PCI DSS

1. PCI DSS PCI- payment card industry data security standard

2. חלוקת בתי העסק ל – 4 דרגות סיכון 2

3. בתי המלון בישראל משתייכים לרמה 4. דרישות התקן: • יישום מלא של הנחיות התקן. • דיווח רבעוני לחברות האשראי : • שאלון SAQD (שאלון הערכה עצמית). 2. תוצאת סריקות הרשת הרבעוניות.

4. שאלוני הערכה עצמית SAQ את השאלון יש להעביר לחברות האשראי אחת לשנה ולהציג התקדמות מדי רבעון .

5. ASV-APPROVED SCANNING VENDOR • דרישה נוספת לתקן אבטחת המידע PCI DSS • ביצוע סריקת רשת רבעונית מרחוק למערכת המחשוב השומרת את נתוני העסקאות. • המבחן יבוצע באמצעות חברה שהוסמכה לביצוע בדיקות תקן אלו. • תוצאות הבדיקה יוגשו לחברת האשראי במהלך כל רבעון. • חברות סריקות רשת: - חברה שמופיעה ברשימת מועצת ה- PCI ואשר מוסמכת ע"י אותו ארגון לבצע סריקות רשת.https://www.pcisecuritystandards.org/pdfs/asv_report.html

6. נתונים מהעולם • אירעו למעלה משמונים פריצות לנתונים של בתי מלון בשנת 2009. • נמצא כי בתי מלון משתמשים כיום במספר מערכות מרכזיות בהן מוזנים כרטיסי אשראי: -מערכת HMS לצורך ההזמנות, check in, check out , ואישור מוקדם. -מערכות POS הפזורות ברחבי המלון (מסעדות, בריכה וכו'). -מערכות המאפשרות לאורח לגלוש באינטרנט בתחומי המלון תמורת תשלום. • נמצא כי לצורך כניסה למערכות הללו, יש נטייה להשתמש בסיסמאות "ברירות מחדל" המוכרות לכלל המשתמשים ואשר לא הוחלפו מעולם, וכך זה מקל על עבודת ההאקרים לפרוץ למערכות. • החברות הבינלאומיות דורשת לא רק להחליף סיסמאות אלו, אלא גם לבחור סיסמאות מורכבות שיקשו על פריצה/ חדירה למערכות.

7. החלפת סיסמאות ברירות מחדל • נדרשת החלפת סיסמאות בכול רכיב המגיע עם סיסמא המוגדרת ע"י היצרן. לדוגמא: • נתבים (ROUTERS). • מתגים (SWITCHES ). • נקודות גישה אלחוטיות ( ACCESS POINTS ). • עמדות עבודה . • יש לבחור סיסמאות מורכבות באורך 8 תווים לפחות כוללות אותיות מספרים וסימנים מיוחדים.

8. לוחות זמנים

9. סיכום הדרישות • מילוי שאלון מסוג D SAQהמהווה הצהרה על יישום התקן . • סריקות רשת רבעוניות ASV . • החלפה מיידית של סיסמאות ברירות מחדל ודיווח לחברות האשראי.