Security Research & Consulting GmbH. Payment Card Industry

Transkript

1 SRC Security Research & Consulting GmbH Payment Card Industry Data Security Standard Thilo W. Pannen

2 Agenda Motivation und Hintergründe Schadenspotential Payment Card Industry Data Security Standard d Erfahrungen Herausforderung Seite 2

3 Captain E.J. Smith, 1911: Wenn mich jemand fragt, wie ich meine Erfahrungen aus knapp vierzig Jahren auf See am besten beschreiben kann, so sage ich nur: ereignislos! Natürlich gab es Orkane, Stürme, Nebel und dergleichen, doch bei all dem war ich niemals in irgendeinen nennenswerten Unfall verwickelt. Ichhabenie ein Wrack gesehen oder Schiffbruch erlitten, noch befand ich mich jemals in einer Situation, die in einer Katastrophe gleich welcher Art zu enden gedroht hätte E. J. Smith, 1911 Seite 3

4 15. April 1912 Captain: E.J. Smith Seite 4

5 Beispiele: TJX Seite 5

6 Beispiele: TJX ein Jahr später One year later: Five takeaways from the TJX breach ( ) One year ago Thursday, The TJX Companies Inc. disclosed what has turned out to be the largest information security breach involving credit and debit card data -- thus far, at least. The data compromise at the Framingham, Mass.-based retailer began in mid-2005, with system intrusions at two Marshalls stores in Miami via poorly protected wireless LANs. The intruders who broke into TJX's payment systems remained undetected for 18 months, during which time they downloaded a total of 80GB of cardholder data. The intruders who broke into TJX's payment systems remained undetected for 18 months, during which time they downloaded a total of 80GB of cardholder data. TJX eventually e said that 45.6 million card numbers belonging g to customers s in multiple countries were e stolen from its systems. Even that number may be far too low: A group of banks that is suing the retailer claimed in an October court filing that information 94 about million 94 million cards was exposed during the serial intrusions. [ ] TJX has said that in the 12 months since the breach was disclosed, it TJX has said that in the 12 months since the breach was disclosed, it has spent or set aside about has spent or set aside about $250 million in breach-related costs. $250 million in breach-related costs. That includes the costs associated with fixing the security flaws That that t led includes to the breach, the as costs well as dealing associated with all of with the claims, fixing lawsuits the and security fines that t flaws followed that the led breach. to the breach, as well as dealing with all of the claims, lawsuits and fines [ ] that followed the breach. Source: Seite 6

7 Wert von Kartendaten Seite 7

8 Kosten einer Kompromittierung Category and Description LOW-PROFILE BREACH IN A NON-REGULATED INDUSTRY LOW-PROFILE BREACH IN A REGULATED INDUSTRY HIGH-PROFILE BREACH IN A HIGHLY REGULATED INDUSTRY Discovery, Notification and Response: Outside legal counsel; mail notification calls, call center and discounted product offers Lost employee productivity: Employees diverted from other tasks Cost: Customer churn and difficulty in getting new customers Regulatory fines: FTC, PCI, SOX Restitution: Civil courts may require you to put this money aside Additional security and audit requirements: The security and audit requirements levied as a result of a breach Other liabilities: Credit card replacement costs; civil penalties if specific fraud can be traced to the breach TOTAL COST PERCOMPROMISED RECORD Quelle: "Calculating the Cost of a Security Breach, Forrester Research, April 10, Based on a survey of 28 companies that suffered data breaches Seite 8

9 Folgen einer Kompromittierung Beispiel: Mittelgroßer Händler Transaktionen im Monat Kartendaten gesammelt über 3 Jahre kompromittierte Kartendaten Schadenspotential Incident Fee: pro Zahlungssystem + Issuer Recovery Fee: ( 5 15 je reissued card) + potentieller Schaden: xxx (ca je Karte) + Kosten Rechtsstreit:? + Imageschäden:? Schaden: xxx Millionen EURO! Seite 9

10 PCI Sicherheitsprogramme Terminal PCI PED Kasse PCI PA-DSS Backend PCI DSS Vertrauen in Zahlungssysteme Seite 10

11 PCI Data Security Standard 12 Requirements, alle Elemente eines ISMS Anwendbar für Member, merchant, service provider that store, process or transmit cardholder data Governance PCI SSC Zahlungssysteme regeln Kategorisierung, Fristen, Penalties Compliance Validation mittels Self- Assessment, Security Scan und/oder Audit Seite 11

12 12 PCI Data Security Requirements Build and Maintain a Secure Network R1: Install and maintain a firewall configuration to protect data R2: Do not use vendor-supplied defaults for system passwords and other security parameters Protect t Cardholder Data R3: Protect stored data R4: Encrypt transmission of cardholder data and sensitive information across public networks Maintain a Vulnerability Management Program R5: Use and regularly update anti-virus software R6: Develop and maintain secure systems and applications Seite 12

13 12 PCI Data Security Requirements Implement Strong Access Control Measures R7: Restrict access to data by business need-to-know R8: Assign a unique ID to each person with computer access R9: Restrict physical access to cardholder data Regularly Monitor and Test Networks R10: Track and monitor all access to network resources and cardholder data R11: Regularly test security systems and processes Maintain an Information Security Policy R12: Maintain a policy that addresses information security Seite 13

14 Struktur PCI Ergänzende Dokumente Navigating PCI DSS Prüfverfahren FAQ Self Assessment Website Security Scan Security Audit PCI DSS Glossar PA-DSS

15 Sicherheitsmerkmale Karte Seite 15

16 Erfahrungen und Herausforderungen Kartendaten werden in der Regel nicht als schützenswert angesehen Im E-Com: Anwendungen mit gravierenden Sicherheitslücken Marktkonsolidierung in Richtung Payment Service Provider Quelle: www w.aboutpixel.de / SD Konsistenz bei weltweiter Interpretation Flexibilität versus Vergleichbarkeit der Ergebnisse Es geht um die langfristige Sicherung des Vertrauens (Händler und Verbraucher) in die Zahlungssysteme! Seite 16

17 Fragen? Seite 17

18 ÜBER SRC

19 Firmenprofil SRC Gründung: August 2000, Mitarbeiter: 54 operativ seit Firmensitz: Bonn (Zentrale) Wiesbaden (Niederlassung) Seite 19

20 Gesellschafter MABG Seite 20

21 Unser Selbstverständnis Ein Thema: Sichere Systeme Herstellerunabhängig Kunden- und Projektorientierung Hohe Fachkompetenz der Mitarbeiter Internationalität Seite 21

22 Stärken Hohe fachliche Kompetenz über den gesamten Projektlebenszyklus Design Konzipieren Spezifizieren Zahlungssysteme Chipkartentechnik Kryptografie Authentikation Netzwerksicherheit Implementieren Projektmanagement Softwareentwicklung Know how-transfer Evaluieren Auditieren Prüfen Testen Testmethoden Akkreditierungen: Zahlungssysteme Common Criteria Näh zur nationalen ti l und d internationalen i t ti l Standardisierung St d di i Nähe Hohe Qualitätsstandards Herstellerneutralität und Unabhängigkeit Verbindung technischer Fragen mit geschäftspolitischen Fragen Geheimschutzbetreuung Einstufung bis Geheim Geheimschutzbetreuung, Geheim

23 SRC und PCI SRC als weltweit erstes Unternehmen bei MC SDP und Visa AIS akkreditiert t SRC als weltweit erstes Unternehmen für PCI DSS, PCI PA-DSS und PCI PED akkreditiert Zusammenarbeit mit Acquirern bei Umsetzung B+S Card Service ConCardis Lufthansa Airplus (Acceptance) Pago etransactions Paylife Bank Israel Credit Card Ltd. ca Händler und 70 Service Provider in Deutschland, Schweiz, Österreich, Frankreich, UK, Russland, Ukraine, Weissrussland, Slowakei, Israel, Bulgarien, Seite 23

24 Kontakt SRC Security Research & Consulting GmbH Graurheindorfer Str. 149a Bonn Tel. +49-(0) Fax: +49-(0) WWW: Seite 24