PCI-standardin kohdentaminen Indoor Groupin tarpeisiin

Abstract

Tämän opinnäytetyön tutkimuskohteena on PCI-standardi. Se on suurimpien luottokorttiyhtiöiden tekemä ohjeistus yritysten tietoturvallisuuden vähimmäistasosta. Sen tarkoituksena on suojata kortinhaltijoiden tiedot parhaalla mahdollisella tavalla sekä nostaa yritysten tietoturvallisuustasoa. Kaikkien yritysten, jotka vastaanottavat, välittävät ja tallentavat luottokorttikorttitapahtumia, tulee noudattaa PCI-standardia.

Työn tarkoituksena oli luoda kohdennettu tietoturvastandardi Indoor Groupin tarpeisiin. Työ toteutettiin toiminnallisena opinnäytetyönä, jonka lopputuloksena saatiin uudelleen järjestetty ja tulkittu standardi. Se toimii standardin hakemisen työkaluna ja helpottaa kokonaisprosessia. Kohdennetulle standardille todettiin olevan käyttöä, koska vanhassa standardissa oli paljon tulkinnanvaraisia vaatimuksia sekä sen järjestyksen koettiin heikentävän hakuprosessin etenemistä ja aikatauluttamista.

Työssä tutustutaan aikaisempiin standardeihin sekä perehdytään PCI-standardiin. Käytännönläheistä tietoa asiasta saatiin haastattelujen ja yritysvierailujen yhteydessä Indoor Groupin yhteyshenkilöiltä. He kertoivat standardin-hakuprosessistaan, sen tuottamista ongelmista ja antoivat niihin käytännön ratkaisumalleja. Näin vanhojen standardien ongelmakohdat löydettiin ja ne voitiin korjata uudessa mallissa.

Kohdennetun standardin etuina tutkija piti sen uutta toimivampaa järjestystä, jonka avulla siitä saatiin selkeämpi kokonaisuus. Uuden järjestyksen ansiosta standardin hakuprosessin etenemistä on helpompi seurata ja aikatauluttaa. Standardin uudessa tulkinnassa sen vaatimukset käännettiin suomeksi ja tulkinnanvaraisuuksia karsittiin, joka helpottaa sen sisällön ymmärtämistä.

The research subject of the present thesis is PCI-standard. PCI-standard defines minimum level of companies’ information security and it gives the best possible protection for clients who use credit cards. Every company which receives, for-wards and saves credit card transactions information must obey PCI-data security standard.

The aim of the present thesis was to create a modified PCI-standard for Indoor Group Company. The idea of the new standard was to support the application process of the standard and help to understand the main point of it. A company may find it easier to schedule the whole process with the modified standard. A new version of the standard was needed because there were many problems such as confusing content and poor interpretation in the existing version.

Information was collected from Indoor Group information security employees. They reported on practical methods of PCI-standard as well as problems encountered in the application process. That way the difficulties and the problems of PCI-standard were identified and dealt with in the new modified standard.

The advantages of the modified standard are practicality and a better context. With the help of a modified standard Indoor Group Company can save time and money when they are applying PCI-standard.