PA-DSS - Википедия - PA-DSS

В Стандарт безопасности данных платежных приложений (PA-DSS), ранее называвшийся передовой практикой платежных приложений (PABP), является глобальным стандартом безопасности, созданным Совет по стандартам безопасности индустрии платежных карт (PCI SSC).^[1] PA-DSS был реализован с целью предоставить окончательный стандарт данных для программного обеспечения поставщики, разрабатывающие платежные приложения. Стандарт направлен на то, чтобы разработанные платежные приложения для третьих лиц не хранили запрещенные безопасные данные, включая магнитная полоса, CVV2, или же ШТЫРЬ. В этом процессе стандарт также предписывает поставщикам программного обеспечения разрабатывать платежные приложения, соответствующие стандартам безопасности данных индустрии платежных карт (PCI DSS ).

В конечном итоге PA-DSS и его программа проверки будут включены в Платформа безопасности программного обеспечения PCI. Планируется, что PA-DSS будет выведен из эксплуатации в конце 2022 года, как только истечет срок действия платежных приложений, утвержденных для PA-DSS v3.2.

Требования

Чтобы платежное приложение считалось PA-DSS В соответствии с требованиями, поставщики программного обеспечения должны гарантировать, что их программное обеспечение включает следующие четырнадцать средств защиты:^[2]

1. Не сохраняйте полные данные трека, код или значение проверки карты (CAV2, CID, CVC2, CVV2) или данные блока PIN.
2. Защитите сохраненные данные о держателях карт.
3. Обеспечьте безопасные функции аутентификации.
4. Вести журнал активности платежного приложения.
5. Разрабатывайте безопасные платежные приложения.
6. Защитите беспроводную передачу.
7. Тестируйте платежные приложения для устранения уязвимостей и поддерживайте обновления платежных приложений.
8. Содействовать внедрению безопасной сети.
9. Данные о держателях карт никогда не должны храниться на сервере, подключенном к Интернету.
10. Обеспечьте безопасный удаленный доступ к платежному приложению.
11. Шифруйте конфиденциальный трафик в общедоступных сетях.
12. Защитите весь административный доступ без консоли.
13. Поддержите руководство по внедрению PA-DSS для клиентов, торговых посредников и интеграторов.
14. Распределите обязанности PA-DSS для персонала и поддерживайте программы обучения для персонала, клиентов, торговых посредников и интеграторов.

Управление и правоприменение

PCI SSC составил список платежных приложений которые были подтверждены как совместимые с PA-DSS, с обновлением списка для отражения совместимых платежных приложений по мере их разработки. Создание и обеспечение соблюдения этих стандартов в настоящее время возлагается на PCI SSC через платежное приложение.Квалифицированные эксперты по безопасности (PA-QSA). PA-QSA проводят обзоры платежных приложений, которые помогают поставщикам программного обеспечения гарантировать соответствие приложений стандартам PCI.

История

Первоначально регулируется Visa Inc. под названием PABP, PA-DSS был запущен 15 апреля 2008 г. и обновлен 15 октября 2008 г. Затем PA-DSS был задним числом обозначен как «версия 1.1».^[3] и «версия 1.2».^[4]

В октябре 2009 года был выпущен PA-DSS v1.2.1 с тремя отмеченными изменениями:^[2]

1. В разделе «Объем PA-DSS» приведите содержимое в соответствие с Руководством по программе PA-DSS, v1.2.1, чтобы уточнить приложения, к которым применяется PA-DSS.
2. В соответствии с требованиями лаборатории 6, исправлено написание «OWASP».
3. В Аттестации подтверждения, Часть 2a, обновите «Функциональность платежного приложения», чтобы он соответствовал типам приложений, перечисленным в Руководстве по программе PA-DSS, и уточнить ежегодные процедуры повторной проверки в Части 3b.

В октябре 2010 года был выпущен PA-DSS 2.0,^[5] с указанием: Обновите и внесите незначительные изменения по сравнению с версией 1.2.1 и приведите в соответствие с новым стандартом PCI DSS v2.0. Для получения дополнительной информации см. PA-DSS - Обзор изменений по сравнению с PA-DSS версии 1.2.1 на 2.0.

В ноябре 2013 года был выпущен PA-DSS 3.0,^[6] с указанием: Обновление с PA-DSS v2. Для получения подробной информации об изменениях см. PA-DSS - Обзор изменений с PA-DSS версии 2.0 на 3.0.^[7]

В мае 2015 года был выпущен PA-DSS 3.1.^[2] с указанием:Обновление с PA-DSS v3.0. См. PA-DSS - Сводка изменений от PA-DSS версии 3.0 до 3.1 для получения подробной информации об изменениях.^[8]

В мае 2016 года была выпущена версия 3.2 Руководства по программе и стандартам PA-DSS.^[9][10] Подробнее см. Сводка изменений PA-DSS версии 3.1 до 3.2.^[11]

Внимание Конгресса

31 марта 2009 г. Палата представителей США Комитет по Национальная безопасность созван для обсуждения текущих PCI DSS требования.^[12] Такие представители, как Иветт Кларк (Штат Нью-Йорк) выразил заинтересованность в повышении надежности стандартов, в то время как другие, такие как Бенни Томпсон (D-Miss.) Выразила сомнение в том, что отраслевые стандарты будут достаточными в будущем.^[13]В то время как внимание Конгресса было сосредоточено в основном на PCI DSS критика стандартов эмитентов карт может в конечном итоге привести к тому, что Конгресс или закон обратит внимание на PA-DSS и PCI SSC как на единицу.

Будущее

Будущее этих стандартов несколько туманно, поскольку внимание Конгресса вызывает возможность государственного вмешательства. Тем не менее, соблюдение стандартов может оказаться дорогостоящим и трудоемким для поставщиков программного обеспечения, поскольку текущие расходы на сертификацию PA-DSS опережают другие методы соответствия. Учитывая стоимость соответствия и сертификации, текущие или еще не определенные альтернативы могут появиться на рынке соответствия стандартам PCI. Visa USA объявила о более агрессивном продвижении таких технологий (чип и контакт) в августе 2011 года.^[14]

Дополнительная информация

PCI SSC опубликовал дополнительные материалы, которые дополнительно разъясняют PA-DSS, включая следующее:

• Требования PA-DSS и процедуры оценки безопасности.^[15][16][17]
• Изменения по сравнению с прошлыми стандартами.^[8]
• Общий программный гид для QSA.^[18]

Рекомендации