Каковы передовые методы работы с конфиденциальной информацией?
В настоящее время я создаю приложение для клиента, которое позволит им автоматически выставлять счета своим клиентам по кредитным картам.
Мне любопытно, какие лучшие практики нужны для безопасного хранения и доступа к информации о кредитной карте и, в этом отношении, к любой другой конфиденциальной информации, такой как номера социального страхования, номера счетов и так далее.
Я буду использовать шифрование предполагая некоторого типа, но прежде чем я буду копаться слишком глубоко, я хотел увидеть, как другие справляются с этими типами требований.
Не то чтобы это важно, но мы разрабатываем программное обеспечение с использованием Microsoft SQL Server для базы данных, а также с использованием C# и ASP.NET.
Ответы 6
Прочтите Требования PCI. Все будет там.
Собственно, вы за ними следуете должен.
Конечно. :) Компании, выпускающие кредитные карты, объединились в борьбе с мошенничеством. Теперь все, кто работает с кредитными картами, должны соблюдать эти требования. Немного об этом можно почитать здесь: biztechmagazine.com/article.asp?item_id=354
Не ... я имею в виду, тебе действительно нужно?
Существует сильный рынок сторонних платежных сервисов, которые могут получить для вас детали и просто отправить вам сообщение, когда платеж будет произведен. Есть альтернативы, такие как PayPal, и вы можете защитить данные с помощью MD5 или SHA1, отбросив мелочи, такие как точная строка цифр.
Я бы хотел, чтобы это было так просто ... но мы должны.
1 - даже не собирайте SSN, если они вам не нужны. И если вы не банк или правительство, скорее всего, это не так.
2 - не собирайте другую конфиденциальную информацию, если она вам действительно не нужна
3 - используйте любые подходящие элементы управления (отдельная машина для базы данных, брандмауэр, контролируемый доступ и т. д.) Для вещей, которые вам действительно нужно сохранить.
Для разных приложений требуется соответствие различным стандартам PCI. Если ваше приложение просто собирает номера CC, а затем отправляет их на сторонний платежный шлюз, совместимый с PCI, ваши требования соответствия не так уж плохи - при условии, что вы не храните номер карты или CVV.
Что касается ведения журнала, вам следует «выпотрошить» номер кредитной карты, например сохранить первые 6 цифр и последние 3 цифры, но скрыть промежуточные цифры. Ни в коем случае не регистрируйте CVV.
Стандартные документы PCI очень подробны, но все зависит от требований вашего приложения относительно того, какой уровень соответствия вам требуется.
Используйте агрессивные стандарты для защиты хост-системы как с точки зрения ОС, так и с точки зрения физической безопасности, такие как Рекомендации АНБ.
Поместите базу данных в отдельную систему от веб-сервера или других функций, чтобы предотвратить эксплойты физического доступа и повышения разрешений.
Программируйте защитно, чтобы избежать атак с использованием SQL-инъекций и подобных эксплойтов.
При разработке программы в первую очередь помните о безопасности. После этого вернуться и применить меры безопасности будет сложно и подвержено ошибкам.
Попробуйте разделить различные части приложения ... т.е. не используйте одну и ту же программу просмотра или контроллер для «общего» доступа и «частного» доступа.
Помните и соблюдайте все местные законы, касающиеся обработки этих данных ... Их много.
Держите поставка конвертов под рукой, чтобы уведомить ваших клиентов в случае нарушения. Если вы потеряете информацию о 26 миллионах клиентов, возможно, вы не сможете получить достаточно конвертов, чтобы уложиться в установленные законом сроки для уведомления их о нарушении.
Ознакомьтесь с угрозами OWASP и точно знайте, как им противостоять в своем приложении и фреймворке. Трудно поверить, сколько людей используют глупые полурешения для атак с использованием SQL-инъекций и межсайтовых сценариев.
Не могли бы вы подробнее рассказать ... может быть, дадите какие-нибудь ссылки?