Прием безналичных платежей станет безопасней

В июне 2011 года завершился проект компаний «Арком» и «Информзащита» по приведению приложения UNIVERSAL EMV POS, устанавливаемого на POS-оборудование Ingenico и обеспечивающего функционал по приему безналичных платежей с использованием карт международных платежных систем, к соответствию требованиям стандарта безопасности платежных приложений в индустрии платежных карт (PA-DSS) .

По требованиям платежных систем VISA и MasterCard все приложения, участвующие в обработке транзакций авторизации или проведении расчетов по пластиковым картам должны быть сертифицированы на соответствие данному стандарту.

В рамках проекта аудиторами Информзащиты была проведена предварительная оценка выполнения стандарта и далее, во взаимодействии со специалистами Арком, сформирован детальный план работ, целью которого было достижение соответствия требованиям PA-DSS.

В ходе реализации плана были внесены незначительные изменения в приложение, позволившие дополнительно усилить процедуры аутентификации администраторов. Кроме того, в приложении был реализован собственный, независимый от настроек системы управления POS-терминалами, механизм регистрации значимых для информационной безопасности событий и некоторые другие контролирующие функции.

По завершению всех работ, летом 2010 года компанией «Информзащита» были проведены проверки приложения, и процессов разработки и тестирования компании «Арком». Для этого в тестовой лаборатории «Арком» был создан стенд, моделирующий работу POS-оборудования терминалов с программным обеспечением ПО UNIVERSAL EMV POS в реальной жизни. В том числе проверялись различные конфигурации на POS терминалах и пинпадах, во взаимодействии с контрольно-кассовой техникой (внешним компьютером) и в отдельном исполнении. Отдельное внимание было уделено обеспечению безопасного обмена с серверами процессинга и серверами управления, обновления и параметризации оборудования. На протяжении всего периода сертификационного аудита, начиная с момента установки ПО на POS-оборудование терминала, права доступа в тестовой среде имели только аудиторы Информзащиты. Параллельно специалистами компании «Информзащита» проводился анализ исходного кода приложения на применение технологии безопасного программирования, соблюдения инструкций по разработке, тестированию и сопровождению ПО.

По словам Анны Гольдштейн, заместителя директора департамента аудита компании «Информзащита»: «Ценность сертификации приложения по стандарту PA-DSS заключается в уверенности клиентов в том, что использование этого приложения не создает никаких трудностей в реализации требований PCI DSS. Мы уверены в том, что Арком не только подтвердил безопасность UNIVERSAL EMV POS на текущий момент времени, но и обеспечит в дальнейшем должный уровень защищенности и поддержки для новых версий данного приложения».

Сертификационные проверки приложения, настроенного согласно разработанному для клиентов «Арком» руководству «PA DSS Implementation Guide», подтвердили его полное соответствие стандарту.

В июне 2011 года Совет по безопасности индустрии платежных карт (PCI SSC) официально объявил об успешном результате проверки документов аудита и о присвоении программному обеспечению UNIVERSAL EMV POS 1.0 компании «Арком» статуса соответствия стандарту PA-DSS.

Павел Александров, Генеральный директор ARCOM Group отметил: «Компания «Арком» всегда уделяла большое внимание защите критичных данных в программных решениях. Задача по получению сертификата PA-DSS на платежные приложения была поставлена нами еще в 2009 году, поскольку на зарубежных рынках, где Арком имеет значительные проекты, требование на соответствие программного обеспечения стандарту PA-DSS является обязательным для банков уже более года. Теперь это стало актуально и в России, ведь с 1 июля 2012 года по требованиям VISA и MasterCard все банки-эквайеры при подключении новых торгово-сервисных предприятий должны использовать соответствующие приложения, сертифицированные по стандарту PA-DSS. Благодаря плодотворному сотрудничеству с компанией «Информзащита» нам удалось привести процесс разработки и собственно продукт UNIVERSAL EMV POS в строгое соответствие с PA-DSS точно в срок, подтвердив тем самым соответствие платежного приложения передовым стандартам безопасности».