Implementace bezpečnostního standardu pro platební karty

Bc. Martin Měšťák, DiS.

Master's thesis

Implementation of the Payment Card Industry Data Security Standard

Abstract:

Tato diplomová práce se zaměřuje na odvětví platebních karet, které aktuálně prochází prudkým rozvojem. Přes karetní systémy protékají miliardy korun ročně a platební karty pomalu a jistě nahrazují klasické metody hotovostních plateb. Objevují se nové technologie pro akceptaci platebních karet, které využívají obchodníci pro zefektivnění svého byznysu a udržení si konkurenceschopnosti. Tento bouřlivý rozvoj sebou ale přináší bezpečnostní hrozby a rizika, kterým se organizace pracující s platebními kartami snaží čelit. Hlavním nástrojem pro snižování těchto rizik v odvětví platebních karet je bezpečnostní standard pro platební karty PCI DSS, jehož implementace je ústředním tématem této práce. Vlastní obsah práce je rozdělen do 6 hlavních kapitol. První dvě kapitoly jsou pojaty popisně a jejich účelem je čitateli popsat problematiku bezpečnosti dle PCI DSS. Následující 4 kapitoly pojímám realizačně s důrazem kladeným na modelové příklady. Celá práce je prakticky orientovaná a může být nápomocná specialistům informační bezpečnosti nebo projektovým manažerům při zajišťování souladu organizace s PCI DSS. Pro účely této práce jsem zvolil specifický přístup doporučení, jak by se dle mého nejlepšího vědomí mělo postupovat v cestě zajištění souladu s PCI DSS. Za dobu své praxe v odvětví platebních karet jsem viděl, zažil a konzultoval více způsobů, jak stanovit co možná nejefektivnější cestu dosažení souladu s tímto standardem. Ve všech případech se jevilo uchopení této cesty formou projektu jako nejvhodnější. Zajištění souladu s PCI DSS projektovou formou tedy volím i pro tuto práci, nicméně zmiňuji pouze nutné projektové minimum tak, aby nedošlo k odsunu hlavního záměru práce do pozadí.

Abstract:

This graduation thesis is intended for the payment card industry, which is currently experiencing significant growth. Billions are running through payment card systems annually and payment cards are slowly but surely replacing classical methods of cash payments. New technologies for payment card acceptance are about to appear and are being used by merchants to make their businesses more effective and maintain competitive strength. This new developments also bring security threats and risks which put pressure on organisations involved in the payment card processing. The main tool for mitigating these risks is Payment Card Industry Data Security Standard (PCI DSS), the implementation of which is the focal point of this thesis. The body of this thesis is divided into six main chapters. The first two chapters are informational and their goal is to provide the reader with a description of information security according to PCI DSS. The next four chapters are practical and especially focused on the implementation to model samples. The whole thesis is practically oriented and it is conducive to both information security specialists and project managers in ensuring compliance with PCI DSS in their organizations. I have specifically tailored recommendations for the purposes of this thesis to provide best way to ensure compliance with PCI DSS. During my employment in payment card industry, I gained experience which allows me to determine the most effective way to achieve PCI DSS compliance. While there are many ways to become compliant with PCI DSS, I concluded the project way as the most effective. For the purposes of this thesis I have selected compliance with PCI DSS via the project way and summarized only the important points of the project methodology in order to prevent a deflexion from the main subject of the thesis.

Keywords

Informační bezpečnost, PCI DSS, bezpečnostní rámce, rozdělení karetních dat, kompenzační opatření, projekt, GAP analýza, analýza rizik, implementace požadavků, udržování bezpečnosti.

Language used: Czech

Date on which the thesis was submitted / produced: 24. 4. 2013

Thesis defence

• Date of defence: 4. 6. 2013
• Supervisor: Ing. Marcela Soldánová
• Reader: Ing. Miloslav Kozler

Banking Institute/College of Banking

Master programme / field:
Economics and Management / Information Technologies and Management