“…systems that store, process, or transmit cardholder data…”
Helpoin keino hoitaa ongelmalliset tilanteet on ulkoistaa ne, sanotaan. PCI-vaatimusten osalta voisi olla helppo ymmärtää, että ne koskevat vain luottotietoja käsittelevää järjestelmää, mutta näin asia ei kuitenkaan ole. PCI:n skooppiin kuuluvat kaikki järjestelmät, jotka käsittelevät, tallentavat tai kuljettavat luottokorttitietoja. Tämän voisi helposti ymmärtää niin, että jos organisaatio ei käsittele, tallenna tai kuljeta omistamaansa PCI-dataa organisaationsa sisällä, eivät PCI:n vaatimuksetkaan kosketa heitä. Asia ei kuitenkaan ole aivan näin yksiselitteinen. Vaikka kauppiasorganisaatiolla itsellään ei missään tilanteessa olisi edes pääsyä korttitietoihin, vaan kaikki siihen liittyvä olisi ulkoistettu palveluntarjoajalle, viime kädessä vastuu luottokorttitietojen suojaamisesta kuuluu kuitenkin tietojen omistajalle.
PCI on-site -auditointi kohdistuu aina luottokorttitietoja käsittelevän järjestelmän omistajaan, jonka tulee täyttää kaikki PCI-standardin vaatimukset soveltuvin osin, tallensi, käsitteli tai siirsi se luottokorttitietoja omassa ympäristössään ja omien työntekijöidensä toimesta tai ei. Kaikilta osin standardin vaatimukset eivät kuitenkaan tällaisissa tilanteissa ole soveltuvia, mutta tietyt vaatimukset kuten yrityksen tietoturvapolitiikkaan ja palveluntarjoajien sopimuksiin liittyvät tulee silti ottaa huomioon. Tällaisissa tapauksissa pääosa vaatimuksista kuitenkin kohdistuu palvelun toimittajaan, jonka toimintojen tulee asiakkaan järjestelmän osalta täyttää PCI:n vaatimukset.
Omalta osaltaan tilannetta monimutkaistavat suositut SaaS-, PaaS- ja cloud computing -mallit, joissa tarjottavan palvelun rajat sekä sisältö hämärtyvät ja itse palvelu on asiakkaalle usein pelkkä musta laatikko. Usein näissä tilanteissa sopimusehdot eivät myöskään aina mahdollista vaatimuksen 11 edellyttämiä säännöllisiä teknisiä tarkastuksia. Nämäkään seikat eivät kuitenkaan ole perustelu PCI-vaatimusten noudattamatta jättämiselle. Vaatimus 12.8.2 määrittelee, että palveluntarjoaja tulee kirjallisella sopimuksella velvoittaa noudattamaan PCI-standardin vaatimuksia. Pienelle yritykselle, puhuttaessa suurista globaaleista toimijoista, PCI-vaatimusten ujuttaminen palvelusopimuksiin voi olla vaikeaa ellei mahdotonta. Suositeltavin vaihtoehto onkin, että palveluntarjoajat sertifioituvat tilaamalla omille toiminnoilleen PCI-auditoinnin, mutta ainakaan toistaiseksi tällä rintamalla ei suuria liikkeitä ole nähty. Mikäli palveluntarjoaja ei itse halua sertifioitua, tullaan vaatimustenmukaisuus selvittämään erikseen heidän jokaisen asiakkaansa auditoinnin yhteydessä. Sertifioimalla palvelunsa oma-aloitteisesti toimittajat paitsi helpottaisivat omalta osaltaan asiakkaidensa sertifiointiprosesseja ja sitä kautta vähentäisivät myös omia auditointeihin liittyviä tukitehtäviään, myös saisivat PCI-sertifioinnillaan selkeää etua kilpailijoihinsa nähden. Toisaalta standardin tarkan tulkinnan mukaan, mikäli palveluntarjoaja ei suostu ottamaan soveltuvin osin vastaan PCI-velvoitetta sopimuksissaan, on kauppiaan mahdollista saavuttaa PCI-sertifiointi vain vaihtamalla toimittajaa.
Entä sitten riskienhallinta
On luonnollista, että standardissa ei voida ottaa yksiselitteistä kantaa kaikkiin olemassa oleviin palvelumalleihin ja arkkitehtuureihin, mutta palvelujen ulkoistaminen on yhä suositumpaa ja vaatimuksia on nykymuodossaan haastavaa soveltaa käytäntöön kaikissa tilanteissa. Luonnollisesti näissäkin tilanteissa ”lain” henki on tärkeämpi kuin sen kirjain ja auditoinneissa asiaa voidaan lähestyä riskienhallinnan menetelmin, mutta tilanteen yleisyyden vuoksi tarkemmat linjanvedot olisivat paikallaan. Toivottavasti asian tulkintaan saadaan tulevaisuudessa tarkennuksia PCI SSC:n toimesta. Sitä odotellessa kannattaa noudattaa vanhaa nyrkkisääntöä: ”toimintoja voi ulkoistaa, mutta vastuuta ei”.
Kommentoi
blogi