Финансовые организации всерьез задумались о стандартизации ИТ-безопасности

Финансовые организации всерьез задумались о стандартизации ИТ-безопасности

...

После крупных взломов карточных платежных систем, произошедших в последние годы, организации, не желающие разделить печальную участь пострадавших, стали активно обсуждать вопросы внедрения и соблюдения стандартов информационной безопасности PCI DSS, PA DSS, PTS и т.п. Компания InsightExpress опросила 500 американских руководителей, принимающих решения в области информационных технологий, чтобы выяснить их отношение к стандарту PCI DSS (Data Security Standard - стандарт безопасности данных) через пять лет после его разработки и в момент выхода его новой, второй версии.



В опросе приняли участие ИТ-руководители, отвечающие за соблюдение спецификаций PCI в организациях из сферы образования, финансовых услуг, государственного управления, здравоохранения и розничной торговли, сообщает cybersecurity.ru. Исследователи хотели точно оценить их отношение к стандарту PCI DSS, измерить расходы на его внедрение и выявить проблемы, связанные с соблюдением этих нормативных требований, а также оценить распространение определенных технологий, чтобы лучше понять, чем организации руководствуются при выполнении спецификации PCI DSS. Выяснилось следующее:

  • 70 процентов опрошенных считают, что соблюдение стандарта PCI DSS делает их организации более защищенными; 
  • 87 процентов опрошенных полагают, что требования стандарта PCI DSS необходимы для защиты данных держателей платежных карт; 
  • из всех отраслей лучше всех выполняют требования PCI DSS предприятия розничной торговли и финансовые организации; розничная торговля самым серьезным образом отнеслась к внедрению и реализации этого стандарта; 
  • 67 процентов опрошенных ожидают, что в течение ближайшего года их расходы на соблюдение стандарта PCI DSS будут возрастать; это значит, что руководители компаний и члены советов директоров считают PCI DSS весьма важной инициативой; 
  • кроме того, 60 процентов опрошенных предположили, что усилия по соблюдению стандарта PCI DSS могут стимулировать другие проекты, связанные с сетями и сетевой безопасностью. 

Отвечая на вопрос о проблемах соблюдения спецификаций PCI DSS, респонденты чаще всего упоминали необходимость обучения сотрудников правильному обращению с данными держателей платежных карт. По мнению 43 процентов опрошенных, в этой области существуют проблемы. Кроме того, 32 процента упомянули необходимость обновления устаревших систем. 

По мнению респондентов, из 12 требований PCI DSS труднее всего соблюдать требования к отслеживанию и мониторингу всех случаев доступа к сетевым ресурсам и пользовательским данным (37 процентов), разработке и поддержке безопасных систем и приложений (32 процента) и защите хранимых данных держателей карт (30 процентов).

С аудитом требований PCI DSS лучше всех справляются государственные организации. Впрочем, подавляющее большинство других организаций тоже стараются защитить конфиденциальные данные держателей карт.

85 процентов опрошенных считают, что в настоящий момент их организации способны успешно пройти аудит PCI DSS, а 78 процентов успешно прошли такой аудит с первого раза;
как ни удивительно, наиболее высокие результаты в данной области показали государственные организации: 85 процентов госучреждений прошли аудит PCI DSS с первого раза успешно. Хуже всего проходили такой аудит медицинские организации (72 процента); свыше 85 процентов опрошенных знакомы с разъяснениями и рекомендациями по недавно объявленной новой версии стандарта PCI DSS 2.0.

Самыми примечательными оказались ответы на вопросы о роли технологии в платежной среде. Открылся удивительный факт: организации внедряют новые технологии заранее, еще до выхода соответствующих директив Совета США по внедрению стандартов безопасности в платежной индустрии (PCI Security Standard Council).

Хотя совет дал рекомендации по технологиям, не включенным открыто в спецификации DSS, таким как шифрование каналов "точка-точка" и EMV (карточные системы Europay, MasterCard и Visa с микропроцессорами и PIN-кодами), точных стандартов для шифрования "точка-точка" до сих пор не существует. Тем не менее организации принимают эту технологию в надежде на "сжатие среды пользовательских данных", то есть уменьшение требований к компьютерным системам, обрабатывающим данные держателей платежных карт. Кроме того, хотя совет дал некоторые разъяснения по поводу виртуализации, мир ждет дополнительную информацию по этому вопросу. При этом многие организации не ждут разъяснений совета и внедряют передовой опыт в нужных областях самостоятельно.

  • 57 процентов опрошенных удовлетворены текущим состоянием дел в области безопасности виртуальной среды в своих организациях; 
  • 36 процентов хотят увеличить число виртуальных устройств безопасности (межсетевых экранов и систем предотвращения вторжений), чтобы удовлетворить требования PCI 2.0; 
  • 30 процентов стремятся увеличить защищенность виртуализационного программного обеспечения с помощью методов, рекомендуемых производителями и стандартом PCI DSS; 
  • 60 процентов организаций используют шифрование "точка-точка", чтобы упростить соблюдение требований безопасности и по возможности уменьшить объем следующей аудиторской проверки PCI DSS; 
  • шифрованием "точка-точка" пользуется почти 70 процентов финансовых организаций; 
  • 45 процентов опрошенных заявили, что используют спецификации EMV, чтобы уменьшить вероятность мошенничества; 
  • еще 23 процента не используют EMV, но думают о внедрении этой технологии.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минцифры поддержало инициативу депутатов об обучении ИБ госслужащих

Минцифры поддержало инициативу группы депутатов от фракции «Новые люди», которые предложили внедрить системное обучение государственных и муниципальных служащих основам кибербезопасности. По замыслу авторов инициативы, регулярные курсы помогут защитить государственные структуры от кибератак, включая попытки социальной инженерии, фишинга и использования вредоносных программ.

Депутаты направили министру цифрового развития, связи и массовых коммуникаций Максуту Шадаеву письмо с предложением сделать такие курсы обязательными и завершать их аттестацией.

В распоряжении РИА Новости оказался ответ на письмо, подписанный одним из заместителей министра. В документе отмечается, что ведомство разделяет позицию о необходимости системного обучения госслужащих. Подчёркивается, что такие меры особенно важны для защиты информационных ресурсов органов власти и критической инфраструктуры от атак социальной инженерии.

Представитель Минцифры добавил, что вопросы повышения киберграмотности уже отражены в национальной программе «Цифровая экономика РФ». Кроме того, был создан экспертный совет «Цифровая грамотность и кибергигиена», который объединяет усилия специалистов для системного повышения уровня цифровых компетенций.

Сейчас Минцифры готовит новый проект «Цифровая грамотность для госслужащих». В разработке участвуют представители компаний Ростелеком, «Лаборатория Касперского», Яндекс, Авито и Сбер. Их эксперты готовят методические материалы по темам социальной инженерии, фишинга, вредоносных программ, защиты персональных данных и угроз на основе искусственного интеллекта.

Параллельно разрабатывается итоговое тестирование. «Дополнительно сообщаем, что Экспертным советом реализуется проект "ЦифрАтест", направленный на определение уровня цифровой грамотности госслужащих. Платформа будет включать тестирование по темам телефонного мошенничества, защиты от спама, безопасного использования мессенджеров и соцсетей, фишинга и доступа к госуслугам. По итогам прохождения теста участники получат сертификат, отражающий их уровень цифровых компетенций», — говорится в ответе ведомства.

Даже зрелые организации регулярно сталкиваются с инцидентами, вызванными атаками на персонал. Поэтому необходим постоянно действующий процесс обучения и повышения осведомлённости сотрудников. Тем более, что корпоративная среда и госучреждения часто становятся благоприятной почвой для распространения фишинга.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru