Jak zabránit porušování dat pomocí zabezpečení dat

Bezpečnost údajů je hlavním problémem v odvětví finančních služeb, protože je spojena s obrovskými potenciálními finančními a reputačními náklady. Počítačová kriminalita zaměřená na finanční firmy je na vzestupu.

Pozornost by proto měla věnovat pozornost nejen pracovníkům informačních technologií, ale také pracovníkům řízení rizik a dodržování předpisů, jakož i členům kontrolních organizací a finančním ředitelům. Odborníci v oblasti finančního řízení v jiných odvětvích musí být vzhledem k finančním rizikům v zásadě obeznámeni s tématy v oblasti bezpečnosti údajů.

Rostoucí četnost a náklady na závažné narušení bezpečnosti dat, které se týkají bank, investičních podniků, zpracovatelů elektronických plateb, sítí kreditních karet, maloobchodních obchodníků a dalších, z něj činí oblast, jejíž význam je v těchto dnech prakticky nemožné podcenit.

Problémy zabezpečení dat:

Bezpečnost dat pro společnosti, které přijímají platby prostřednictvím platebních karet a debetních karet, spočívá v tom, že je třeba věnovat velkou pozornost výběru elektronických platebních procesorů. V tomto oboru existují stovky společností, ale pouze podmnožina je hodnocena radou PCI v souladu s normou Rady pro bezpečnost platebních karet. Hlavní vydavatelé kreditních karet (Visa, MasterCard atd.) Se obvykle pokoušejí řídit společnosti směrem k používání pouze platebních procesorů vyhovujících standardu PCI.

Bezpečnost dat, pokud jde o zpracování platebních karet a debetních karet v místě prodeje, jako jsou registrační pokladny, plynová čerpadla a bankomaty, je stále více ohrožena a komplikována schématy krádeže čísel karet a PIN. Mnohé z těchto schémat využívají tajné umístění čipů RFID (radiofrekvenčních identifikačních čipů) pomocí zlodějů dat na těchto terminálech, aby tyto údaje „sbíhaly“. Bezpečnostní společnost ADT je ​​dodavatelem, který nabízí software Anti-Skim, který spouští výstrahy při detekci porušení dat tohoto druhu.

Kromě toho může být kvalifikovaný hodnotitel (QSA) pověřen prováděním průzkumu náchylnosti společnosti k těmto druhům narušení bezpečnosti dat.

Bezpečnost dat často závisí na fyzické bezpečnosti v datových centrech. To zahrnuje zajištění, aby byly nepovolané osoby chráněny. Kromě toho nesmí být oprávněným pracovníkům povoleno odstraňovat servery, notebooky, disky flash, disky, pásky, výtisky atd. Obsahující citlivé informace z firemních lokalit. Podobně by měly být zavedeny kontroly pro ochranu před neoprávněným personálem při prohlížení citlivých informací, které nejsou nezbytné pro plnění jejich povinností.

Kromě bezpečnostních protokolů a postupů v prostorách vaší společnosti je třeba prověřit postupy externích dodavatelů služeb zpracování a přenosu dat. Pokud například webová stránka vaší společnosti hostí webovou stránku vaší společnosti, musíte se obávat jejích postupů pro zabezpečení dat. Certifikace SAS-70 je společným standardem pro adekvátní bezpečnostní postupy týkající se vnitřních sítí, které vyžaduje zákon Sarbanes-Oxley Act pro veřejně dostupné firmy informačních technologií. Použití protokolů SSL je standardem pro bezpečné zacházení s citlivými daty, například zadávání čísel kreditních karet při platbách za transakce.

Doporučené postupy pro zabezpečení sítě:

Klíčovými aspekty zabezpečení sítě, které mají dopad na bezpečnost dat, jsou ochrana před hackery a záplavy webových stránek nebo sítí. Vaše vlastní skupina informačních technologií a poskytovatel služeb Internetu (ISP) musí mít zavedena vhodná protiopatření. To je také věc znepokojení ohledně webhostingu a společností zpracovávajících platby. Všichni tito externí prodejci musí prokázat, jakou ochranu mají.

Opět platí, že nejlepší postupy, které charakterizují vlastní datové sítě, datová centra a správu dat, jsou stejné jako ty, které byste měli potvrdit u všech externích dodavatelů zpracování dat, zpracování plateb, vytváření sítí a služeb hostování webových stránek. Před uzavřením jakékoli smlouvy s poskytovatelem třetí strany byste se měli ujistit, že má příslušné minimální certifikáty od nezávislých externích subjektů (jak je uvedeno výše) a provádět vlastní due diligence vedenou buď vlastními pracovníky informačních technologií vaší společnosti, s příslušnými oprávněními. nebo kvalifikovanými externími konzultanty.

Jako konečnou protihodnotu je možné zakoupit pojištění proti nákladům spojeným s narušením bezpečnosti dat. Tyto náklady zahrnují pokuty a penále účtované sítěmi kreditních karet (např. Visa a MasterCard) za takové nedostatky, jakož i výdaje, které ukládají vydavatelům karet (zejména bankám, družstevním záložnám a obchodníkům s cennými papíry) za zrušení kreditních a debetních karet vydávání nových a vytváření karetních členů v důsledku porušení vaší společnosti, nákladů, které se tak budou snažit účtovat zpět vaší společnosti.

Toto pojištění může být někdy nabídnuto firmami zpracovávajícími platby, stejně jako je přímo dostupné od pojišťoven. Jemný tisk na těchto politikách může být podrobný, takže nákup takového pojištění vyžaduje velkou péči.

_{Hlavní zdroj: "Dodging porušování dat," Forbes, 7/18/2011.}