztosítása PCI DSS megfelelés felelőssége IT terület 30% Szükséges költségvetés üzleti terület 40% Éves QSA audit költség Legnagyobb 1-es szintű kereskedők: ~225e USD/év 10%-nál USD vagy még több *PCI DSS Trends 2010: QSA Insights Report - Ponemon Institute (155 QSA cég bevonásával világszerte)

felelőssége IT terület 30% Szükséges költségvetés üzleti terület 40% Éves QSA audit költség Legnagyobb 1-es szintű kereskedők: ~225e

9 QSA cégek tapasztalatai - felmérés QSA audit sikere Csak <2% bukik el Jelentős a kompenzációs elemek használata (41%) ideiglenes megoldás! Kártyaadat tárolás legjellemzőbb okai Chargeback kezelés Ügyfél szolgálat Ismétlődő fizetések (recurring) Kártyaadathoz való korlátozott hozzáférés Legfontosabb PCI DSS követelmény De a legnehezebb is megfelelni Kártyaadatok legnagyobb veszélyben Továbbítás kereskedői hálózatokon Tárolás adatbázisokban Egyéb: POS terminálok és fizetési alkalmazások *PCI DSS Trends 2010: QSA Insights Report - Ponemon Institute (155 QSA cég bevonásával világszerte)

Legfontosabb PCI DSS követelmény De a legnehezebb is megfelelni Kártyaadatok legnagyobb veszélyben Továbbítás kereskedői hálózatokon Tárolás

10 QSA cégek tapasztalatai - felmérés

11 Magyarországi PCI DSS helyzet

12 Hogy érint ez minket? 1. PCI DSS hatálya Tárolunk, feldolgozunk vagy továbbítunk-e bankkártya adatot? 2. Piaci szerepkör meghatározása Szolgáltató Kereskedő Elfogadó és/vagy Kibocsátó bank 3. Besorolási szintek megismerése Letölthető a kártyatársaságok hivatalos oldalairól

13 Hogy érint ez minket? 4. Besorolás éves tranzakció szám alapján Szolgáltató: Kártyatársaság, Kereskedő, Elfogadó Bank vagy másik Szolgáltató által Kereskedő: Elfogadó bank által Bankok: Kártyatársaság által Nem a QSA cég jogköre! 5. Jelentési kötelezettségek tisztázása Letölthető a kártyatársaságok hivatalos oldalairól Elfogadó bankok 3 havonta kereskedői státuszt kártyatársaságok felé PCI DSS megfelelési jelentések Önértékelés során (SAQ) Audit kötelezettként (QSA assessment) Kártyatársasági PCI compliance lista: csak auditált szolgáltatók!

Elfogadó bank által Bankok: Kártyatársaság által Nem a QSA cég jogköre! 5.

14 Hogyan tovább? Szakértők bevonása

15 Köszönjük a figyelmet! AperSky Tanácsadó Kft. Iroda: 1053, Budapest, Veres Pálné u Telefon: info@apersky.com Web:

Hasonló dokumentumok

QSA assessment tapasztalatok az auditor szemszögéből Tassi Miklós Tátrai Péter

QSA assessment tapasztalatok az auditor szemszögéből Tassi Miklós Tátrai Péter 2011. december 7. Napirend A PCI DSS megfelelés motivációi Audit kötelezettség háttere A QSA assessment szolgáltatás Az audit