امنیت دیجیتال به تازگی قوانین جدیدی را پذیرفته است و شرکت‌هایی که داده‌های کارت را پردازش می‌کنند باید خود را با آن وفق دهند. با ورود نسخه ۴.۰ استاندارد امنیت داده‌های صنعت کارت پرداخت (PCI DSS)، که توسط شورای استانداردهای امنیتی PCI (PCI SSC) تدوین شده است، تغییرات قابل توجه هستند و مستقیماً بر حفاظت از داده‌های مشتری و نحوه ذخیره، پردازش و انتقال داده‌های پرداخت تأثیر می‌گذارند. اما واقعاً چه چیزی تغییر می‌کند؟
تغییر اصلی، نیاز به سطح بالاتری از امنیت دیجیتال است. شرکت‌ها باید در فناوری‌های پیشرفته‌ای مانند رمزگذاری قوی و احراز هویت چند عاملی سرمایه‌گذاری کنند. این روش حداقل به دو عامل تأیید برای تأیید هویت کاربر قبل از اعطای دسترسی به سیستم‌ها، برنامه‌ها یا تراکنش‌ها نیاز دارد و هک کردن را دشوارتر می‌کند، حتی اگر مجرمان به رمزهای عبور یا داده‌های شخصی دسترسی پیدا کنند.
از جمله عوامل احراز هویت مورد استفاده عبارتند از:
- چیزی که کاربر می‌داند : رمزهای عبور، پین‌ها یا پاسخ به سوالات امنیتی.
- چیزی که کاربر دارد : توکن‌های فیزیکی، پیامک حاوی کدهای تأیید، برنامه‌های تأیید هویت (مانند Google Authenticator) یا گواهی‌های دیجیتال.
- چیزی که کاربر هست : بیومتریک‌های تشخیص چهره، صدا یا عنبیه چشم به صورت دیجیتال.
او توضیح می‌دهد: «این لایه‌های حفاظتی، دسترسی غیرمجاز را بسیار دشوارتر کرده و امنیت بیشتری را برای داده‌های حساس تضمین می‌کنند.»
واگنر الیاس، مدیرعامل شرکت Conviso، توسعه‌دهنده راهکارهای امنیتی اپلیکیشن، توضیح می‌دهد: «به‌طور خلاصه، ما باید با اجرای اقدامات اضافی برای جلوگیری از دسترسی غیرمجاز، حفاظت از داده‌های مشتری را تقویت کنیم.» او تأکید می‌کند: «دیگر مسئله «سازگاری در صورت لزوم» نیست، بلکه باید به‌صورت پیشگیرانه عمل کرد.»
طبق قوانین جدید، اجرا در دو مرحله انجام می‌شود: مرحله اول، با ۱۳ الزام جدید، مهلت اجرای آن مارس ۲۰۲۴ بود. مرحله دوم، که دشوارتر است، شامل ۵۱ الزام اضافی است و باید تا ۳۱ مارس ۲۰۲۵ رعایت شود. به عبارت دیگر، کسانی که خود را برای این الزامات آماده نکنند، ممکن است با مجازات‌های شدیدی روبرو شوند.
برای انطباق با الزامات جدید، برخی از اقدامات کلیدی عبارتند از: پیاده‌سازی فایروال‌ها و سیستم‌های حفاظتی قوی؛ استفاده از رمزگذاری در انتقال و ذخیره‌سازی داده‌ها؛ نظارت و ردیابی مداوم دسترسی‌ها و فعالیت‌های مشکوک؛ آزمایش مداوم فرآیندها و سیستم‌ها برای شناسایی آسیب‌پذیری‌ها؛ و ایجاد و حفظ یک سیاست امنیتی اطلاعات دقیق.
واگنر تأکید می‌کند که در عمل، این بدان معناست که هر شرکتی که پرداخت‌های کارتی را انجام می‌دهد، باید کل ساختار امنیت دیجیتال خود را بررسی کند. این شامل به‌روزرسانی سیستم‌ها، تقویت سیاست‌های داخلی و آموزش تیم‌ها برای به حداقل رساندن خطرات می‌شود. او توضیح می‌دهد: «به عنوان مثال، یک شرکت تجارت الکترونیک باید اطمینان حاصل کند که داده‌های مشتری رمزگذاری سرتاسری شده‌اند و فقط کاربران مجاز به اطلاعات حساس دسترسی دارند. از سوی دیگر، یک فروشگاه زنجیره‌ای خرده‌فروشی باید سازوکارهایی را برای نظارت مداوم بر تلاش‌های احتمالی برای کلاهبرداری و نشت داده‌ها پیاده‌سازی کند.»
بانک‌ها و فین‌تک‌ها همچنین باید سازوکارهای احراز هویت خود را تقویت کنند و استفاده از فناوری‌هایی مانند بیومتریک و احراز هویت چند عاملی را گسترش دهند. او تأکید می‌کند: «هدف این است که تراکنش‌ها بدون به خطر انداختن تجربه مشتری، ایمن‌تر شوند. این امر مستلزم تعادل بین حفاظت و قابلیت استفاده است، چیزی که بخش مالی در سال‌های اخیر در حال بهبود آن بوده است.»
اما چرا این تغییر اینقدر مهم است؟ اغراق نیست اگر بگوییم کلاهبرداری دیجیتال به طور فزاینده‌ای پیچیده می‌شود. نقض داده‌ها می‌تواند منجر به میلیون‌ها دلار ضرر و زیان و آسیب جبران‌ناپذیر به اعتماد مشتری شود.
واگنر الیاس هشدار می‌دهد: «بسیاری از شرکت‌ها هنوز رویکردی واکنشی اتخاذ می‌کنند و تنها پس از وقوع حمله نگران امنیت هستند. این رفتار نگران‌کننده است، زیرا نقض‌های امنیتی می‌تواند منجر به خسارات مالی قابل توجه و آسیب‌های جبران‌ناپذیر به اعتبار سازمان شود، که با اقدامات پیشگیرانه می‌توان از آنها جلوگیری کرد.»
او همچنین تأکید می‌کند که برای جلوگیری از این خطرات، نکته‌ی کلیدی، اتخاذ شیوه‌های امنیت برنامه از ابتدای توسعه‌ی برنامه‌ی جدید است و اطمینان حاصل می‌شود که هر مرحله از چرخه‌ی توسعه‌ی نرم‌افزار از قبل دارای اقدامات حفاظتی است. این امر تضمین می‌کند که اقدامات حفاظتی در تمام مراحل چرخه‌ی حیات نرم‌افزار اجرا می‌شوند، که بسیار مقرون‌به‌صرفه‌تر از جبران خسارت پس از یک حادثه است.
شایان ذکر است که این یک روند رو به رشد در سراسر جهان است. طبق گزارش Mordor Intelligence، انتظار می‌رود بازار امنیت برنامه‌های کاربردی که در سال ۲۰۲۴ ارزشی معادل ۱۱.۶۲ میلیارد دلار داشت، تا سال ۲۰۲۹ به ۲۵.۹۲ میلیارد دلار برسد.
واگنر توضیح می‌دهد که راهکارهایی مانند DevOps علاوه بر خدماتی مانند تست نفوذ و کاهش آسیب‌پذیری، امکان توسعه هر خط کد با شیوه‌های امن را فراهم می‌کنند. او تأکید می‌کند: «انجام تجزیه و تحلیل امنیتی مداوم و اتوماسیون تست به شرکت‌ها این امکان را می‌دهد که بدون به خطر انداختن کارایی، از مقررات پیروی کنند.»
علاوه بر این، خدمات مشاوره تخصصی در این فرآیند اهمیت دارند و به شرکت‌ها کمک می‌کنند تا با الزامات جدید PCI DSS 4.0 سازگار شوند. او توضیح می‌دهد: «از جمله خدمات پرطرفدار، تست نفوذ، تیم قرمز و ارزیابی‌های امنیتی شخص ثالث هستند که به شناسایی و اصلاح آسیب‌پذیری‌ها قبل از اینکه توسط مجرمان مورد سوءاستفاده قرار گیرند، کمک می‌کنند.»
با پیچیده‌تر شدن کلاهبرداری دیجیتال، نادیده گرفتن امنیت داده‌ها دیگر یک گزینه نیست. او در پایان می‌گوید: «شرکت‌هایی که در اقدامات پیشگیرانه سرمایه‌گذاری می‌کنند، از مشتریان خود محافظت کرده و موقعیت خود را در بازار تقویت می‌کنند. اجرای دستورالعمل‌های جدید، بیش از هر چیز، گامی اساسی در جهت ایجاد یک محیط پرداخت امن‌تر و قابل اعتمادتر است.»
