021-54410609
支付卡行业数据安全标准（PCI DSS）要求所有金融机构和商家保护其客户的敏感数据，通常包括使用“PCI DSS要求3”规定的强密码技术。部门或IT管理团队，希望他们的所有合规性都能得到满足。但是，在大多数情况下，在发生数据泄露时，C级管理层的负担就落在了C级管理层的肩上，他们只能回答棘手的问题。
为了遏制此问题，高层管理人员必须在管理密码学及其相关主题中的风险方面起积极作用，以实现PCI DSS合规性。管理层需要疲倦的首要风险是不合规的风险，在某些情况下，这将导致企业失去关键的交易许可证，并可能导致企业倒闭。
鼓励企业实施风险框架，以管理PCI DSS环境中面临的所有挑战。诸如ISO 3100，ISACA的Risk IT或NIST特别出版物800-37之类的框架可以帮助实现平衡良好的风险管理计划。这些框架的共同之处在于，组织应建立风险管理流程，以不断地适当，及时地应对已知和新出现的风险。
以下步骤对于管理密码领域的风险至关重要，密码领域是负责维护隐私和保护持卡人数据的领域之一。
风险识别
识别可能影响PCI DSS合规性的风险是第一步。
风险识别将是标记所有已知风险并维护风险记录的部分，以便记录和描述所有已识别的风险。甚至 在密钥管理过程中使用诸如HSM设备（硬件安全模块）之类的专用加密设备也会 带来风险和漏洞。考虑一下HSM的一个优点是，它们建立了信任的根，这也可能带来风险-如果HSM受到损害，则整个系统都将很脆弱。HSM设备在物理上和逻辑上受到损害的可能性很小，但是在某些情况下已经发生，例如DigiNotar攻击 在2011年。这导致了证书颁发机构的最终关闭。
在这种情况下，DigiNotar已按照PKCS＃11的建议实施了所有HSM配置。根据进行的取证分析，导致攻击的最关键因素是不良的安全设计和策略。DigiNotar运行的软件过时，这是所有逻辑攻击中最关键的因素。
风险分析
在此阶段，将对所有已识别的风险进行分析，以确认发生的可能性。使用定性和定量技术的混合来决定风险处理方法。对于密码模块（HSM），HSM设备带来的固有风险是所涉及技术的复杂性。配置越复杂，人为错误的风险就越高。这会使主密钥的保密性容易受到攻击。在证书颁发机构设置中，HSM设备将隐藏在不同网络安全区域中的一系列防火墙后面，并且到达设备的流量将必须通过一系列检查和规则。数学计算的结果-估算年发生率，
IT治理是业务的组成部分，它试图在总体业务目标和与IT相关的目标之间建立联系，并使它们保持同步，以便IT支持最终的组织构想和目标。大多数（如果不是全部）组织都希望通过降低成本和增加利润来从与IT相关的投资中获利并获得竞争优势。
在银行业中，由于政府和监管机构要求保护个人身份数据，因此隐私需求增加。
如果组织正在考虑投资云HSM，则他们必须分析由于使用的物理设备中的已知漏洞而导致HSM受到威胁的风险。例如，Amazon用于其AWS-cloudHSM 的特定HSM 曾经存在一个漏洞，该漏洞允许提取密钥。此后已对其进行了修补，但重点是该信息对于风险分析至关重要，该风险分析可以帮助云客户端进行安全性设计。
风险处理
处理方法受所涉及风险的类型和性质的影响，并最终受业务模型的影响。需要在云中使用HSM保护客户信息免于暴露的组织中使用的处理方法可能与组织在内部使用这些设备的组织所采用的处理方法不同。在云中，物理设备由服务提供商提供，在这种情况下，设备的控制权不掌握在客户端手中-结果，如果发生任何妥协，提供商可能要对损失负责引起的。
但是，建议组织使用内部部署解决方案。在将HSM设备托管在房屋中的情况下，诸如保险之类的风险分担方法通常有助于保持可接受的风险水平。
本地解决方案可以更好地实施控制并严格管理招标流程，因此只能从满足特定标准（例如，符合FIPS 140-2安全级别3和4）的认证制造商处购买硬件（例如SafeNet Luna HSMs或SafeNet ProtectServer HSMs）。
在金融服务行业等行业中，发卡银行等组织对云中的密码学持谨慎态度，并且仍然偏爱其HSM本地部署，以确保完全控制并证明符合PCI DSS要求。
监控和审查风险
这是风险管理计划中最重要的步骤之一。对于具有明确定义的成熟度级别的大多数高级组织，错过监视元素可能会导致灾难性的结果。必须根据监管环境的变化严密监视新出现的风险。大多数先进的组织倾向于偷工减料，并认为违规行为只会发生在他人身上，而不会发生在自己身上。必须遵守严格的维护计划，并对所有不合规的配置采取适当的纠正措施。必须执行行业标准建议。
以揽阁信息的相关经验，大多数组织都走捷径，只专注于资产负债表，却忘记了遵循程序并检查是否遵守政策是IT管理中最重要的部分。在最坏的情况下，这可能是组织是否继续存在的决定因素。
揽阁信息可提供的部分安全产品和解决方案信息
联系揽阁信息，您可以获取到更多满足全球合规性要求的信息安全产品资料，以及相关的整体解决方案的相关资料。如：
-
数据库访问控制：揽阁LGPAC系统
-
通用HSM：Luna HSM、ProtectServer HSM
-
支付HSM：payShield 10K
您还可以得到揽阁信息所提供的优质服务。
揽阁信息 · 值得您信赖的信息安全顾问！
联系我们
免费试用留言
客服电话