Jak zapobiegać naruszeniom danych za pomocą bezpieczeństwa danych

Bezpieczeństwo danych stanowi poważny problem w branży usług finansowych, ponieważ wiąże się z ogromnymi potencjalnymi kosztami finansowymi i reputacyjnymi. Cyberprzestępczość wymierzona w firmy finansowe rośnie.

W związku z tym, dbałość o kwestie bezpieczeństwa danych powinna obejmować nie tylko członków personelu informatycznego, ale również personel ds. Zarządzania ryzykiem i zgodności, a także członków organizacji kontrolujących i dyrektorów finansowych. Ponadto specjaliści ds. Zarządzania finansami w innych branżach muszą być zasadniczo zaznajomieni z tematami dotyczącymi bezpieczeństwa danych, biorąc pod uwagę ekspozycje finansowe.

Rosnąca częstotliwość i koszty poważnych naruszeń bezpieczeństwa danych, które dotyczą banków, firm inwestycyjnych, elektronicznych przetwórców płatności, sieci kart kredytowych, sprzedawców detalicznych i innych, sprawia, że ​​jest to obszar, którego znaczenie jest obecnie praktycznie niemożliwe do przecenienia.

Problemy z bezpieczeństwem danych:

Bezpieczeństwo danych dla firm, które akceptują płatności za pomocą kart kredytowych i debetowych, wiąże się z dużą dbałością o wybór elektronicznych procesorów płatności. W tej branży działają setki firm, ale tylko podzbiór jest zgodny ze standardem PCI zgodnym ze standardem Rady ds. Bezpieczeństwa kart płatniczych. Główni wydawcy kart kredytowych (Visa, MasterCard itp.) Zazwyczaj próbują kierować firmy do korzystania wyłącznie z procesorów płatności zgodnych ze standardem PCI.

Bezpieczeństwo danych dotyczących przetwarzania kart kredytowych i kart debetowych w punktach sprzedaży, takich jak kasy fiskalne, pompy gazowe i bankomaty, jest coraz bardziej zagrożone i skomplikowane przez systemy kradzieży numerów kart i kodów PIN. Wiele z tych systemów wykorzystuje tajne umiejscowienie chipów RFID (chipów identyfikacji radiowej) przez złodziei danych na tych terminalach, aby „prześwietlić” takie dane. Firma ochroniarska ADT jest dostawcą oferującym oprogramowanie Anti-Skim, które uruchamia alerty w przypadku wykrycia tego rodzaju naruszeń danych.

Ponadto wykwalifikowany specjalista ds. Oceny bezpieczeństwa (QSA) może zostać zaangażowany do przeprowadzenia badania podatności firmy na tego rodzaju naruszenia bezpieczeństwa danych.

Bezpieczeństwo danych często zależy od fizycznego bezpieczeństwa w centrach danych. Wiąże się to z zapewnieniem, że nieupoważniony personel będzie trzymany z dala. Ponadto upoważniony personel nie może usuwać serwerów, laptopów, dysków flash, dysków, taśm, wydruków itp. Zawierających poufne informacje z lokalizacji firmy. Podobnie, powinny istnieć kontrole w celu ochrony przed nieuprawnionym przeglądaniem poufnych informacji, które nie są potrzebne przy wykonywaniu ich obowiązków.

Oprócz protokołów bezpieczeństwa i procedur obowiązujących w siedzibie firmy należy przeanalizować praktyki zewnętrznych dostawców usług przetwarzania danych i transmisji. Na przykład, jeśli firma zewnętrzna obsługuje witrynę Twojej firmy, musisz być zaniepokojony procedurami bezpieczeństwa danych. Certyfikacja SAS-70 jest wspólnym standardem odpowiednich procedur bezpieczeństwa w odniesieniu do sieci wewnętrznych, wymaganym przez ustawę Sarbanes-Oxley dla firm informatycznych będących własnością publiczną. Korzystanie z protokołów SSL jest standardem bezpiecznej obsługi poufnych danych, takich jak wprowadzanie numerów kart kredytowych w celu zapłaty za transakcje.

Najlepsze praktyki bezpieczeństwa sieci:

Kluczowymi aspektami bezpieczeństwa sieci, które mają wpływ na bezpieczeństwo danych, są zabezpieczenia przed hakerami oraz zalewanie witryn lub sieci. Zarówno Twoja wewnętrzna grupa informatyczna, jak i dostawca usług internetowych (ISP) muszą mieć odpowiednie środki zaradcze. Jest to również kwestia niepokojąca w przypadku hostingu i firm przetwarzających płatności. Wszyscy ci zewnętrzni dostawcy muszą wykazać, jakie zabezpieczenia mają.

Ponownie, najlepsze praktyki, które charakteryzują własne sieci danych, centra danych i zarządzanie danymi w Twojej firmie, są tymi samymi, które powinieneś potwierdzić u wszystkich zewnętrznych dostawców przetwarzania danych, przetwarzania płatności, sieci i usług hostingowych. Przed zawarciem jakiejkolwiek umowy z dostawcą będącym stroną trzecią, powinieneś upewnić się, że posiada odpowiednie minimalne certyfikaty od niezależnych podmiotów zewnętrznych (jak opisano powyżej) i przeprowadzić własną analizę due diligence, prowadzoną przez personel informatyczny Twojej firmy z odpowiednimi uprawnieniami lub przez wykwalifikowanych konsultantów zewnętrznych.

Ostatecznie można wykupić ubezpieczenie od kosztów związanych z naruszeniem bezpieczeństwa danych. Koszty te obejmują grzywny i kary nakładane przez sieci kart kredytowych (takie jak Visa i MasterCard) za takie awarie, a także nakładane na emitentów kart (głównie banki, unie kredytowe i firmy papierów wartościowych) wydatki na anulowanie kart kredytowych i debetowych, wydawanie nowych i uczynienie członków karty całymi z powodu naruszeń spowodowanych przez firmę, wydatki, które w ten sposób będą próbować obciążyć Twoją firmę.

Takie ubezpieczenie może być czasami oferowane przez firmy przetwarzające płatności, a także dostępne bezpośrednio od firm ubezpieczeniowych. Drobny druk na takich polisach może być szczegółowy, więc kupowanie takiego ubezpieczenia wymaga dużej opieki.

_{Główne źródło: „Unikanie naruszeń danych” Forbes, 7/18/2011.}