Turvallinen maksaminen kaupoissa

Abstract

Korttirikollisuus on yleistynyt maailmalla. Suomessakin on jo esimerkkejä tietomurroista, jotka liittyvät korttirikollisuuteen. Yritys X:ssä käynnistyi vuonna 2008 Projekti joka keskittyi turvalliseen maksamiseen. Sen päämääränä oli luoda uusi turvallisempi maksuympäristö kaup-poihin. Tarkoituksena oli luoda ympäristö, joka oli PCI-standardin mukainen. Näin ollen monen vuoden esiselvityksen jälkeen päädyttiin tekemään maksupäätejärjestelmä, joka ei tallenna sensitiivistä maksukorttitietoa kauppojen järjestelmiin. Uudessa maksupäätejärjestelmässä asennettiin uudet maksupäätteet, jotka keskustelevat kassan kanssa, mutta eivät jaa maksukorttidataa kaupan järjestelmään. Maksupäätteiden asentamisen lisäksi projekti on vaatinut paljon työtä PCI-standardin parissa. Kauppoihin oli tehtävä standardin mukaiset muutokset, jotta ne voitaisiin jälkikäteen auditoida. Auditoinnin tavoitteena oli saada kohdeyrityksen kaupoille PCI-sertifiointi. Maksupäätejärjestelmän uusimisen lisäksi projektiin kuului myös yleisen tietoturvallisuuden parantaminen. Tämän opinnäytetyön tavoitteena oli tutkia, millä tavalla kohdeyrityksen projekti ja PCI ovat vaikuttaneet kauppojen jokapäiväiseen toimintaan. Tutkimuksessa perehdyttiin saatavilla olevaan aineistoon kohdeyrityksen raportteja tutkimalla, sekä lopuksi suoritettiin haastattelut viidelle henkilölle. Haastateltavista neljä oli projektissa mukana ollutta yrityksen henkilökuntaa, sekä erään liikenneaseman kauppias. Haastattelutuloksia tutkimalla saatiin monesta eri näkökulmasta asioita esille, jotka ovat vai-kuttaneet kauppojen toimintaan. Tietoturvatietoisuus on ollut keskeisesti esillä ja työssä arvioidaan tietoturvatietoisuuden parantuneen. Projektista on tullut kaupoille myös konkreettista hyötyä. Esimerkiksi vanhojen kuittiarkistojen siivous on tuonut lisää tilaa ahtaisiin tiloi-hin. Kehitysehdotuksena tutkitaan mitä vaatii että kohdeyrityksen projektista saadaan jatkuva palvelu.

Payment card criminality has increased worldwide. In Finland there are already examples of breaking in to systems that hold credit card information. In the year 2008 the project of se-cure payment was started in Company X. The objective of the project was to create a new more secure environment for credit card payment. The purpose was to create an environment which was PCI (Payment card industry) standard compatible. Therefore, after many years of research the company ended up creating a payment terminal system that does not save sensi-tive payment card information into the store’s IT systems. In the new system they installed new payment terminals that are in touch with the register but do not save any payment card data into the stores IT-systems. The project has required a great deal of work on the PCI-standard in addition to installing the payment terminals. Necessary changes concerning the PCI-standard had to be made in the stores so that afterwards they could be audited. The goal of the audits was to have all stores of the company PCI-certified. In addition to renewing the payment terminal system the improvement of common information security was also a part of the project. The objective of this thesis was to conduct research on how the project and PCI have influenced the everyday action in the stores of the company. The information at hand was accessed by reading documents made by the company and finally by performing interviews with five different people. Four of the interviewees were company staff who have been in with the project and the fifth was a service station keeper. Many different points of view concerning changes in stores emerged from the interview results. Common information security has been in focus and therefore it is estimated in this thesis that information security awareness has improved. There have also been concrete benefits for the stores involved in this project. For example, the cleanup of the old receipt archives has brought more space in the narrow spaces. How to make the project a continuing service is researched as a development proposal.