Финансовые организации всерьез задумались о стандартизации ИТ-безопасности

...

После крупных взломов карточных платежных систем, произошедших в последние годы, организации, не желающие разделить печальную участь пострадавших, стали активно обсуждать вопросы внедрения и соблюдения стандартов информационной безопасности PCI DSS, PA DSS, PTS и т.п. Компания InsightExpress опросила 500 американских руководителей, принимающих решения в области информационных технологий, чтобы выяснить их отношение к стандарту PCI DSS (Data Security Standard - стандарт безопасности данных) через пять лет после его разработки и в момент выхода его новой, второй версии.



В опросе приняли участие ИТ-руководители, отвечающие за соблюдение спецификаций PCI в организациях из сферы образования, финансовых услуг, государственного управления, здравоохранения и розничной торговли, сообщает cybersecurity.ru. Исследователи хотели точно оценить их отношение к стандарту PCI DSS, измерить расходы на его внедрение и выявить проблемы, связанные с соблюдением этих нормативных требований, а также оценить распространение определенных технологий, чтобы лучше понять, чем организации руководствуются при выполнении спецификации PCI DSS. Выяснилось следующее:

  • 70 процентов опрошенных считают, что соблюдение стандарта PCI DSS делает их организации более защищенными; 
  • 87 процентов опрошенных полагают, что требования стандарта PCI DSS необходимы для защиты данных держателей платежных карт; 
  • из всех отраслей лучше всех выполняют требования PCI DSS предприятия розничной торговли и финансовые организации; розничная торговля самым серьезным образом отнеслась к внедрению и реализации этого стандарта; 
  • 67 процентов опрошенных ожидают, что в течение ближайшего года их расходы на соблюдение стандарта PCI DSS будут возрастать; это значит, что руководители компаний и члены советов директоров считают PCI DSS весьма важной инициативой; 
  • кроме того, 60 процентов опрошенных предположили, что усилия по соблюдению стандарта PCI DSS могут стимулировать другие проекты, связанные с сетями и сетевой безопасностью. 

Отвечая на вопрос о проблемах соблюдения спецификаций PCI DSS, респонденты чаще всего упоминали необходимость обучения сотрудников правильному обращению с данными держателей платежных карт. По мнению 43 процентов опрошенных, в этой области существуют проблемы. Кроме того, 32 процента упомянули необходимость обновления устаревших систем. 

По мнению респондентов, из 12 требований PCI DSS труднее всего соблюдать требования к отслеживанию и мониторингу всех случаев доступа к сетевым ресурсам и пользовательским данным (37 процентов), разработке и поддержке безопасных систем и приложений (32 процента) и защите хранимых данных держателей карт (30 процентов).

С аудитом требований PCI DSS лучше всех справляются государственные организации. Впрочем, подавляющее большинство других организаций тоже стараются защитить конфиденциальные данные держателей карт.

85 процентов опрошенных считают, что в настоящий момент их организации способны успешно пройти аудит PCI DSS, а 78 процентов успешно прошли такой аудит с первого раза;
как ни удивительно, наиболее высокие результаты в данной области показали государственные организации: 85 процентов госучреждений прошли аудит PCI DSS с первого раза успешно. Хуже всего проходили такой аудит медицинские организации (72 процента); свыше 85 процентов опрошенных знакомы с разъяснениями и рекомендациями по недавно объявленной новой версии стандарта PCI DSS 2.0.

Самыми примечательными оказались ответы на вопросы о роли технологии в платежной среде. Открылся удивительный факт: организации внедряют новые технологии заранее, еще до выхода соответствующих директив Совета США по внедрению стандартов безопасности в платежной индустрии (PCI Security Standard Council).

Хотя совет дал рекомендации по технологиям, не включенным открыто в спецификации DSS, таким как шифрование каналов "точка-точка" и EMV (карточные системы Europay, MasterCard и Visa с микропроцессорами и PIN-кодами), точных стандартов для шифрования "точка-точка" до сих пор не существует. Тем не менее организации принимают эту технологию в надежде на "сжатие среды пользовательских данных", то есть уменьшение требований к компьютерным системам, обрабатывающим данные держателей платежных карт. Кроме того, хотя совет дал некоторые разъяснения по поводу виртуализации, мир ждет дополнительную информацию по этому вопросу. При этом многие организации не ждут разъяснений совета и внедряют передовой опыт в нужных областях самостоятельно.

  • 57 процентов опрошенных удовлетворены текущим состоянием дел в области безопасности виртуальной среды в своих организациях; 
  • 36 процентов хотят увеличить число виртуальных устройств безопасности (межсетевых экранов и систем предотвращения вторжений), чтобы удовлетворить требования PCI 2.0; 
  • 30 процентов стремятся увеличить защищенность виртуализационного программного обеспечения с помощью методов, рекомендуемых производителями и стандартом PCI DSS; 
  • 60 процентов организаций используют шифрование "точка-точка", чтобы упростить соблюдение требований безопасности и по возможности уменьшить объем следующей аудиторской проверки PCI DSS; 
  • шифрованием "точка-точка" пользуется почти 70 процентов финансовых организаций; 
  • 45 процентов опрошенных заявили, что используют спецификации EMV, чтобы уменьшить вероятность мошенничества; 
  • еще 23 процента не используют EMV, но думают о внедрении этой технологии.
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Qrator Labs открыла Центр очистки трафика

Qrator Labs, специализирующаяся на обеспечении доступности интернет-ресурсов и противодействии DDoS-атакам, открыла новый Центр очистки трафика на рынке Ближнего Востока для предоставления услуг по противодействию DDoS-атакам. Новая точка присутствия компании запущена в Дубае.

Регион Ближнего Востока сегодня проходит серьезный процесс трансформации, интегральной частью которого является формирование экосистемы технологических инноваций. Расходы на информационные технологии в регионе META, включающем Ближний Восток, Турцию и Африку, по прогнозам IDC, должны увеличиться на 2,8% и достичь 77,5 млрд долларов в 2021 году.

В связи с этим задачи обеспечения доступности и безопасности ресурсов становятся одними из наиболее приоритетных для все большего числа компаний Ближнего Востока. Среди организаций Ближнего Востока отмечается растущая обеспокоенность проблемой DDoS-атак. Многие компании в регионе Персидского залива не только считают атаки на отказ в обслуживании одной из основных бизнес-угроз, но также осознают необходимость организации комплексной защиты от них. В условиях сложной экономической ситуации и перехода в онлайн все большего числа компаний риски в киберпространстве продолжат расти, потери от них -- увеличиваться, а значит, бизнес сейчас находится под особенным ударом.

Открытие ЦОТ в Дубае становится важным этапом в развитии сети фильтрации Qrator Labs и стратегии глобальной экспансии компании. С помощью этой точки присутствия компания значительно увеличивает покрытие свой сети, обеспечивая низкие задержки для клиентов внутри ближневосточного региона, заинтересованных в обеспечении непрерывного функционирования своего бизнеса.

«Рынок Ближнего Востока сильно монополизирован, поэтому обеспечить приемлемую связность в регионе достаточно непросто. Однако нам удалось построить свою сеть таким образом, чтобы повысить отказоустойчивость и усилить географическую распределенность сети Qrator Labs и обеспечить прямой доступ к клиентам и партнерам региона, – комментирует директор Qrator Labs в ближневосточном регионе Максим Белоенко. – Развитие инфраструктуры нашего облачного решения позволяет нам предоставлять клиентам сервис по противодействию DDoS-атакам с минимальными сетевыми задержками по приемлемой стоимости».

ЦОТ в Дубае стал 13-м в глобальной инфраструктуре Qrator Labs. На сегодняшний день сеть фильтрации Qrator включает в себя три узла в России, два — в США, три — на территории ЕС, четыре — в Азии и один — на Ближнем Востоке.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru