A PCI SSC részéről sokszor túlzó elvárásnak érezzük a piaci szereplők felé azt a követelményt, hogy egy olyan szintű és mélységű szabályrendszerrel, mint a PCI DSS minden tekintetben napra készek legyenek, minden külső támogatás nélkül. Tapasztalataink szerint már a szabályozás értelmezése sem zökkenőmentes, így a külső erőforrás igénybevétele nem csak időt takarít meg, hanem a későbbiekben esetlegesen felmerülő váratlan problémák miatti fejfájásoktól is megkímélheti az ügyfelet.
A PCI DSS megfelelés felkészülési fázisában az alábbi szolgáltatásokkal igyekszünk ügyfeleinket a legmagasabb szinten támogatni:
Előkészítés és Scoping tevékenység
- Az ügyfél érintettségének és megfelelési kötelezettségeinek meghatározása
- A már implementál működési környezet felmérése, információgyűjtés
- Azon főbb területek megjelölése, amelyekre felkészülési alprojektek indítása szükséges
- A scope-on kívül helyezhető területek beazonosítása, konkrét javaslatok a scope csökkentésére
PCI DSS felkészülési stratégia kialakítása
- Fejlesztési irányvonalak és stratégiai célok meghatározása
- Projekt előkészítő dokumentum kidolgozása, amely a költség- és emberi erőforrás-tervezésben is segítséget nyújt
- Fontosabb mérföldkövek, döntési pontok meghatározása és várható projekt ütemterv elkészítése
- Eredmény: vezetői döntést segítő stratégiai tervdokumentum
Gap elemzés elvégzése
A felkészülési fázis
legjelentősebb mérföldköve a Gap elemzés elvégzése. Széleskörű vizsgálatot folytatunk az érintett szervezeti egységek bevonásával, majd feltárjuk az esetleges hiányosságokat, nem megfelelő elemeket, illetve meghatározásra kerülnek a legújabb
PCI DSS szabványtól való eltérések.
A Gap elemzés kiterjed az alábbi feladatok elvégzésére:
- Kártyakörnyezet feltérképezése, biztonsági vizsgálata
- Nem megfelelő elemek kutatása:
- Meglévő dokumentáció tanulmányozása
- Meglévő procedúrák felderítése
- Jelenlegi technikai beállítások vizsgálata, sérülékenységek felmérése
- A feltárt hiányosságok értékelése és dokumentálása
A szakértői elemzés elkészültével
az ügyfél pontos képet kap jelenlegi megfelelési státuszáról, valamint a sikeres QSA audithoz szükséges fejlesztendő pontokról.
Felkészülési megoldás és akcióterv kidolgozása
- A felfedett hiányosságok megoldási javaslatainak elkészítése
- „Remediation plan” dokumentum kibocsátása, amely tartalmazza a gap-ek megoldásához vezető lépéseket, elvégzendő tevékenységeket
- Részletes akcióterv készítése – implementációs folyamatok, projekt mérföldkövek meghatározása
- Helyettesítő kontrollok (Compensating controls) közös meghatározása
A „Remediation plan” dokumentum szükség esetén továbbküldésre kerül a minősítést előíró kártyatársaság részére is.
