为支付卡行业数据安全新标准做准备.pdfVIP

2014年·第3期 海外传真 栏耳编辑：王雪玉E—mail=S阳9@21cn．∞m 为支付卡行业数据安全新标准做准备 ■叶纯敏编译 FinanciaI Express，Discover 新为3．0版本的PC卜DSS将正式实施，力图通过规范的标准多方面地保障持卡人的信息安全。 Card这一部分增加了多方面的要求，用 销售终端的风险挑战，3．0版本主要 PCI—DSS(Payment Data Standard，支于保证获得客户环境的服务提供者 新增了9．9这一标准，它适用于在实 IndustrySecurity 付卡行业数据安全标准)3．0版本在 使用唯一的身份认证凭证，如给每 卡交易中使用的读卡设备。这是指 2014年1月1日正式实施，PCI安全标一个客户特定一个密码或者密码短 在每一个可能刷卡或窃卡的销售终 准委员会的首席技术官特洛伊·利 语。这一要求是专门为解决供应商 端，而不是整个销售终端系统。 支持多个商家以及与消费者之间的 同时，3．0版本多次强调教育和 奇(TroyLeach)和总经理鲍勃·鲁 索(BobRusso)表示，需要开展相关设备凭证而折衷的方案。PCI安全标 意识，通过多种素材资料帮助一线 合规项目。 准委员会收集的反馈意见显示，过 员工建立安全意识。例如，丰富设 3．0版本中的新要求是为了逐步 往用户都是使用同一个设备凭证， 备的图片，增加在设备上多余的卡 减轻由第三方机构，比如云服务商和 真正采用这—方案后可能会感到混 复制器很容易被检查出来。另外就 支付处理器等所带来的支付卡风险。 乱，因此该方案中也增加了说明。 是检查内存条或者设备匕的物理标 利奇表示，新版本强调接受和(或) 另一个更新领域则是关于非 识，最重要的是教育使用人员注意 加工支付卡的企业或组织，有责任确 永久性存储。新的PCI—DsS为解决任何类型的可疑行为，清楚如何报 保他们所依靠的第三方拥有足够的 暂存内存的问题，在该版本的6．5部 告可疑行为、向谁报告以及建立报 分中提出新的要求并专门在支付应 告机制。 安全保障措施。PCI_DSS新规要求， 用数据安全标准(PA 企业、零售商和其他接受支付卡的 DSS，Paymem Data Standard) 安全性和合规性 实体机构以及第三方之间的合同必 ApplicationSecurity 须写明支付卡安全保障义务。 加入·些素材资料，用于开发者和 PCI安全标准委员会从2006年 安全发展生命周期的训练指导。 已经开始了关于行业安全性和合规 更新的领域 除此还有关于销售终端的安 性问题的讨论。总的来说，企业认 3．0版本所更新的细则体现在 全要求。这一应用适用于通过直接 识到PCI—DSS在支持企业支付卡数 许多方面，包括支付卡的安全凭证 的物理接触来获得支付卡数据的 据安全方面提供了强有力的基础保 要求、对销售终端设备的硬件要求 设备，要求确保数据没有被篡改或 护的重要性和价值。但在PCI—DsS 等。据鲁索介绍，PCI—DSS的8．5．1被其他虚假设备替代。面对发生在 的维护和评估上则仍然存在挑战， 投稿邮箱：hrlfc@21cn．net弦扁煳斗拉暗代I55 万方数据 2014年·第3期