Yrityksen siirtyminen PCI DSS:n alaiseen järjestelmäylläpitoon

Abstract

Opinnäytetyön toimeksiantaja oli Eatech Oy. Työn tarkoituksena oli tehdä selvitys PCI DSS -standardista ja sen vaatimuksista. Kyseessä oleva standardi tarjoaa tietoturvavaatimukset maksukorttiostamiseen liittyen. Standardista on tällä hetkellä voimassa versio 2.0 ja siirtyminen tulee olemaan pakollista kaikille niille, jotka ovat osallisena kortinhaltijoiden tietojen käsittelyyn. Aihe on ajankohtainen yritykselle, joka toimii kortilla maksamisessa palveluntarjoajan roolissa. Standardi tulee vaikuttamaan jokaisen henkilöstön jäsenen työskentelyyn. Työn tärkein tarkoitus on olla pohjana standardin mukaisuuteen siirtymisessä ja sen siirtymävaiheen tarkemmassa suunnittelussa. Työ tuottaa myös perustietoa standardista kaikille henkilöstön jäsenille.

Työssä käsiteltiin aluksi standardia yleisesti. Seuraavassa luvussa käytiin tarkemmin läpi PCI DSS:n 12 vaatimusta ja näihin liittyviä osa-alueita. Tässä käsiteltiin vaatimukset turvallisesta verkosta, korttimaksuun liittyvien tietojen suojaamisesta, haavoittuvuuksilta suojautumisesta, käyttäjien hallinnasta, verkon valvonnasta sekä yrityksen tietoturvakäytänteistä. Seuraavaksi pohdittiin standardin pohjalta siirtymävaihetta yleisesti sekä toimeksiantajan kannalta. Työssä käytettiin pääasiallisena lähteenä PCI DSS:n omaa dokumentaatiota standardista sekä muutamia muita Internet lähteitä. Toimeksiantajaan liittyvien tietojen keräämiseen käytettiin vapaamuotoisia haastatteluita.

Työn tuloksena syntyi kattava selvitys aiheesta ja ehdotus Eatech Oy:lle jatkotoimenpiteistä standardin suhteen. Standardi ei ollut työtä kirjoittaessa vielä pakollinen, mutta siirtymävaihe on lähteiden mukaan tulossa pian. Kyseessä on laaja standardi, joten työssä suositeltiin siirtymävaiheeseen varattavan vähintään puoli vuotta aikaa. Lisäksi yrityksen tulee huomata, että vaatimusten noudattaminen vaatii myös jatkuvaa työtä.

This thesis was assigned by Eatech Oy. The purpose of this study was to do research of the PCI DSS standard and its requirements. The standard is a data security standard for payment card transactions. The current standard version is 2.0 and will be mandatory for every participant in the payment card transactions. The subject is topical for the company which acts as a card transaction service provider. The standard will affect the work of every member of the personnel. The main goal of this thesis is to be a base for a transition into the compliance of the standard and for planning it tho-roughly. This thesis will also provide basic knowledge of the standard for the personnel.

At first basic info about the standard is introduced. In the next chapter the 12 requirements of the PCI DSS standard are described with more detail. This includes requirements for secure network, protecting the cardholder data, protecting the system and data from vulnerabilities, controlling access, monitoring the network and maintaining a security policy for the personnel. Next the transition is considered based on the standard generally and for the subscribing entity. The main reference used in this study is the documentation of the standard and a few other Internet-based sources. For collecting information about the entity, informal interviews were used.

As a result of the study the company was presented with a proposal for further preparation for the transitional period. A research of the standard is also provided. When writing this document the standard is not yet mandatory but according to a few sources used in this thesis the transition period will be commenced soon. The standard is a wide concept and for that it is recommended in the study that at least half a year should be reserved for the transition period. The company should also be prepared to maintain compliance with the requirements of the standard after the transition.