Global Payments تحول اختراق معالج الدفع إلى اختبار للمساءلة في النظام البيئي للبطاقات

نصف قطر الانفجار ليس فقط أرقام البطاقات. يقول ملف هيئة الأوراق المالية والبورصات إن الوصول غير المصرح به المحتمل شمل أيضًا خوادم تحتوي على معلومات شخصية تم جمعها من التجار الأمريكيين الذين تقدموا بطلب للحصول على خدمات المعالجة. هذا يقدم مجموعة بيانات ثانية: طلاب التجار، وليس فقط حاملي البطاقات. قالت الشركة إنها لا تستطيع التحقق مما إذا تم تصدير أي من هذه المعلومات وأبلغت الأفراد المتضررين المحتملين. نقطة المساءلة هي أن بيئات المعالج يمكن أن تحتوي على فئات متعددة من البيانات الحساسة. قد تتطلب ضوابط معالجة البطاقات وضوابط تطبيقات التجار أدلة مختلفة.

عدد البطاقات هو فقط مقام واحد للمساءلة

الرقم "أقل من 1.5 مليون" أصبح اختصارًا عامًا لاختراق Global Payments. إنه مهم، لكنه ليس كافيًا. يشير هذا الرقم إلى أرقام البطاقات التي ربما تم تصديرها من نظام المعالجة المتضرر. لا يصف بالكامل التجار المتضررين، أو مجموعة مراقبة المصدرين، أو إجراءات امتثال شبكة البطاقات، أو معلومات طلاب التجار الشخصية، أو التكاليف الجنائية، أو عبء عمل خدمة العملاء، أو مراجعة QSA، أو الوقت اللازم لاستعادة الثقة.

تتطلب حوادث الدفع مقامات متعددة. مقام واحد هو أرقام البطاقات المصدرة. آخر هو البطاقات التي يراقبها المصدرون بسبب التعرض المشتبه به. آخر هو البطاقات المعاد إصدارها. آخر هو المعاملات الاحتيالية المرتبطة بالتعرض. آخر هو التجار الذين مرت معاملاتهم عبر المعالج. آخر هو طلاب التجار الذين ربما كانت معلوماتهم الشخصية على خوادم تم الوصول إليها من قبل المهاجمين. آخر هو تكلفة المعالجة. آخر هو الوقت خارج قائمة مقدمي الخدمات المتوافقين لشبكة البطاقات.

يساعد ملف هيئة الأوراق المالية والبورصات لـ Global Payments في توسيع المقام. يسجل تكاليف اختراق نظام المعالجة بقيمة 84.4 مليون دولار في السنة المالية 2012 و 36.8 مليون دولار في السنة المالية 2013. تظهر هذه التكاليف أن الحدث لم يكن مجرد تمرين إخطار. لقد أثر على العمليات والعمل القانوني والعمل الجنائي والمعالجة والتقييم وحالة الشبكة والمخاطر التجارية. يلاحظ الملف أيضًا دعوى جماعية رفعها مدعٍ ادعى أن Global Payments فشلت في حماية المعلومات الشخصية وأن رسومًا احتيالية ظهرت على بطاقتها الائتمانية. لا تعالج المقالة ادعاءات الشكوى كحقائق جنائية ثابتة. تستخدم الملف لإظهار أن التقاضي والمعالجة أصبحا جزءًا من الذيل الطويل للحدث.

تقارير BankInfoSecurity على الروابط source: bankinfosecurity.com و source: bankinfosecurity.com و source: bankinfosecurity.com توفر سياقًا صناعيًا حول بيانات الاختراق واهتمامات المصدرين وتأثير التكلفة. هذه القطع هي مصادر ثانوية، لكنها تساعد في إظهار العمل العملي الذي كان على مصدري البطاقات وقادة الأمن تقييمه في الوقت الفعلي.

مشكلة المقام هي مشكلة مساءلة لأن كل رقم يخدم جمهورًا مختلفًا. يريد المستهلكون معرفة ما إذا كانت بطاقاتهم مكشوفة وما الإجراء الذي يجب اتخاذه. يريد المصدرون قائمة بطاقات موثوقة وتواريخ تعرض وثقة في عناصر البيانات. يريد التجار معرفة ما إذا كانت المعالجة يمكن أن تستمر وما إذا كان عملاؤهم آمنون. تريد شبكات البطاقات معرفة ما إذا كان المعالج لا يزال متوافقًا. يريد المنظمون والمستثمرون معرفة التكلفة وإصلاح السيطرة. المعالج الذي يبلغ عن مقام واحد فقط يترك الأطراف الأخرى تستنتج الباقي.

حالة PCI تحول الأمان الخاص إلى ثقة بيئية

بيان ملف هيئة الأوراق المالية والبورصات بأن بعض شبكات البطاقات أزالت Global Payments من قائمة مقدمي الخدمات المتوافقين مع PCI DSS هو أمر مركزي. حالة PCI ليست شهادة عامة على الكمال، لكنها إشارة ثقة مشتركة. يستخدم التجار والمستحوذون والشبكات والمشاركون الآخرون في النظام البيئي حالة امتثال مقدم الخدمة لتحديد ما إذا كانت ضوابط المعالج تلبي الأساس المتوقع لبيانات حساب الدفع. فقدان تلك الحالة يغير موقف المعالج التجاري والمساءلة.

السجل العالمي لـ Visa لمقدمي الخدمات على الرابط source: visa.com وصفحة المعلومات ذات الصلة على الرابط source: visa.com يوضحان أهمية قوائم مقدمي الخدمات العامة. إنها تعطي الأطراف المعتمدة طريقة للتحقق مما إذا كان مقدم الخدمة قد تحقق من الامتثال لمتطلبات PCI DSS المطبقة كجزء من برنامج Visa. السجل الحالي ليس سجلًا جنائيًا لعام 2012 ولا ينبغي قراءته كدليل على Global Payments اليوم أو آنذاك. إنه سياق مفيد لكيفية عمل حالة امتثال شبكة البطاقات كدليل بيئي.

صفحة PCI DSS لمجلس معايير أمان PCI على الرابط source: pcisecuritystandards.org تشرح أن PCI DSS يوفر أساسًا من المتطلبات التقنية والتشغيلية لحماية بيانات حساب الدفع. صفحة المعايير الأوسع على الرابط source: pcisecuritystandards.org تضع PCI DSS ضمن عائلة معايير أمان الدفع. هذه المعايير مهمة لأن عملاء المعالج لا يمكنهم جميعًا إجراء تدقيق كامل لبيئة المعالج. يعتمدون على المقيمين وشبكات البطاقات والشهادات والتمثيلات التعاقدية والمراقبة.

عندما يتم إزالة معالج من قائمة مقدمي الخدمات المتوافقين، فإن سؤال المساءلة ليس مجرد سمعة. إنه تشغيلي. أي التجار يمكنهم الاستمرار في المعالجة؟ ما هو الضمان الإضافي المطلوب؟ ما هي خطوات المعالجة التي يجب إكمالها؟ من يقرر أن الثقة في المعالجة قد تم استعادتها؟ ما الدليل الذي يقيمه QSA؟ ما الذي تتطلبه شبكات البطاقات قبل تغيير حالة القائمة؟ السجل العام يقول إن Global Payments عينت QSA وأن QSA أكملت تقييمًا لأعمال المعالجة. لا ينشر تقرير QSA. الطبيعة السرية للتقرير قد تكون مناسبة، لكنها تترك الجمهور معتمدًا على بيانات الشركة والشبكة.

هذه هي نسخة النظام البيئي للبطاقات من مساءلة السيطرة المشتركة. المعالج يملك بيئته. شبكات البطاقات تملك أجزاء من إطار الامتثال وحالة القائمة. QSA تقيم وفقًا للمعايير. التجار يعتمدون على النتيجة. المصدرون يستجيبون للتعرض. المستهلكون في المراحل النهائية. يجب أن يربط ملف إصلاح موثوق جميع هذه الطبقات.

بيانات المسار 2 تغير عبء عمل المصدر

تحديث شركة Global Payments قال إن بيانات المسار 2 ربما تم سرقتها. هذه العبارة مهمة. ترتبط بيانات المسار 2 ببيانات معاملات الشريط المغناطيسي ويمكن أن تكون مفيدة لاحتيال البطاقات المزيفة في سياقات حيث يمكن إعادة تشغيلها أو ترميزها. قالت الشركة أيضًا إن أسماء حاملي البطاقات وعناوينهم وأرقام الضمان الاجتماعي لم يتم الحصول عليها. هذه القيود مهمة ويجب تقديرها. لكن تعرض المسار 2 لا يزال يخلق خطرًا جسيمًا على المصدر.

بالنسبة للمصدرين، السؤال ليس فقط ما إذا كان اسم المستهلك مكشوفًا. إنه ما إذا كان يمكن استخدام بيانات البطاقة لصنع معاملات احتيالية، وما إذا كانت حسابات حاملي البطاقات يجب مراقبتها، وما إذا كان يجب إعادة إصدار البطاقات، وما إذا كانت قواعد التفويض بحاجة إلى تعديل، وما إذا كانت خسائر الاحتيال محتملة. يمكن للمعالج أن يقول إن الحادثة تم احتواؤها، لكن المصدرين يحتاجون إلى تفاصيل قابلة للتنفيذ: قوائم البطاقات، تواريخ التعرض، عناصر البيانات، مستويات الثقة، والتحديثات مع تغير التحقيق.

قناة تحذير شبكة البطاقات التي وصفها كريبس هي بالتالي جزء من سجل المساءلة. إذا حذرت فيزا وماستركارد البنوك قبل الإفصاح العام للشركة أو حوله، كانت البنوك تقوم بالفعل بعمل مخاطر. هذا ليس غير معتاد في أمان الدفع. قد تظهر إشارات الاحتيال قبل أن تكمل الشركة الاتصال العام. لكنه يظهر أن اختراق المعالج يخلق استجابة موزعة قبل تسوية جميع الحقائق العامة.

عبء عمل المصدر يظهر أيضًا لماذا لا ينهي قيد "لا أسماء أو أرقام ضمان اجتماعي" التحقيق. قد يكون خطر سرقة الهوية أقل من اختراق معلومات شخصية كامل، لكن احتيال الدفع وتكاليف إعادة الإصدار لا تزال قائمة. قد يتلقى حاملو البطاقات بطاقات جديدة، ويحدثون المدفوعات التلقائية، ويشاهدون الكشوفات، ويتصلون بالبنوك. قد يتحمل المصدرون الاحتيال، ويطبعون ويوزعون بطاقات الاستبدال، ويضبطون المراقبة، ويوظفون مراكز الاتصال، ويتواصلون مع العملاء. قد يواجه التجار أسئلة العملاء حتى لو لم يتم اختراق أنظمتهم الخاصة.

أدوات تقليل قيمة بيانات الحساب التي وصفتها مواد PCI ذات صلة هنا. سياق التشفير من نقطة إلى نقطة على الرابط source: listings.pcisecuritystandards.org وصفحة معيار نقطة التفاعل PCI على الرابط source: pcisecuritystandards.org يظهران الهدف الأوسع لأمان الدفع: تقليل الأماكن التي توجد فيها بيانات بطاقة قابلة للاستخدام وحماية البيانات عند الالتقاط. بالنسبة للمعالج، السؤال المكافئ هو أين يتم فك تشفير بيانات البطاقة وتخزينها وتسجيلها ونقلها وتكون متاحة للتطبيقات أو المشغلين. إذا كانت بيانات مكافئة للمسار 2 موجودة في العديد من الأماكن أو لفترة طويلة، فإن تكلفة النظام البيئي ترتفع.

اتصال التاجر هو جزء من الاستمرارية

يشمل البيان استمرارية خدمة المؤسسات الصغيرة والمتوسطة، واختراق Global Payments هو حالة مفيدة لأن العديد من التجار يعتمدون على المعالجات للإيرادات اليومية. لا يمكن لتاجر صغير ببساطة إيقاف قبول البطاقة لمدة أسبوع بينما يكمل المعالج العمل الجنائي. قد يحتاج إلى الاستمرار في البيع، وطمأنة العملاء، وفهم ما إذا كانت التزاماته تتغير. هذا يجعل اتصال المعالج عنصر استمرارية.

تحديث الشركة قال إن Global Payments مفتوحة للأعمال واستمرت في معالجة المعاملات لجميع علامات البطاقات. كانت هذه رسالة استمرارية خدمة. أخبرت التجار والشركاء أن الشركة لم توقف معالجة المعاملات. لكن الاستمرارية وحدها ليست كافية. احتاج التجار أيضًا إلى معرفة ما إذا كان عملاؤهم مكشوفين، وما إذا كان موقفهم الامتثالي تأثر، وما إذا كان عليهم تغيير المحطات أو الإجراءات، وما إذا كانوا يجب أن يتوقعوا ردود المبالغ المدفوعة أو شكاوى العملاء، وما إذا كانت ترتيبات المعالجة البديلة مطلوبة.

ملف هيئة الأوراق المالية والبورصات يقول إن طلاب التجار الذين ربما كانت معلوماتهم الشخصية على خوادم تم الوصول إليها قد تأثروا وأن الشركة أبلغت الأفراد المتضررين المحتملين وجعلت مراقبة الائتمان وتأمين حماية الهوية متاحة. هذه مشكلة اتصال تاجر مختلفة عن تعرض حامل البطاقة. تتعلق بأشخاص تقدموا بطلب للحصول على خدمات المعالجة، وليس فقط التجار الذين يستخدمون نظام المعاملات. يجب أن تميز خطة اتصال المعالج بالتالي بين التجار العاملين وطلاب التجار والمؤسسات المالية وشبكات البطاقات والمنظمين والمستهلكين.

اتصال المعالج يجب أيضًا أن يتوافق مع تقارير شبكة البطاقات. إذا قال المعالج شيئًا للتجار بينما تحذر شبكات البطاقات المصدرين بتفاصيل مختلفة، تتآكل الثقة. إذا قلل المعالج من النطاق ووسع النافذة لاحقًا، يجب على المصدرين والتجار إعادة العمل على القرارات السابقة. إذا بالغ في النطاق، قد يسبب إعادة إصدار غير ضرورية واحتكاكًا بالعملاء. يجب أن يحفظ ملف الاتصال المسؤول بالتالي متى تم إخطار كل طرف، وما هي الحقائق المعروفة، وما الشكوك المتبقية، ومتى غيرت التحديثات الاستجابة التشغيلية.

بالنسبة للشركات الصغيرة، القضية هي الاعتماد دون نفوذ. قد يكون للتاجر الكبير علاقات شبكة مباشرة ومستشارين وفرق حوادث وخيارات معالجة بديلة. قد يكون للتاجر الصغير موزع ورقم دعم وقدرة مساومة محدودة. فشل أمان المعالج يمكن أن يصبح مشكلة خدمة عملاء للتاجر. لهذا السبب الخدمات المشتركة لديها التزامات إفصاح مرتفعة. الاستمرارية يجب أن تشمل قدرة التاجر المعتمد على شرح المخاطر ومواصلة المدفوعات الآمنة، وليس فقط وقت تشغيل المعالج.

أتمتة الأمان يجب أن تنتج أدلة، وليس فقط ثقة

ربط تحديث الشركة ثقة الاحتواء بالتحليل الجنائي ومراقبة الشبكة وتدابير أمنية إضافية. هذه اللغة تنتمي إلى موضوع أتمتة الأمان. تشغل معالجات الدفع أنظمة عالية الحجم. لا يمكنهم الاعتماد على المراقبة اليدوية البحتة. كشف التسلل، وجمع السجلات، وكشف الشذوذ، وقياس النقاط الطرفية، ومراقبة الشبكة، وتحليل نمط المعاملات، وضوابط الوصول، كلها تحتاج إلى أتمتة. لكن الأتمتة يجب أن تنتج أدلة يمكن استخدامها من قبل المقيمين وشبكات البطاقات والمنظمين وصناع القرار الداخليين.

السؤال الرئيسي ليس ما إذا كانت أداة المراقبة موجودة. إنه ما إذا كانت الأداة رأت البيئة المتضررة، وما إذا كشفت الوصول غير المصرح به في وقت مبكر بما فيه الكفاية، وما إذا تم فرز التنبيهات، وما إذا تم الاحتفاظ بالسجلات، وما إذا كان بإمكان مستجيبي الحوادث إعادة بناء الوصول، وما إذا كانت ادعاءات الاحتواء مرتبطة بأدلة سيطرة محددة: خوادم متضررة معزولة، وصول غير مصرح به مغلق، بيانات اعتماد مدورة، برمجيات خبيثة تمت إزالتها أو استمرار القضاء عليها، تغطية مراقبة موسعة، وقنوات تصدير بيانات تم تقييمها.

إطار الأمن السيبراني لـ NIST على الرابط source: nist.gov يوفر لغة مفيدة لسلسلة الأدلة هذه: تحديد الأصول والتبعيات، حماية الأنظمة والبيانات، كشف النشاط الشاذ، الاستجابة بأدوار محددة، واستعادة العمليات العادية. توفر NIST SP 800-53 Rev. 5 على الرابط source: csrc.nist.gov مفردات أكثر تفصيلاً حول التحكم في الوصول، والتدقيق والمساءلة، وإدارة التكوين، والاستجابة للحوادث، وسلامة النظام والمعلومات، والتخطيط للطوارئ، وتقييم المخاطر. هذه ليست قواعد بطاقات الدفع، وهي لا تثبت ما فعلته Global Payments داخليًا. إنها تساعد في تحديد ما قد يتضمنه ملف أدلة قوي.

أتمتة الأمان يجب أيضًا أن تتصل بتقارير شبكة البطاقات. إذا حددت مراقبة الشبكة وصولًا غير مصرح به، يحتاج المعالج إلى تحويل الأدلة التقنية إلى تقرير تأثير بطاقة يمكن للشبكات والمصدرين استخدامه. السجلات الخام لا تساعد المصدرين ما لم يتم تعيينها لأرقام البطاقات والتواريخ وعناصر البيانات ومستويات الثقة ونوافذ التعرض. هذه الترجمة هي وظيفة حوكمة. يجب أن يتفق المهندسون وفرق الاحتيال وموظفو الامتثال والمستشارون ومديرو علاقات شبكة البطاقات والتنفيذيون على ما يمكن الإبلاغ عنه ومتى.

سجل Global Payments يظهر أن الشركة عملت مع شركات أمن معلومات وطب شرعي متعددة. غالبًا ما يكون الطب الشرعي الخارجي ضروريًا لأن شبكات الدفع والمنظمين يحتاجون إلى ثقة مستقلة. لكن الطب الشرعي الخارجي يكون جيدًا فقط بقدر الأدلة التي يمكنهم الوصول إليها. يجب على المعالج الاحتفاظ بالسجلات ولقطات الشبكة وصور النظام وسجلات الوصول وتاريخ التكوين ووثائق تدفق البيانات بطرق تدعم تحقيقًا موثوقًا.

سجل التكلفة في هيئة الأوراق المالية والبورصات يظهر أن الإصلاح هو حدث تجاري

التأثير المالي المسجل في 10-K مهم لأنه يخرج الاختراق من ممر الأمان الضيق. تكاليف اختراق نظام المعالجة بقيمة 84.4 مليون دولار في السنة المالية 2012 و 36.8 مليون دولار في السنة المالية 2013 هي أحداث تجارية. تؤثر على نفقات التشغيل، وتقارير المستثمرين، واهتمام الإدارة، والتأمين، والاستراتيجية القانونية، وثقة العملاء. اختراق معالج هو بالتالي قضية حوكمة شركات، وليس مجرد حادثة تقنية.

سجل التكلفة يساعد أيضًا في فصل الاحتواء الفوري عن الإصلاح الكامل. تحديث الشركة في أبريل 2012 قال إن الشركة تعتقد أن الحادثة تم احتواؤها. التقرير السنوي لعام 2013 لا يزال يسجل تكاليف اختراق كبيرة للسنة المالية 2013. الاحتواء قد يوقف الوصول غير المصرح به، لكن المعالجة والتقييم والتقاضي والإخطار ومراقبة الائتمان واستعادة الامتثال والتغييرات التشغيلية تستمر. يجب أن يميز الجدول الزمني المسؤول بين هذه المراحل.

ملف هيئة الأوراق المالية والبورصات يقول إن أعمال المعالجة اكتملت وتم الانتهاء من تقييم QSA. هذا بيان أقوى من سطر عام "عززنا الأمان" لأنه يربط الإصلاح بمراجعة PCI DSS مستقلة. لكن الملف العام لا يكشف النطاق الكامل للتقييم، أو القصور المحدد، أو نتائج اختبار السيطرة، أو عملية قرار شبكة البطاقات. المستثمرون والتجار كان عليهم بالتالي الاعتماد على الملف وحالة الشبكة وإشارات استمرارية الأعمال.

سجل التكلفة يظهر أيضًا لماذا تحتاج المعالجات إلى ملكية مخاطر على مستوى مجلس الإدارة. المنتج الأساسي للمعالج هو الثقة في معالجة المعاملات. إذا كان الاختراق يمكن أن ينتج عشرات الملايين من الدولارات في النفقات وعواقب امتثال شبكة البطاقات، فإن الأمن السيبراني ينتمي إلى شهية المخاطر وتخطيط رأس المال وإدارة البائعين وضوابط الإفصاح وإعداد التقارير التنفيذية. لا يمكن تركه كمشروع أمان بعد العمل.

البعد الحدث التجاري يؤثر أيضًا على المستحوذين ومنظمات المبيعات المستقلة. خدمت Global Payments التجار من خلال علاقات مباشرة وغير مباشرة، بما في ذلك منظمات المبيعات المستقلة. عندما تحدث حادثة معالج، قد يضطر هؤلاء الشركاء إلى الإجابة على أسئلة التجار حتى لو لم يشغلوا النظام المخترق. سمعتهم وإيراداتهم يمكن أن تتأثر بجودة أدلة المعالج. هذا هو المضاعف التجاري الخفي لاختراق المعالج.

حدود الأدلة مهمة لأن السجلات العامة جزئية

السجل العام مفيد لكنه غير كامل. يتضمن إفصاح الشركة وملفات هيئة الأوراق المالية والبورصات وتقارير معاصرة وتعليقات صناعية وسياق معايير حالي. لا يتضمن تقرير الطب الشرعي الكامل، أو مخططات الشبكة الكاملة، أو سجلات المراقبة الداخلية، أو مراسلات شبكة البطاقات، أو جميع تنبيهات المصدرين، أو سجلات التصدير الدقيقة، أو تقرير QSA الكامل، أو خطة المعالجة الكاملة. يجب أن تكون هذه الحدود صريحة.

الحقائق العامة المؤكدة تشمل بيان الشركة بأن الوصول غير المصرح به أثر على جزء محصور من نظام المعالجة في أمريكا الشمالية وأن أقل من 1.5 مليون رقم بطاقة ربما تم تصديرها. الحقائق العامة المؤكدة تشمل أيضًا بيان ملف هيئة الأوراق المالية والبورصات حول تحديد أوائل مارس والإبلاغ الذاتي، والوصول المحتمل لخوادم طلاب التجار، وإزالة شبكة البطاقات من قوائم مقدمي الخدمات المتوافقين مع PCI DSS، ومراجعة QSA، وبيان المعالجة، وتكاليف اختراق نظام المعالجة المسجلة. السياق العام المؤكد يشمل معايير أمان الدفع وآليات قوائم مقدمي الخدمات.

الاستدلال المدعوم يشمل الاستنتاج بأن التجزئة والتحكم في تدفق البيانات والمراقبة وتقارير شبكة البطاقات واتصالات التجار ودعم المصدر والتحقق من PCI والأدلة الجنائية المستقلة كانت أسطح مساءلة مركزية. يتبع هذا الاستدلال من نوع بيئة المعالج المعنية وسجل الإصلاح العام. لا يتطلب الادعاء بالوصول إلى أدلة خاصة.

لا تزال المجهولات قائمة. لا يمكن للجمهور تحديد بالضبط كيف دخل المهاجمون، أو أي الخوادم تم الوصول إليها بالضبط، أو جميع أسباب عدم اكتشاف المراقبة للاختراق في وقت أبكر، أو كل متطلبات شبكة البطاقات المفروضة بعد الحدث، أو كل اتصال تاجر، أو كل قرار إعادة إصدار المصدر، أو إجمالي الاحتيال الدقيق، أو نتائج اختبار السيطرة النهائية. هذه المجهولات ليست فجوات تحريرية يجب ملؤها بالتخمين. إنها فئات الأدلة التي سيحتاج ملف المساءلة الكامل إلى الحفاظ عليها.

هذا الانضباط الحدودي مهم لأن اختراقات المعالج يمكن بسهولة تبسيطها. اختصار واحد يقول "1.5 مليون بطاقة." آخر يقول "المسار 2 فقط." آخر يقول "تم احتواؤه." آخر يقول "قضية PCI." كل اختصار مفيد وغير كامل. السجل الأفضل يتبع السلسلة من الوصول غير المصرح به إلى تعرض البيانات، واستجابة شبكة البطاقات، واعتماد التاجر، وعبء عمل المصدر، وخطر المستهلك، والتحقق من QSA، والتكلفة التجارية.

ما يجب أن يثبته الإصلاح الدائم

ملف إصلاح دائم بعد حادثة مثل Global Payments يجب أن يثبت عدة أشياء. على طبقة الأصول، يجب أن يظهر الأنظمة الدقيقة التي خزنت أو عالجت أو نقلت أو سجلت أو فك تشفير أو يمكن أن تؤثر على بيانات البطاقة. على طبقة التجزئة، يجب أن يظهر الحدود بين معالجة المعاملات وبيانات طلاب التجار والأنظمة الإدارية وأنظمة التطوير وأنظمة المراقبة ومسارات الوصول الخارجي. على طبقة التحكم في الوصول، يجب أن يظهر الامتياز الأقل والمصادقة القوية ومراقبة الوصول المميز وتدوير بيانات الاعتماد وتسجيل جلسات الإدارة.

على طبقة الكشف، يجب أن يظهر أي التنبيهات انطلقت وأيها لم تنطلق، وكم من الوقت استمر الوصول غير المصرح به، وما هي مصادر السجل المتاحة، وما إذا تم اكتشاف التصدير أو استنتاجه، وكيف تغيرت المراقبة بعد الاحتواء. على طبقة تأثير البطاقة، يجب أن يظهر عناصر البيانات المعنية وأعداد البطاقات ونوافذ التعرض ومستويات الثقة وتواريخ تقارير شبكة البطاقات وتسليم قائمة المصدرين وتاريخ التحديث. على طبقة التاجر، يجب أن يظهر أي التجار تم إخطارهم ومن خلال أي قنوات وما هي إرشادات الاستمرارية المقدمة وكيف تم التعامل مع أسئلة التجار الصغار.

على طبقة الامتثال، يجب أن يظهر الملف متطلبات PCI DSS المعنية وخطة المعالجة ونطاق اختبار QSA وأدلة الضوابط المكتملة والاستثناءات والضوابط التعويضية وقرارات شبكة البطاقات. على طبقة الحوكمة، يجب أن يظهر ملكية تنفيذية وتقارير مجلس الإدارة وتحليل ضوابط الإفصاح وقبول المخاطر ومطالبات التأمين والتعامل مع التقاضي واتصالات المستثمرين. على طبقة المستهلك، يجب أن يظهر منطق الإخطار ومراقبة الاحتيال ودعم إعادة الإصدار من خلال المصدرين والتعامل مع الشكاوى.

صفحات معايير PCI على الرابط source: pcisecuritystandards.org و source: pcisecuritystandards.org توفر لغة أساسية لأمان الدفع. صفحات مقدمي الخدمات لـ Visa على الرابط source: visa.com و source: visa.com تظهر كيف تتحقق الأطراف المعتمدة من حالة التحقق من مقدم الخدمة. مواد NIST توفر تصنيفًا عامًا للتحكم في المخاطر. معًا، تدعم هذه المصادر نموذج إصلاح قائم على الأدلة وليس على البيانات.

يجب على المعالج أيضًا إثبات الاستمرارية. هل استمر التجار في المعالجة بأمان؟ هل تم مقاطعة أي تدفقات معاملات؟ هل تم النظر في ترتيبات الفشل أو المعالجة البديلة؟ هل تعاملت قنوات الدعم مع أسئلة التجار؟ هل تم إطلاع منظمات المبيعات المستقلة والمستحوذين على حقائق متسقة؟ الاستمرارية ليست فقط وقت التشغيل. إنها التشغيل الآمن تحت عدم اليقين.

يجب أن يميز دليل التاجر أيضًا بين استمرارية الخدمة التقنية واستمرارية الثقة. قد يحافظ المعالج على حركة التفويض مستمرة بينما لا يزال التجار يفقدون الثقة في بيئة سيطرة المعالج. هذا الاختلاف مهم للشركات الصغيرة لأنها غالبًا ما تتعلم عن مخاطر الدفع من خلال كشوفات الدفع أو إشعارات المعالج أو رسائل الموزع أو شكاوى العملاء بدلاً من الإحاطات الشبكية المباشرة. ملف إصلاح قوي سيظهر أن الفرق المواجهة للتجار كانت لديها لغة معتمدة ومسارات تصعيد وشروحات للخدمة المتضررة وطريقة لتصحيح التوجيهات السابقة عندما غيرت الأدلة الجنائية الجديدة النطاق. سيظهر أيضًا كيف دعم المعالج المستحوذين ومنظمات المبيعات المستقلة الذين اضطروا للإجابة على نفس الأسئلة من بعيد.

بدون هذا الدليل، يمكن للمعالج الادعاء بالاستمرارية بينما يعاني التجار المعتمدون من عدم اليقين كاضطراب تشغيلي.

نفس المبدأ ينطبق على دعم المصدر. يحتاج المصدرون إلى قوائم البطاقات ونوافذ التاريخ وثقة عناصر البيانات بسرعة كافية لاتخاذ قرارات مراقبة وإعادة إصدار قابلة للدفاع. يحتاجون أيضًا إلى تحديثات تشرح ما إذا كانت مجموعة ما قد ضاقت أو اتسعت أو تغيرت في ملف المخاطر. المعالج الذي لا يمكنه تقديم هذه القطع الأثرية يجبر المصدرين على الاختيار بين إعادة الإصدار المفرط ونقص الحماية. هذه ليست مجرد مشكلة اتصال. إنها مشكلة أتمتة أمان وجودة أدلة لأن بيانات تأثير البطاقة يجب أن تُولد من سجلات المعاملات والاستنتاجات الجنائية وقنوات تقارير الشبكة.

يجب أن يكون الإثبات النهائي قابلاً لإعادة التشغيل. يجب أن يكون المراجع قادرًا على إعادة بناء ما حدث، وأي الأنظمة تضررت، وما البيانات التي غادرت أو ربما غادرت، ومن تم إخطاره، وما الضوابط التي تم إصلاحها، وكيف حدث التحقق المستقل. إذا كان الملف لا يمكن إعادة تشغيله، يجب على النظام البيئي قبول الثقة بالادعاء. هذه مساءلة ضعيفة للمعالج.

البديل ليس لا معالجات؛ إنه معالجة مشتركة محدودة

سيكون من غير الواقعي معالجة قضية Global Payments كحجة ضد معالجات الدفع. التجارة الحديثة بالبطاقات تعتمد على المعالجات والبوابات والمستحوذين والشبكات والمصدرين والمحطات والترميز ومراقبة الاحتيال وأنظمة التسوية وخدمات التسوية. البديل ليس كل تاجر يبني كومة معاملات آمنة خاصة به. البديل هو معالجة مشتركة مع بيانات محدودة وتجزئة مختبرة وكشف سريع وأدلة جاهزة للشبكة وإشارات تعافي شفافة.

المعالجة المشتركة المحدودة تبدأ بتقليل البيانات. يجب على المعالج معرفة أين توجد بيانات المصادقة الحساسة، ومتى تظهر، وكم من الوقت تستمر، وكيف يتم حمايتها. يجب أن يتجنب تخزين البيانات غير اللازمة للمعالجة المشروعة، وتقييد الوصول إلى بيانات البطاقة، وتقليل عدد الأنظمة حيث تظهر البيانات القيمة. يجب أيضًا حماية معلومات طلاب التجار الشخصية بنفس الجدية مثل بيانات بطاقة الدفع لأن ملف هيئة الأوراق المالية والبورصات يظهر أن حوادث المعالج يمكن أن تشمل كلا المجموعتين.

البديل يشمل أيضًا عقود سيطرة مشتركة واضحة. يحتاج التجار إلى معرفة ما سيبلمغ عنه المعالج أثناء الحادثة، ومدى سرعة وصول الإشعارات، وما الأدلة التي ستقدم، وما خيارات الاستمرارية الموجودة. يحتاج المستحوذون ومنظمات المبيعات المستقلة إلى مسارات تصعيد. تحتاج شبكات البطاقات إلى تقارير محددة. يحتاج المصدرون إلى قوائم البطاقات وثقة عناصر البيانات. يحتاج المنظمون إلى إفصاح صادق. يحتاج المستهلكون إلى تأطير دقيق للمخاطر. يجب أن توجد هذه الالتزامات قبل الاختراق، لا أن تُتفاوض عليها تحت الضغط.

أتمتة الأمان هي جزء من البديل، لكن الأتمتة يجب أن تتطابق مع السلطة. يمكن للنظام كشف الوصول الشاذ، لكن يجب على شخص ما عزل الخوادم وحظر الحسابات والاتصال بشبكات البطاقات وتعيين شركات الطب الشرعي والموافقة على الإفصاحات. يجب على المعالج التدرب على هذه القرارات. يجب أن يعرف أي التنفيذيين لديهم سلطة إغلاق المسارات المتضررة، ومتى يخطر الشبكات، ومتى يخطر التجار، وكيف يحفظ الأدلة دون تأخير الاحتواء.

قضية Global Payments تظهر لماذا الاستعادة ليست تقنية فقط. حالة امتثال شبكة البطاقات والتحقق من QSA وثقة التاجر واستجابة المصدر وتقارير المستثمرين كلها بحاجة إلى التعافي. خادم تم إصلاحه ليس نفس الثقة البيئية المستعادة. تعود الثقة عندما يتمكن كل طرف معتمد من رؤية أدلة مناسبة لدوره.

المساءلة تتبع السيطرة على بيئة المعالج

توزيع المساءلة النهائي يجب أن يتبع السيطرة العملية. سيطرت Global Payments على بيئة المعالجة المتضررة والأدلة المطلوبة لفهمها. سيطرت شبكات البطاقات على قوائم الامتثال واستجابة الشبكة. سيطرت QSA على التقييم المستقل ضمن إطار PCI. اعتمد التجار على المعالج لاستمرارية المعاملات. تحمل المصدرون قرارات المراقبة وإعادة الإصدار. كان لدى المستهلكين أقل رؤية لكنهم واجهوا مخاطر احتيال البطاقة واحتكاك استبدال البطاقة.

هذا التوزيع لا يعني أن كل تكلفة تنازلية هي مسؤولية قانونية للمعالج في كل ظرف. إنه يعني أن المعالج يتحمل أعلى عبء لإثبات النطاق والاحتواء والمعالجة والثقة المستعادة لأنه سيطر على النظام الذي تم اختراقه. بيانات المعالج العامة كان يجب أن تخدم أطرافًا لا تستطيع رؤية البيئة بأنفسها.

سجل Global Payments قيم لأنه يتضمن إفصاح الشركة وتقارير هيئة الأوراق المالية والبورصات المالية وعواقب امتثال شبكة البطاقات وبيانات المعالجة بعد الاختراق. يظهر أن اختراق المعالج ليس فقط حدث رقم بطاقة. إنه حدث اعتماد خدمة، وحدث عبء عمل مصدر، وحدث استمرارية تاجر، وحدث حالة امتثال، وحدث إفصاح مستثمر.

الدرس الدائم هو أن ثقة معالجة الدفع يجب أن تكون مدعومة بأدلة قبل الاختراق ومعاد بناؤها بعده. معالج يتعامل مع بيانات بطاقة للعديد من التجار لا يمكنه الاعتماد على لغة ثقة واسعة. يحتاج إلى خرائط تدفق بيانات محددة، وبيئات مجزأة، ومراقبة آلية مرتبطة بسلطة بشرية، وإبلاغ سريع لشبكة البطاقات، واتصال تاجر يدعم الاستمرارية، ومعالجة قابلة للتحقق من QSA، وإفصاح عام يفصل الحقائق المعروفة عن عدم اليقين. هذه هي كيف يصبح اختراق المعالج اختبار مساءلة للنظام البيئي للبطاقات بأكمله.

ينطبق نفس الدرس على تركيز المعالج في المستقبل. كلما زاد عدد التجار والقنوات والشركاء الذين يعتمدون على عدد صغير من وسطاء الدفع، كلما أصبحت جودة أدلة معالج واحد قضية مرونة سوق. التركيز يمكن أن يحسن استثمار الأمان، لكنه يرفع أيضًا معيار النطاق والإخطار والتحقق المستقل واستمرارية التاجر. البنية التحتية المشتركة تكسب الثقة فقط عندما يتم قياس المخاطر المشتركة والإبلاغ عنها بانضباط.