021-54410609
在过去几年中，印度的信用卡和借记卡支付大幅增加。根据印度银行业监管机构印度储备银行（RBI）的数据，2019年3月，销售点（PoS）终端的借记卡和信用卡交易与去年同期相比增长了27％。
虽然2019年3月PoS终端的借记卡交易额为4.07亿，而2018年3月为3.18亿，2019年3月的信用卡交易量为1.62亿次PoS交易，而2018年3月为1.27亿笔交易。
卡支付的使用增加伴随着其自身的网络安全挑战，并且为了保护持卡人免受欺诈性卡交易，RBI定期向银行通报其需要执行的各种网络安全措施。如果没有遵守RBI的网络安全要求，印度银行去年就会因为未能遵守规定的网络安全准则而对其施加1000万卢比（139,000美元）的罚款，从而导致严厉的处罚。
在其他网络安全措施中，数据加密是RBI为保护客户敏感数据而传播的最重要措施之一。在其题为“信息安全，电子银行，技术风险管理和网络欺诈工作组报告”的咨询中，RBI要求：
“银行应对客户账户和交易数据进行加密，这些数据通过从源头到目的地的所有中间接合点和过境点进行传输，运输，交付或快递到外部各方或其他地点。”
这个任务实质上意味着加密不仅应该用于静态数据，还应该用于动态数据，以及所有数据存储实例。在持卡人数据的背景下，本指南要求任何卡数据都不应在任何地方以明文形式流动 - 即使在银行的内部系统中，如数据库，应用程序，存储或VM文件/文件夹。
以下是银行应遵守RBI授权的3个最佳做法：
1.加密网络上持卡人数据的传输
除了加密位于其内部系统内的持卡人数据外，银行还应确保在数据运行时对数据进行加密，即当数据通过公共网络从内部系统传输到外部系统时。
为确保网络犯罪分子不拦截和篡改其持卡人的敏感数据，银行应采用SSH文件传输协议（SFTP）或SSL安全文件传输协议（FTPS）等安全文件传输协议。
此外，银行应确保拥有可靠的系统，以准确验证数据传输过程中使用的加密密钥和数字证书，并确保这些密钥和证书安全地存储在硬件安全模块（HSM）设备中，并通过密钥管理进行集中管理平台，以防止他们落入坏人之手。
2.实施基于角色的访问控制
持卡人敏感数据的访问应严格按照“需要知晓”的原则进行。虽然防火墙和防病毒等前线防御机制可以阻止网络攻击，但通过未经授权的访问进行数据窃取的可能性非常大。
为了确保只有关键人员有权访问持卡人的数据，银行应实施严格的访问控制策略，只授予那些需要它来履行职责的人的访问权限。
3.识别和验证访问权限
除基于角色的访问外，银行还应制定准确识别和验证敏感持卡人数据访问权限的系统和策略。
应为每个有权访问持卡人数据的用户分配一个唯一的用户ID，可以集中跟踪该用户ID，以确定用于访问数据的确切时间。这将使银行能够在数据被盗时一致地查看审计跟踪并准确识别犯罪者。
虽然用户ID和密码是最低限度，但在从外部网络访问敏感数据时，银行还应使用其他安全机制，如SSH密钥和多因素身份验证。
把它们加起来
加密持卡人的数据不仅是防止数据泄露的良好做法，也是发卡银行必须遵守的监管要求。不遵守RBI的数据加密授权不仅会导致严重的经济处罚，而且会在发生网络攻击时严重侵蚀客户的信任。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话