He hecho algunos I.T. Contratación de un hotel australiano de tamaño mediano recientemente. Me preocupan sus prácticas de manejo de tarjetas de crédito.
- Los clientes a menudo envían un correo electrónico a la compañía con su número de CC y fecha de caducidad en texto simple.
- Los clientes también envían detalles de CC a través de un formulario web a través de HTTP no seguro desde el sitio web de la empresa. Una declaración ambigua en el formulario de contacto podría interpretarse como una solicitud de los detalles de CC.
- Los detalles de CC se almacenan en dos servidores de correo, administrados por el ISP de la compañía.
- Todos los correos electrónicos que contienen detalles de CC también se almacenan en dos máquinas Windows 7 actualizadas en las instalaciones, a través del Modo de intercambio en caché de Outlook 2007. Así que incluso cuando las computadoras se formatean o se reemplazan, los números CC volverán a aparecer en las computadoras. Los correos electrónicos nunca se eliminan.
- Los depósitos y todos los cargos subsiguientes los realiza un operador humano desde una máquina EFTPOS en las instalaciones.
- Hay una sala de Internet en las instalaciones y comparte una conexión a Internet con las computadoras que almacenan los detalles de CC en Outlook. Las computadoras del personal pueden estar en una subred diferente a la sala de espera (no se han verificado aún).
- No he buscado en el archivo de correo electrónico. Sin embargo, me parece plausible que algunos clientes hayan suministrado CVV por correo electrónico.
Encontré todo esto molesto, pero no sabía exactamente cómo hacer mi punto a la gestión. Así que he estado haciendo algunas investigaciones.
- El correo electrónico no es un canal seguro para los detalles de CC [P] .
- La mera aceptación de los detalles de CC por correo electrónico coloca a la empresa bajo los requisitos de PCI-DSS [Q] y los cumple El requisito puede ser una tarea sustancial [R] .
- Aceptar y almacenar correos electrónicos de texto sin formato que contengan números de CC infringe el [S] de PCI-DSS.
- La práctica anterior es arriesgada, pero es común entre los hoteles y, probablemente, muchas empresas de baja tecnología [T] .
- Las consecuencias pueden ser graves [K] pero la aplicación probablemente no ocurra a menos que el negocio sea penetrado y su la información se utiliza para el fraude de CC [O] .
Agradecería cualquier ayuda para verificar mis inferencias en busca de errores . Tampoco estoy seguro de dos cosas.
- ¿Quién hace cumplir el PCI-DSS, en particular las multas mencionadas en [K] ? P.ej. ¿Bancos o agencias gubernamentales se involucran?
- ¿Esto varía mucho a nivel internacional? ¿Es posible que alguna información en las publicaciones anteriores no se aplique a Australia?
También estoy tratando de pensar en una solución que no coincida demasiado con el flujo de trabajo actual (es decir, que no cueste una fortuna). Sin embargo, arreglar esto parece ser una gran tarea en cualquier forma en que lo veo. Cualquier perspectiva sobre cómo mejorar esta situación sería muy apreciada.