Il Payment Card Industry Security Standard Council (PCI SSC), fondato da American Express, Mastercard, Visa, Discover Financial e JCB International (i c.d. Brand), è l’Ente indipendente delegato allo sviluppo ed alla gestione del Payment Card Industry Data Security Standard (PCI DSS), lo standard riconosciuto a livello internazionale che ha l’obiettivo di favorire e migliorare la protezione dei dati delle carte di pagamento e quindi contrastare il fenomeno delle frodi.
IL CICLO DI VITA DELLO STANDARD
Nel tardo autunno 2013 il PCI SSC ha pubblicato PCI DSS 3.0 apportando un buon numero di modificazioni, tra chiarimenti, riorganizzazione di punti e diverse integrazioni. Uno degli aspetti più evidenti, sottolineati con incisività dal General Manager, Bob Russo, è il concetto di business-as-usual (BAU). Cioè l’idea che PCI DSS nella versione 3.0 dovrebbe rendere più agevole l’integrazione e gestione della sicurezza nel day-by-day aziendale e quindi non limitando tali attività in occasione delle verifiche periodiche di conformità, come purtroppo in molti casi avviene per i più tradizionali sistemi di gestione (in particolare ISO 9001, ma anche ISO/IEC 27001 ne è affetta).
LE PRINCIPALI MODIFICHE APPORTATE ALLO STANDARD
In particolare, sia in termini di miglioramento e chiarificazione, sia di evoluzione dei requisiti, alcune delle principali modificazioni sono così riassumibili (talune in vigore dal luglio 2015):
- deve essere mantenuto un inventario di tutti gli asset che compongono lo scope PCI DSS;
- ai diagrammi di rete deve ora essere aggiunta anche la rappresentazione dei flussi dei dati;
- l’utilizzo di meccanismi di autenticazione, di aumento dei privilegi, di modifica, aggiunta o cancellazione di account con privilegi amministrativi deve essere tracciato (log management);
- il chiarimento riguardo l’esecuzione del risk assessment, da svolgersi annualmente e dopo ogni significativo cambiamento apportato all’ambito di trattamento;
- mantenere un accordo scritto con i service provider inclusivo del riconoscimento che tutti i requisiti di sicurezza a loro applicabili siano implementati e mantenuti (best practice fino al 30 giugno 2015);
- i service provider non devono riutilizzare le medesime credenziali per differenti clienti (best practice fino al 30 giugno 2015);
- devono essere documentate le modalità di gestione di PAN e SAD nella memoria (volatile) dei sistemi nelle fasi di sviluppo del codice (best practice fino al 30 giugno 2015);
- nuovi meccanismi e metodologie riconosciute per lo svolgimento delle attività di penetration testing (best practice fino al 30 giugno 2015).
Questo articolo è l'ultimo di tre approfondimenti sul tema PCI DSS.
Vuoi saperne di più?
Ne parliamo al Seminario “Verso PCI DSS 3.0: che cosa cambia?”
Milano, 25 settembre 2014
AtaHotel Executive - Viale Luigi Sturzo 45
Il seminario, organizzato da Astrea in collaborazione con AziendaBanca, ha l’obiettivo di approfondire gli impatti dello standard PCI DSS (Payment Card Industry Data Security Standard, ora alla versione 3.0) sugli aspetti organizzativi, di processo, documentali e inerenti i sistemi informativi.
