Безопасность сама себя не подтвердит. Продолжение
Как вы уже знаете, Облакотека прошла оценку соответствия PCI DSS 4.0.1. Сегодня Ирина Курбатова будет говорить о том, что это меняет для наших клиентов.
⏪ Платежная среда — это не только сайт или приложение. На ее безопасность влияют виртуальные машины, сеть, средства администрирования, журналы, резервные копии и физическая инфраструктура ЦОД. Если провайдер оценку не проходил, весь этот пласт попадает в область проверки клиента — объем аудита растет, а согласование поставщика затягивается.
Наличие AoC PCI DSS у провайдера меняет расклад:
➡️ Есть подтвержденная основа. Защита инфраструктуры уже реализована, задокументирована, аттестована аудитором - не надо все это делать заново.
➡️ Меньший объем аудита. Клиент проходит оценку только по своей части среды.
➡️ Прозрачное согласование. AoC и понятная область применимости снимают вопросы службы ИБ, эквайера, заказчика и головного офиса.
➡️ Быстрый запуск. Команда занимается приложением, а не строит защищенный контур с нуля.
➡️ Экспертная поддержка. Помогаем определить границы среды и зафиксировать зоны ответственности.
❓ Кто за что отвечает
Защита PCI DSS уже не переносится на клиента целиком: ответственность делится по зонам.
На стороне Облакотеки находится фундамент: физическая безопасность дата-центров, опорная сеть и сегментация, платформа виртуализации, защита от вредоносного ПО, обновление и журналирование компонентов платформы.
На стороне клиента — то, что он разместил: настройка ОС и приложений, шифрование карточных данных и управление ключами, доступы и аутентификация, обновления и логи собственных систем.
❓ Кому это особенно актуально
⏺Банкам, финтех-компаниям и платежным сервисам;
⏺Интернет-магазинам, маркетплейсам и сервисам подписки;
⏺Розничным сетям, сервисам бронирования и продажи билетов;
⏺SaaS-платформам и разработчикам платежных решений;
⏺Участникам тендеров, где требуют актуальное подтверждение соответствия провайдера.
❓ Как принести к нам ПО с платежными данными
Составили дорожную карту:
1️⃣ Определяем границы: какие компоненты попадают в среду обработки карточных данных, а какие можно из нее вывести. Чем меньше периметр, тем проще аудит.
2️⃣ Уточняем требования эквайера или платежной системы.
3️⃣ Подбираем конфигурацию и фиксируем условия: договор, NDA, матрица разделение ответственности.
4️⃣ Разворачиваем изолированный сегмент под платежный контур и переносим ПО.
5️⃣ Передаем наш AoC PCI DSS аудитору клиента ⏩.
#Ирина_поддержи
😏 Облакотека | TG | MAX
Как вы уже знаете, Облакотека прошла оценку соответствия PCI DSS 4.0.1. Сегодня Ирина Курбатова будет говорить о том, что это меняет для наших клиентов.
⏪ Платежная среда — это не только сайт или приложение. На ее безопасность влияют виртуальные машины, сеть, средства администрирования, журналы, резервные копии и физическая инфраструктура ЦОД. Если провайдер оценку не проходил, весь этот пласт попадает в область проверки клиента — объем аудита растет, а согласование поставщика затягивается.
Наличие AoC PCI DSS у провайдера меняет расклад:
➡️ Есть подтвержденная основа. Защита инфраструктуры уже реализована, задокументирована, аттестована аудитором - не надо все это делать заново.
➡️ Меньший объем аудита. Клиент проходит оценку только по своей части среды.
➡️ Прозрачное согласование. AoC и понятная область применимости снимают вопросы службы ИБ, эквайера, заказчика и головного офиса.
➡️ Быстрый запуск. Команда занимается приложением, а не строит защищенный контур с нуля.
➡️ Экспертная поддержка. Помогаем определить границы среды и зафиксировать зоны ответственности.
❓ Кто за что отвечает
Защита PCI DSS уже не переносится на клиента целиком: ответственность делится по зонам.
На стороне Облакотеки находится фундамент: физическая безопасность дата-центров, опорная сеть и сегментация, платформа виртуализации, защита от вредоносного ПО, обновление и журналирование компонентов платформы.
На стороне клиента — то, что он разместил: настройка ОС и приложений, шифрование карточных данных и управление ключами, доступы и аутентификация, обновления и логи собственных систем.
❓ Кому это особенно актуально
⏺Банкам, финтех-компаниям и платежным сервисам;
⏺Интернет-магазинам, маркетплейсам и сервисам подписки;
⏺Розничным сетям, сервисам бронирования и продажи билетов;
⏺SaaS-платформам и разработчикам платежных решений;
⏺Участникам тендеров, где требуют актуальное подтверждение соответствия провайдера.
❓ Как принести к нам ПО с платежными данными
Составили дорожную карту:
1️⃣ Определяем границы: какие компоненты попадают в среду обработки карточных данных, а какие можно из нее вывести. Чем меньше периметр, тем проще аудит.
2️⃣ Уточняем требования эквайера или платежной системы.
3️⃣ Подбираем конфигурацию и фиксируем условия: договор, NDA, матрица разделение ответственности.
4️⃣ Разворачиваем изолированный сегмент под платежный контур и переносим ПО.
5️⃣ Передаем наш AoC PCI DSS аудитору клиента ⏩.
#Ирина_поддержи
😏 Облакотека | TG | MAX