Гольдштейн Анна, PA QSA Гольдштейн Анна, PA QSA Заместитель директора департамента аудита

PA-DSS: Причины появления
Невозможность или сложность выполнения требований PCI DSS
Сохранение TRACK,CVC2/CVV2,PINBLOCK приложением
Невозможность удалить/вычистить TRACK,CVC2/CVV2 из архивов
Хранение номеров карт (PAN) в открытом виде
Отказ поддержки вендором приложения патчей на СУБД

“Серебряная пуля” PCI DSS
Реализация переложена на разработчиков:
Все применимые к прикладному уровню требования PCI DSS
Возможность работы приложения в PCI DSS-compliant среде
Контроль уровня безопасности приложения
Решение проблемы совместимости с обновлениями безопасности платформ

PA-DSS: краткая информация
Основная цель – поддержка реализации PCI DSS
Является прямым наследником VISA PABP
Дата рождения: апрель 2008
Разработчик – PCI Security Standards Council (PCI SSC)
Ориентирован на разработчиков платежных приложений
Форма подтверждения соответствия – сертификация
Сертификацию проводит компания, имеющий статус PA QSA

Что сертифицировать?
Подлежит сертификации, если:
Обрабатывает номера карт (PAN) в рамках авторизации/расчетов
Разрабатываются на продажу, не являются разовой заказной разработкой
Основные виды сертифицируемого ПО
ПО процессинга (front-office, back-office (расчеты), middleware/switching)
ПО для банкоматов
ПО для POS-терминалов
ПО для поддержки электронной коммерции
ПО мобильной коммерции
Исключение: отдельно стоящие POS терминалы, если:
подключены напрямую к эквайеру
не хранят данных платежных карт
обновляются разработчиком ПО

Поддержка сертификации
Сертифицируется конкретная версия приложения
Срок действия сертификата – 3 года
При обновлении приложения необходима досертификация
Процедура зависит от характера вносимых изменений
Затронуты вопросы безопасности или реализация платежного процесса ?
«НЕТ» - подтверждение от аудитора факта отсутствия влияния
«ДА» - проведение сертификационных проверок (их части)

Зачем сертифицировать?
Внедрение PA-DSS реализуют МПС независимо друг от друга
Требования по внедрению направлены на членов МПС
Обязательные сроки перехода на PA-DSS сертифицированные приложения от Visa Inc.:
С 1 июля 2010г - Новые мерчанты обязаны соответствовать PCI DSS или использовать PA-DSS сертифицированное ПО
до 1 июля 2012 г - Эквайеры обязаны удостовериться, что все мерчанты и агенты используют PA-DSS сертифицированное ПО

Рынок сертифицированного ПО
Более 150 вендоров имеют сертификат PA-DSS*
Около 700 сертифицированных приложений
60% приложений – «POS-related»
Основной поток сертификации начался в 2009г
Сертифицированное ПО процессинга (из любимых в России): Base24, Way4, Tranzware
Ежегодная плата PCI SSC за публикацию в списке сертифицированных $1 250
* - Информация по опубликованным данным PCI SSC (https://www.pcisecuritystandards.org/security_standards/vpa/)

Требования стандарта PA-DSS
ВСЕГО 14 ТРЕБОВАНИЙ И ПОЧТИ 120 ПРОЦЕДУР АУДИТА

PA-DSS vs PCI DSS