साइट पर उन्नत प्लास्टिक रिसेप्शन, या पीसीआई डीएसएस डीब्रीफिंग

हमारे नए दिमाग की उपज के संबंध में - WebCreds चेकआउट प्राप्त करने वाले इंटरनेट, आगे की विकास योजना से निपटने की आवश्यकता थी। और हमारे साथ इस योजना में एक साधारण बात शामिल थी: यदि आप विभिन्न सुरक्षा साझेदारों के साथ, या विभिन्न मुद्राओं में काम करना चाहते हैं, तो आपको हमारी वेबसाइट पर कार्ड की जानकारी दर्ज करनी होगी। और उसके बाद ही हम लेन-देन को आगे बढ़ाने के लिए अपने धोखाधड़ी प्रसंस्करण से निपटेंगे, या नहीं। उसी समय, यह हमें आवर्ती बिलों की पेशकश करने की अनुमति देगा - स्वचालित भुगतान (उदाहरण के लिए, एक मासिक सदस्यता शुल्क)।



यह विषय आपके और मेरे लिए अभी भी दिलचस्प क्यों है? यदि आप एक ऑनलाइन स्टोर, या एक बड़े पोर्टल के मालिक हैं, या आगंतुकों के रूपांतरण के लिए जिम्मेदार हैं, तो जब आप भुगतान करते हैं, तो आप भुगतानकर्ता को भुगतान प्रणाली के पृष्ठ पर स्थानांतरित कर देते हैं, एक अलग डिजाइन और वातावरण में, ज्यादातर बदसूरत रूपों के साथ। इससे पहले से ही नाखुश उपयोगकर्ता के रूपांतरण पर बुरा प्रभाव पड़ता है। भुगतान पृष्ठ पर होने वाली हर चीज को देखने के बाद, उपयोगकर्ता अक्सर भुगतान पूरा नहीं करता है, क्योंकि वह सिर्फ स्टोर के पृष्ठ पर गया था और भुगतान करने के लिए तैयार था, लेकिन यह स्पष्ट नहीं था कि कहां है। दूसरा उद्देश्य संदर्भ के आधार पर प्रसंस्करण सेवाओं के प्रदाता को चुनने की क्षमता है, लेकिन आपकी साइट पर एक भुगतान पृष्ठ के साथ।





उदाहरण: कार्ड जारी करने वाला देश कार्ड नंबर में एन्कोड किया गया है, जिसके द्वारा हम किस देश के प्रसंस्करण में समझ सकते हैं कि हमारे लिए लेन-देन को अग्रेषित करना बेहतर है ताकि धोखाधड़ी वाले लेनदेन से अधिक आत्मविश्वास से निपट सकें। वैसे, ऐसे कई संभावित अनुप्रयोग हैं।

अस्वीकरण! अंतर्राष्ट्रीय भुगतान प्रणालियों, उनकी सुरक्षा आवश्यकताओं और उनके सहयोगियों के लिए मेरे मन में बहुत सम्मान है, मैं अच्छी तरह से समझता हूं कि उनकी आवश्यकताएं क्यों हैं, साथ ही प्रमाणन बाजार में सभी प्रतिभागियों की व्यावसायिक रुचि भी है।



इसलिए, मैंने इस बारे में दो सप्ताह में क्या सीखा:



1) अपनी वेबसाइट पर बैंक कार्ड की जानकारी दर्ज करने के लिए, आपकी सूचना प्रणाली को PCI DSS मानक की आवश्यकताओं को पूरा करना होगा। इस मामले को समर्पित रूसी साइट - http://www.pcidss.ru/



2) मानक के अनुपालन का प्रमाण पत्र प्राप्त करने के लिए, QSA लेखा परीक्षकों को अंतर्राष्ट्रीय भुगतान प्रणालियों के पर्यवेक्षी बोर्ड द्वारा प्रत्येक देश में नियुक्त किया जाता है। उनकी सूची प्रकाशित की जाती है, रूस में ऐसी कई कंपनियां हैं ( http://www.dsec.ru/ , http://www.infosec.ru/ - सबसे प्रसिद्ध, लेकिन अन्य हैं)। चूंकि देश में केवल कुछ संगठन हैं जो इस मानक के अनुसार प्रमाणित हैं, उनके पास बहुत कम रोटी है, और वे न केवल ऑडिटिंग में लगे हुए हैं, बल्कि इस क्षेत्र में परामर्श देने के साथ-साथ सामान्य रूप से आवेदन सुरक्षा के क्षेत्र में ऑडिटिंग भी करते हैं, क्योंकि ऑडिट को पहली बार पास करना लगभग असंभव है। (मैं आपको एक ऐसे व्यक्ति के रूप में बताता हूं जिसके पास हर साल आईटी सुरक्षा के काम के पिछले स्थान पर एक ऑडिट था)



3) छोटे व्यापारियों के लिए प्रति वर्ष 30 हजार कार्ड लेनदेन के लिए, मेजबान का एक सरल ऑडिट-एंटीवायरस स्कैन और कमजोरियों के लिए बाहरी स्कैनिंग प्रदान की जाती है। बेशक 82 कार्ड लेनदेन प्रति दिन - औसतन प्रति दिन 800 खरीद काफी है :)) लेकिन अमेरिकियों के साथ बहस कौन करेगा! यदि आपके पास प्रति वर्ष 30,000 से अधिक कार्ड लेनदेन हैं, तो आपको ऑडिटर्स के स्केलपेल के तहत जाने की आवश्यकता है।



4) ऑडिटरों की रुचि आपको सलाह देना शुरू करना है, इसलिए वे आपके समग्र स्कोर को कम करने के लिए सुराग तलाशेंगे जब तक कि आप उन्हें भुगतानकर्ता डेटा की सुरक्षा के लिए एक सरल प्रणाली बनाने में मदद करने के लिए आमंत्रित नहीं करते। लेकिन स्मार्ट लोग गलत करते हैं। स्मार्ट लोग एक ऑडिटर को ऑडिट के लिए विकास, सिस्टम में बदलाव और तैयारी के समय सलाह देने के लिए आमंत्रित करते हैं, और दूसरा सीधे ऑडिट के लिए। फिर आप उन्हें बैठकों के लिए एक कार्यालय में बंद कर देते हैं और वहां वे एक-दूसरे से लड़ते हैं। इस प्रकार, सबसे विश्वसनीय तरीके से बहुत पैसा खर्च करने के बाद, आप जल्दी से मानक के अनुपालन का प्रमाण पत्र प्राप्त करेंगे।



5) लेखापरीक्षा परिणामों के आधार पर, लेखा परीक्षक RoC भुगतान प्रणालियों के लिए एक अनुपालन रिपोर्ट भेजता है। यह रिपोर्ट कहती है कि आप मानक के प्रत्येक अध्याय का कितना प्रतिशत अनुपालन करते हैं, और प्रत्येक कुंजी नियंत्रण के लिए अपूर्ण अनुपालन के मामले में जोखिम को कम करने और नियंत्रित करने के लिए आपने क्या उपाय किए हैं। भुगतान प्रणाली रिपोर्ट को देखती है और खुशी से आपको बताती है कि क्या सब कुछ उनके अनुरूप है। यदि सब कुछ ठीक है, तो वे आपको एक प्रमाण पत्र के साथ एक सुंदर तस्वीर भेजते हैं जो इस तरह दिखता है, उदाहरण के लिए , जैसे हमारे सहयोगी करते हैं।



6) हर कोई जो BS7799 या ISO-17799 मानक के अनुसार एक सूचना सुरक्षा लेखा परीक्षा से परिचित है, मोटे तौर पर समझता है कि उनका क्या इंतजार है। एक संक्षिप्त परिचय आपको मानक फ़ाइल में प्रतीक्षा करता है, और इसके बाद कुंजी नियंत्रण के रूप में संदर्भित किया जाता है। यह सब एक प्लेट की तरह दिखता है जिसमें आवश्यकता लिखी जाती है, एक संक्षिप्त विवरण, फिर निरीक्षण प्रणाली के अनुपालन के लिए एक क्षेत्र, फिर ऑडिटर की टिप्पणियां।



7) ऑब्जेक्ट पर पहुंचने वाला ऑडिटर सभी अध्यायों से गुजरता है, और वहां 12. कुंजी होती है, और प्रत्येक कुंजी नियंत्रण के विपरीत, टिक होते हैं। ऑडिट के बाद, वह आपको यह फ़ॉर्म दिखाता है और एक रिपोर्ट तैयार करता है। रिपोर्ट आमतौर पर कहती है कि सब कुछ बहुत बुरा है, या बस बुरा है। स्वाभाविक रूप से, वे कमियों को दूर करने के लिए कोई सिफारिश नहीं देते हैं, आदि, वे पहले से ही कुछ पैसे के लिए हैं।



8) वास्तव में, ऑडिट स्वयं उतना महंगा नहीं है क्योंकि आवश्यकताओं का कार्यान्वयन महंगा है (निश्चित रूप से ऑडिट भी एक पैसा नहीं है, स्तर 2 के लिए राशि कम से कम 1,500,000 रूबल होगी)। इसलिए, हमारे पास एक विचार था, महंगे खिलौने पर हथौड़ा क्यों नहीं? यानी हमें प्रमाणित किया जाएगा, लेकिन बहुत ध्यान से, उदाहरण के लिए, बिलों का पुनरावर्ती बनाना संभव है, जो काम करने की तुलना में अधिक महंगा है :) यह केवल वयस्क बाजार में सक्रिय रूप से काम करके ही निरस्त किया जा सकता है, लेकिन यह हमारा प्रोफ़ाइल नहीं है। और जितना कम आप स्टोर करते हैं और जानकारी की प्रक्रिया करते हैं, और कम कार्यक्षमता, मानक की आवश्यकताओं के कार्यान्वयन के लिए सस्ता है, और ऑडिट स्वयं, क्योंकि ऑडिट कम और कम है।



9) आप इस विषय पर बहुत दिलचस्प प्रस्तुतियाँ निम्न लिंक पर देख सकते हैं:



पूछे जाने वाले प्रश्न



प्रो प्रवेश परीक्षा



मानक आवश्यकताओं के कुछ पहलू



सबसे बड़ी रूसी प्रसंस्करण में से एक के मानक की आवश्यकताओं को प्राप्त करने में अनुभव







मुझे लगता है कि मानक के पाठ के साथ आप इसे अपने लिए समझ लेते हैं। यह रूसी ई-कॉमर्स के लिए एक बहुत ही आवश्यक चीज है, और जितने अधिक लोग इसके बारे में जानते हैं, उतना ही बेहतर है।



निष्ठा से,



इल्या अबुद