288
POS-приложение компании «Арком» достигло соответствия стандарту PA DSS
В июне 2011 г. компании «Арком» и «Информзащита» завершили проект по приведению приложения UNIVERSAL EMV POS, устанавливаемого на POS-оборудование Ingenico и обеспечивающего функционал по приему безналичных платежей с использованием карт международных платежных систем, к соответствию требованиям стандарта безопасности платежных приложений в индустрии платежных карт (PA DSS).
По требованиям платежных систем Visa и MasterCard все приложения, участвующие в обработке транзакций авторизации или проведении расчетов по пластиковым картам, должны быть сертифицированы на соответствие данному стандарту.
В рамках проекта аудиторы «Информзащиты» провели предварительную оценку выполнения стандарта, а затем во взаимодействии со специалистами «Арком» сформировали детальный план работ, целью которого было достижение соответствия требованиям PA DSS.
В ходе реализации плана были внесены незначительные изменения в приложение, позволившие дополнительно усилить процедуры аутентификации администраторов. Кроме того, в приложении был реализован собственный, независимый от настроек системы управления POS-терминалами, механизм регистрации значимых для информационной безопасности событий и некоторые другие контролирующие функции.
Летом 2010 г., по завершении всех работ, компания «Информзащита» провела проверку приложения и процессов разработки и тестирования компании «Арком». Для этого в тестовой лаборатории «Арком» был создан стенд, моделирующий работу POS-оборудования терминалов с ПО UNIVERSAL EMV POS в реальных условиях. В том числе проверялись различные конфигурации на POS терминалах и ПИН-падах, во взаимодействии с контрольно-кассовой техникой (внешним компьютером) и в отдельном исполнении. Отдельное внимание было уделено обеспечению безопасного обмена с серверами процессинга и серверами управления, обновления и параметризации оборудования. На протяжении всего периода сертификационного аудита, начиная с момента установки ПО на POS-оборудование терминала, права доступа в тестовой среде имели только аудиторы «Информзащиты». Параллельно специалисты «Информзащиты» проводили анализ исходного кода приложения на применение технологии безопасного программирования, соблюдения инструкций по разработке, тестированию и сопровождению ПО.
«Ценность сертификации приложения по стандарту PA DSS заключается в уверенности клиентов в том, что использование этого приложения не создает никаких трудностей в реализации требований PCI DSS. «Арком» не только подтвердил безопасность UNIVERSAL EMV POS на текущий момент времени, но и обеспечит в дальнейшем должный уровень защищенности и поддержки для новых версий данного приложения», – отметила Анна Гольдштейн, заместитель директора департамента аудита компании «Информзащита».
Сертификационные проверки приложения, настроенного согласно разработанному для клиентов «Арком» руководству «PA DSS Implementation Guide», подтвердили его полное соответствие стандарту.
В июне 2011 г. Совет по безопасности индустрии платежных карт (PCI SSC) официально объявил об успешном результате проверки документов аудита и о присвоении программному обеспечению UNIVERSAL EMV POS 1.0 компании «Арком» статуса соответствия стандарту PADSS.
«Компания «Арком» всегда уделяла большое внимание защите критичных данных в программных решениях. Задача по получению сертификата PA DSS на платежные приложения была поставлена нами еще в 2009 г., поскольку на зарубежных рынках, где «Арком» имеет значительные проекты, требование на соответствие программного обеспечения стандарту PADSS является обязательным для банков уже более года. Теперь это стало актуально и в России: с 1 июля 2012 г. по требованиям Visa и MasterCard все банки-эквайеры при подключении новых торгово-сервисных предприятий должны использовать соответствующие приложения, сертифицированные по стандарту PA DSS. Благодаря плодотворному сотрудничеству с компанией «Информзащита» нам удалось привести процесс разработки и сам продукт UNIVERSAL EMV POS в строгое соответствие с PADSS точно в срок, подтвердив тем самым соответствие платежного приложения передовым стандартам безопасности», – подчеркнул Павел Александров, генеральный директор ARCOMGroup.
Ознакомиться с другими новостями по данной тематике вы можете в рубриках Безопасность и Технологии и инновации
По материалам «Информзащиты»
