مقدمة
خلال الأعوام القليلة الماضية، شهد استخدام بطاقات الدفع ارتفاعا كبيرا وحلت معاملات الدفع بالبطاقات محل المشتريات النقدية وقد اتضح وثبت أن استخدام البطاقات كطريقة للدفع يعتبر أكثر أمانا وعمليا بصورة أكبر. أيضا من ناحية أخرى فإن الازدياد الكبير في معاملات التجارة الإلكترونية ومعاملات الشراء عبر شبكة الإنترنت جعلت من استخدام بطاقات الدفع أمرا لا مفر منه سواء بالنسبة للتاجر أو المستهلك.
لقد نتج عن هذا الارتفاع في حجم استخدام بطاقات الدفع بروز العديد من المخاطر الأمنية مثل سرقة هويات المستخدمين والمخاطر المتعلقة ببيانات حاملي البطاقات مما أدى إلى تأثيرات خطيرة (مالية وتتعلق بالسمعة) على العملاء والتجار على حد سواء.
في ضوء هذه التحديات قامت فيزا وماستركارد والعديد من اللاعبين الآخرين في سوق بطاقات الدفع بتوحيد جهودهم وقاموا في العام 2004 بوضع وتحديد معايير وقواعد جديدة لضمان أمن وسلامة بيانات بطاقات الدفع
“( Payment Card Industry Data Security Standard PCI-DSS )”.
وتهدف هذه القواعد إلى تطبيق الأصول المتبعة في السياسات الخاصة بأمن وحماية المعلومات لتأمين الحماية اللازمة للبيانات الهامة المتعلقة بحاملي البطاقات عند القيام بتخزينها ومعالجتها وإرسالها. كما تهدف أيضا إلى وضع إطار معياري يسهل تبني أسلوب رقابة على أمن المعلومات على المستوى العالمي.
بيانات حامل البطاقة
يقصد ببيانات حامل البطاقة المعلومات المرتبطة ببطاقة الدفع والتي تحدد التفاصيل اللازمة لإثبات صحة معاملة ما وإنجازها بالتصديق عليها. أنظر الشكل أدناه.
المتطلبات الأساسية لمعايير وقواعد أمن وسلامة بيانات بطاقات الدفع (PCI-DSS)
قام المجلس العالمي لصناعة بطاقات الدفع “The Global PCI Council” بوضع وتحديد 12 مجالا رئيسيا من أجل تأمين وحماية بيانات حامل البطاقة وذلك خلال مراحل تخزين ومعالجة وإرسال المعلومات. وتشتمل هذه المتطلبات جوانب الرقابة الإدارية وإجراءات الحماية والسلامة المادية أو الفعلية وإجراءات الأمن والسلامة الفنية والتقنية.
لا يطلب من جميع التجار الالتزام بتطبيق جميع المتطلبات الإثني عشر وضوابطها الفرعية ويتم تحديد المتطلبات المتعلقة بكل مؤسسة بناء على طبيعة وحجم الشركة وبيئة بيانات حامل البطاقة.
نورد فيما يلي قائمة توضح المجالات الإثنا عشر:
إنشاء وصيانة شبكة آمنة
- تركيب و صيانة أنظمة جدران النار (Firewall) وضبط اعداداتها لتوفير الحماية المناسبة للبيانات.
- عدم استخدام القيم الفرضية التلقائية التي تكون محددة مسبقا من قبل البائع المورد وذلك بالنسبة لكلمات السر الخاصة بالنظم وغيرها من وسائط أمن المعلومات.
حماية بيانات حامل البطاقة
- حماية البيانات المخزنة
- شفير البيانات الخاصة بحامل البطاقة وغيرها من المعلومات الحساسة وذلك عند إرسالها عبر الشبكات العامة.
إعداد و تطبيق برنامج لإدارة المخاطر والثغرات الخاصة بأمن المعلومات
- استخدام البرمجيات المضادة للفيروسات وتحديثها بصورة منتظمة
- تطوير وصيانة نظم وتطبيقات آمنة.
تطبيق إجراءات رقابية صارمة للدخول
- تقييد الوصول إلى لبيانات
- تخصيص هوية مستخدم مميزة (لا تتكرر) لكل شخص له حق الدخول باستخدام جهاز الحاسب الآلي.
- تقييد الوصول الفعلي لبيانات حاملي البطاقات.
مراقبة واختبار الشبكات بصورة منتظمة
- متابعة ومراقبة جميع عمليات الوصول إلى موارد الشبكة وبيانات حاملي البطاقات.
- إجراء اختبارات بصورة منتظمة لأنظمة وإجراءات السلامة.
وضع السياسات الخاصة بأمن وسلامة المعلومات
- وضع السياسات التي تعنى بأمن وسلامة المعلومات.
ما هي معايير وقواعد أمن وسلامة بيانات بطاقات الدفع (PCI-DSS)
