اطلاعات محرمانه كارت ها نبايد ذخيره شود

انتشار شماره کارت‌هاي بانكي و رمز آنها در فضای اینترنت از سوی مدیر سابق یکی از شرکت‌های ارائه‌دهنده خدمات پرداخت موجی از نگرانی را در جامعه ایجاد کرد به‌گونه‌ای که تا قبل از آن اتفاق اگر بانک مرکزی از دارندگان کارت‌های بانکی می‌خواست رمز کارت خود را به صورت دوره‌ای تغییر دهند، دارندگان کارت‌ها به این تقاضا یا حتی اخطارها توجه نمی‌کردند و عادت به تغییر رمز نداشتند اما صف‌های طولانی مقابل بانک‌ها طی هفته‌های اخیر برای برداشت وجه نقد نبود بلکه برای تغییر رمز بود، به‌گونه‌‌ای که در برخی از ساعت‌ها دستگاه‌های خودپرداز اعلام می‌کردند که دیگر قادر به تغییر رمز نیستند.

در خصوص دلایل بروز این مشکل و اینکه آیا ممکن است بار دیگر چنین مشکلی در شبکه بانکی کشور به‌ وجود آید یا راه‌های مقابله با آن چيست با مدیر کارت شرکت خدمات انفورماتیک نسترن اسمعیلی به ‌گفت‌وگو نشسته‌ایم که در زیر می‌خوانید.

هفته‌های گذشته اخبار مختلفی در خصوص درز اطلاعات از شبکه بانکی منتشر شده است این سوال به وجود آمده است که چرا این اطلاعات باید به گونه‌ای ذخیره شوند که در اختیار افراد قرار گیرند، درز اطلاعات چگونه و چرا اتفاق افتاده است؟

یکی از شرکت‌های ارائه‌دهنده خدمات پرداخت که پایانه‌های فروشگاهی را در فروشگاه‌هایی نصب کرده و طرف قرارداد تعدادی از بانک‌های کشور بوده، تولید سوئیچی را بر عهده یکی از همکاران‌شان می‌گذارد.

ایشان بعد از تولید نرم‌افزار خودش اطلاعات افرادی را که از دستگاه‌های کارتخوان آن شرکت استفاده کرده‌اند ذخیره می‌کند كه در واقع این کار غیرمجاز است، اطلاعات در حدی که ذخیره شده نباید در سوئیچ ذخیره می‌شد، اطلاعات محدودتری باید ذخیره می‌شد تا مطابق مقررات سرویس‌دهندگان خدمات پرداخت باشد اما وی خارج از ضوابط بخشی از اطلاعات را ذخیره کرده و به خاطر اختلاف نظری که با رئیس خود پیدا کرده این اطلاعات را در اختیار عموم قرار داده‌ است.

با اطلاعاتی که در اختیار عموم قرار گرفته کسی به غیر از او یا احیانا همکارانش در این رابطه امکان دسترسی به هیچ حساب یا کارتی را پیدا نمی‌کند. چون اطلاعات محرمانه دیگری در کارت‌ها هست که جزو اطلاعات منتشرشده نیست.

منظور شما این است که حتما باید به کارت دسترسی داشت؟

برای اینکه کارت نباشد و به حساب دارندگان کارت‌ها دسترسی پیدا کرد به اطلاعات بیشتری نیاز است.

پس چرا بانک مرکزی و بانک‌ها اعلام کردند که مردم و دارندگان کارت‌های بانکی رمز خود را تغییر دهند؟

من فکر می‌کنم اقدام بانک مرکزی که مردم را به سمت تغییر رمز هدایت کرد کار درستی بوده است، گرچه آن اطلاعات برای تعداد زیادی قابل استفاده نبود اما می‌توانست با اطلاعات دیگری جمع شود و برای تیمی که دسترسی به اطلاعات داشتند مورد استفاده قرار گیرد.

چرا از واژه تیم استفاده می‌کنید؟

به این دلیل واژه تیم را به کار می‌برم که احتمال دارد بیش از یک نفر باشند.

البته آن شخص هم اشاره کرده بود که تعداد بیشتری از افراد به این اطلاعات دسترسی دارند؟

ممکن است بیش از یک نفر باشند. کسانی که به بیش از این اطلاعات دسترسی داشته باشند می‌توانستند منشاء خطر باشند. تاکنون هیچ خطری اتفاق نیفتاده است، هیچ دسترسی غیرمجازی به حساب مردم صورت نگرفته است. قضیه با تمام کنترل‌های انجام‌شده منتفی است اما از آنجایی که دستگاهای کارتخوان فروشگاهی مورد استفاده شبکه بانکی هستند و اطلاعات سرقت شده می‌توانستند منشاء خطر باشند،به منظور حفاظت منافع مردم، بانک مرکزی از بانک‌هایی که مشتریان‌شان در این مجموعه بودند و تقریبا بیشتر شبکه بانکی کشور را دربر می‌گرفت، خواستند تغییراتی را در سیستم‌شان و در وضعیت کارت‌ها بدهند و مردم را به سمت تغییر رمز هدایت کنند. با تغییر رمز هیچ گونه نگرانی‌ای وجود نخواهد داشت.

اما همچنان اين سوال وجود دارد؛ اگر کارت‌ها مجددا روی پایانه‌های فروش آن شرکت کشیده شوند اطلاعات خوانده می‌شود و تغییر رمز بی‌ثمر خواهد بود؟

در واقع این پدیده از مردادماه گذشته در شبکه بانکی و بانک مرکزی مطرح شد. در آن زمان عامل و منشاء نفوذ اطلاعات شناسایی شد، از همان زمان به این شرکت اخطارهایی داده شدکه باید سیستم را امن و مقررات را رعایت کنند و از همان زمان بحث تغییر نرم‌افزار مطرح شد اما به طور قطع می‌توان گفت از تاریخی که این اطلاعات در اینترنت منتشر شد هیچ امکانی برای دسترسی به حساب مردم وجود ندارد، چرا که این شرکت تحت کنترل درآمد ناظران بانک مرکزی به این شرکت اعزام شدند، کلیه منافذ این سیستم را شناسایی کردند و سیستم‌های این شرکت را امن کردند.

در نتیجه از این پس این نگرانی وجود ندارد و کسانی که رمزشان را تغییر داده‌اند می‌توانند مطمئن باشند که هیچ مشکلی ایجاد نخواهد شد. تاکنون نیز که مشکل مالی و ایمنی‌ای برای شبکه بانکی ایجاد نشده است.

چه استانداردهایی را باید شرکت‌های PSP رعایت کنند که این مشکل به‌ وجود نیاید؟

اولین کاری که باید می‌کردند اجرای دستورالعملی بود که از طرف اداره نظام‌های پرداخت بانک مرکزی به عنوان مقررات ناظر بر شرکت‌های ارائه‌دهنده پرداخت منتشر و ابلاغ شده ‌است. در آن دستورالعمل اعلام شده بود اطلاعات دارندگان کارت و اطلاعات محرمانه نباید ذخیره شود.

البته بخشی از اطلاعات تراکنش‌ها که به منظور کنترل موارد حسابرسی و تسویه‌حساب‌های پذیرندگان و بانک‌هاست لازم است ذخیره شود اما این جزیی از اطلاعات تراکنش است نه همه اطلاعات یک تراکنش، علاوه بر اینکه اطلاعات باید در محیطی امن جابه‌جا شود.

یکی از ضعف‌های امنیتی این شرکت این بوده که این دانش در اختیار شخصی قرار داشته که می‌دانسته این اطلاعات کجا نقل و انتقال پیدا می‌کند و همین فرد به کلیدها نیز دسترسی داشته است. طبق مقررات و استانداردهای بین‌المللی نباید چنین اتفاقی بیفتد.

منظور شما از کلیدها در این مبحث چیست؟

کلیدهایی که توسط آن رمزنگاری صورت می‌گرفته است. این اطلاعات در واقع به شکل خام وجود نداشته، بخشی از این اطلاعات رمزنگاری شده بود، منتها ایشان به این کلیدها هم دسترسی داشته ‌است. این یکی از سهل‌انگاری‌هایی بوده که توسط این شرکت انجام شده و این مورد باید اصلاح

شود.

آیا استاندارد مشخصی برای چنین مواردی وجود دارد؟

استاندارد اصلی‌ای که در سطح بین‌المللی بر سیستم کارت‌های مغناطیسی نظارت می‌کند، استاندارد PCIDSS است. از سال گذشته نیز در بانک مرکزی به استاندارد PCIDSS توجه شد.

بانک مرکزی برای پیاده‌سازی این استاندارد مکاتباتی با بانک‌ها انجام داد و از آنها خواست فاصله میان سیستم خود و این استاندارد را بررسی و اعلام کنند، به این منظور که در گام بعدی این استاندارد به شبکه ابلاغ شود و بازه زمانی مناسب برای این گذار تعریف شود. در واقع از آن زمان تبعیت از این استاندارد الزامی شود.

تاکنون استفاده از این استاندارد الزامی نبود اما به آن توصیه شده ‌است. علاوه بر اینکه در چند سال پیش هم یکی دیگر از شرکت‌های ارائه‌دهنده خدمات پرداخت به منظور ارائه سرویس اینترنتی چنین اقدامی را به شکل محدودتری انجام داده بود که با شکایت شبکه بانکی ارائه آن سرویس متوقف شد و در آن زمان نیز دوباره بانک مرکزی به کل شبکه بانکی اعلام کرد که اطلاعات محرمانه کارت‌ها را نباید نگهداری کنند.

برای کنترل چنین مواردی چه اقداماتی باید انجام شود؟

یکی از اقداماتی که بعد از این باید انجام شود بحث نظارت و ممیزی این سیستم‌هاست. این بحث هم از سال گذشته با طرح شاپرک مطرح شد.

اینجا یک پرسش مطرح می‌شود؛ قبلا نظارت به چه صورتی بوده ‌است؟

قبلا نظارت در حد اعلام دستورالعمل‌ها و کنترل‌هایی در مقطع آزمون شرکت‌های ارائه‌دهنده خدمات پرداخت بوده ‌است، منتها نظارت دوره‌ای از سوی بانک مرکزی فقط روی بانک‌ها صورت می‌گرفته و بانک مرکزی به صورت مستقیم روی شرکت‌های ارائه‌دهنده خدمات پرداخت نظارتی نداشته است. واقعیت این است که این سیستم چون نوپا بود در بانک مرکزی نظارت بر شرکت‌ها تعریف نشده بود. در اصل ساز و کار بانک مرکزی برای نظارت بر بانک‌هاست. البته همواره از بانک‌ها خواسته شده‌ است که بر این شرکت‌ها نظارت داشته باشند.

یعنی نظارت بر PSPها بر عهده بانک‌های طرف قرار داد با آنهاست؟

بله، نظارت بر شرکت‌های PSP باید از طرف بانک‌ها صورت گیرد، منتها در بانک‌ها نیز به دلیل جوان بودن این سرویس‌ها و شرکت‌ها ساز و کار نظارت تعریف نشده بود. از دو سال قبل این بحث مورد نظر بانک مرکزی بود، در اصل این نکته در بانک مرکزی مطرح بود که الان در شبکه بانکی ما شرکت‌هایی ارائه سرویس می‌کنند که تحت پوشش بخشی از مقررات شبکه بانکی نیستند، به همین منظور بحث شاپرک مطرح شد. یکی از انگیزه‌های اصلی در تعریف طرح شاپرک نظارت بر شرکت‌های PSP بوده ‌است و قرار شده از طریق این شرکت این نظارت انجام شود.

یکی از مشکلاتی که بارها از طرف خود این فرد بیان شده‌ استفاده از HSM است. استفاده از این سیستم چه تاثیراتی دارد؟

استفاده از HSM کل قضیه نیست. در HSM هم یا باید کلید وارد شود یا باید از کلید استفاده کنید. اگر از کلیدی که خود HSM تولید می‌کند استفاده کنید این کلید محرمانه است و در اختیار کسی قرار نمی‌گیرد اما وقتی دو سیستم با هم تبادل اطلاعات می‌کنند باید کلیدی تعریف شود که هر دو سیستم آن را بخوانند.

خود HSM اینجا پاسخگوی مساله نیست بلکه در همه روال‌های استاندارد بین‌المللی برای حفظ امنیت، کلیدها را یک نفر در اختیار ندارد بلکه کلید را به دو یا سه قسمت تقسیم می‌کنند و هر کدام یک قسمت از کلید را در اختیار دارند. یک نفر امکانات کافی برای دسترسی را ندارد. اشتباهی که این شرکت کرده بود این بود که کل این بخش را در اختیار یک نفر قرار داده بود.

در آینده چه اقداماتی باید انجام شود؟

این شرکت‌ها تحت پوشش شرکت شاپرک درمی‌آیند و شرکت شاپرک، شرکتی حاکمیتی است و مقررات بانک مرکزی را در مجموعه ‌PSPها اعمال خواهد کرد. نظارت و ممیزی آنها تحت پوشش شاپرک خواهد بود و مقررات و دستورالعمل‌های فنی از طرف شاپرک و بانک مرکزی به شکل مشترک بسته به حوزه کاری اعلام می‌شود و آنها موظف به رعایت این دستورالعمل‌ها هستند و ممیزی دوره‌ای از این شرکت‌ها نیز در شاپرک پیش‌بینی شده ‌است.

ضمن اینکه به احتمال خیلی زیاد حداقل مقررات PCIDSS هم الزامی خواهد شد.

من به این دلیل می‌گویم حداقل مقررات برای اینکه PCIDSS بحث بسیار مفصلی است، به خیلی از جزییات اشاره می‌کند، ممکن است دوره گذار به این استاندارد کمی طولانی‌تر از این باشد که بلافاصله شروع شود، برای همین احتمالا برای تبعیت کامل بازه زمانی در نظر می‌گیرند.

در این استاندارد به چه نکاتی اشاره می‌شود.

نکته اصلی نقل و انتقال امن اطلاعات دارندگان کارت است. اصلا استاندارد اسمش PAYMENT CARD INDUSTRY DATA SECURITY است، در واقع کاملا ناظر بر امنیت داده‌های صنعت کارت است. این داده‌ها هم عمدتا در بحث کارت مغناطیسی است. چند قلم داده امن در کارت‌های مغناطیسی وجود دارد.

این استاندارد خیلی ساده و روشن جدولی را تعریف می‌کند که چه بخشی از داده‌ها مجاز است ذخیره شود، چه بخشی از داده‌ها به هیچ وجه نباید ذخیره شود و چه بخشی از داده می‌تواند به شکل رمزشده ذخیره شود.

این در مورد بحث ذخیره است. این بحث در مورد انتقال داده نیز وجود دارد، حتی در مورد پردازش داده نیز پیش‌بینی‌هایی صورت گرفته است، پردازش باید در محیطی امن صورت گیرد.

بحثی هم که در این استاندارد مطرح می‌شود از ابتدا تا انتهاست. ما قطعا در مرحله اول، سیستم‌های مرکزی را باید امن کنیم اما به همینجا ختم نمی‌شود. استاندارد از دستگاه کارتخوان شروع می‌شود، یعنی در آنجا هم باید برخی از نکات امنیتی رعایت شود.

شما به استانداردهایی اشاره کردید که باید روی دستگاه‌های کارتخوان اجرا شوند. این استانداردها شامل دستگاه‌های ATM و POS می‌شوند؟

هر دو دستگاه‌ باید چنین استانداردهایی را رعایت کنند اما توجه داشته باشید که تنوع دستگاه‌ها در کشور ما زیاد است. یکی از مواردی که باید تحت نظارت قرار گیرد تنوع و میزان پوشش این استاندارد در خود دستگاه‌هاست. هم دستگاه‌های POS و هم دستگاه‌های ATM که از سال‌های۱۳۸۴ـ۱۳۸۵ به بعد تولید شدند مجهز به صفحه‌کلید رمزنگاری هستند.

یعنی عددی که شما از طریق صفحه‌کلید برای رمز یا PIN کارت در دستگاه کارتخوان وارد سیستم می‌کنید رمزنگاری شده، ارسال می‌شود و عدد مستقیم ارسال نمی‌شود. این دستگاه‌ها به Encrypted pinpad معروف است. البته هزینه تهیه این دستگاه‌ها کمی بالاست. ما باید ممیزی‌هایی انجام دهیم که در کل شبکه کارت کشور چه تعداد دستگاه‌ها باید ارتقا پیدا کنند.

فکر کنم میزان خریدهایی که از ۱۳۸۴ به بعد صورت گرفته است مشخص باشد.

مشخص است اما اینکه واقعا دستگاهی که خریده شده مجهز به این سیستم رمزنگاری هست یا خیر باید کنترل شود.

پایانه‌های مجازی هم باید به چنین سیستمی مجهز باشند؟

پایانه‌های مجازی بحث دیگری دارند. اینجا بحث دستگاه‌هایی است که درون آنها کارت را وارد می‌کنیم و رمز می‌زنیم. پایانه‌های مجازی سیستم دیگری دارند، مثلا از طریق PC در خانه این کار را انجام می‌دهید، طبیعی است که نه دستگاه کارتخوانی وجود دارد نه بحث ورود رمز به این شکل مطرح است.

درست است اما تعداد اطلاعات بیشتری از طریق پایانه‌های مجازی وارد سیستم می‌شود.

در کل دنیا به این صورت

است که از رمز دوم که به رمز اینترنتی معروف است در پایانه‌های مجازی استفاده می‌شود، از طرفی در بیشتر موارد در این پایانه‌ها اطلاعات CVV۲ نیز از کسی که اطلاعات را وارد می‌کند پرسیده می‌شود، CVV۲ عددی است که روی کارت درج شده و برای دسترسی به این اطلاعات باید فیزیک کارت را در اختیار داشت.

منظور من رمزنگاری این فاکتورهاست.

این میسر نیست. شما وقتی از سیستم‌های تلفنی استفاده می‌کنید، نمی‌توانید دستگاه رمزنگاری به تلفن متصل کنید اما لازمه‌اش این است که در همان محدوده دستگاه تلفن این داده ها رمزنشده باشد. اگر بخواهیم در یک PC رمزنگاری کنیم، باید یک برنامه کاربردی (APPLICATION) به افراد تحویل دهیم، معمولا در دنیای اینترنت این کار را نمی‌کنند. هست جاهایی که با وسواس بیشتری این کار انجام می‌شود اما به طور معمول این کار انجام نمی‌شود.

پس چه اقداماتی باید برای این بخش صورت ‌گیرد؟

مدیریت ریسک تعریف می‌کنند. یعنی تا حدودی ریسک را می‌پذیرند؛ می‌گویند اولا عملا رمز را حفظ کنید، به کسی ندهید، ثانیا سقف مشخصی برای هر تراکنش پیش‌بینی می‌شود و بیشتر از آن میزان میسر نیست تا اگر سیستمی مورد دستبرد و استفاده قرار گیرد حجم محدودی از مبادلات مالی امکان‌پذیر باشد. پس می‌توان مدیریت ریسک را به دو قسم تقسیم کرد؛ بخشی ممکن است متوجه استفاده‌کننده از سیستم شود به شرطی که داده های خود را درست حفاظت نکرده باشد، بخشی دیگر هم متوجه بانک می‌شود. در همه جای دنیا هم به همین صورت است.

اگر سیستمی در اختیار مشتری قرار داده‌ شود، مدیریت ریسکی انجام می‌دهد و با یک حد ریسک پذیرش می‌کند. علاوه بر اینکه معمولا این سیستم‌ها قابل شناسایی و ردگیری هستند، ممکن است فروشگاهی دستگاه کارتخوان را مجهز به کارتخوان دوم کند، این اتفاق در شبکه ما هم افتاده است اما اینها شناسایی می‌شوند.

من فکر می‌کنم این موارد در شبکه بانکی ما تعدادشان از کل انگشتان دست هم کمتر بوده، همه هم بعد از مدتی شناسایی شده‌اند چرا که کلیه تراکنش‌ها قابل ردیابی هستند، همه دستگیر می‌شوند و وجوه از آنها پس گرفته می‌شود منتها تا قبل از اینکه شناسایی انجام گیرد , بانک است که این ریسک را می‌پذیرد. در همه جای دنیا هم به همین صورت است. این اتفاقی نیست که فقط در جامعه ما رخ دهد، در همه جا اتفاق می‌افتد و هر جا هم اتفاق بیفتد همین فرمول را دارد.

بیمه تراکنش‌ها در مبحث مدیریت ریسک قرار نمی‌گیرد؟

چرا اتفاقا برخی از بانک‌ها نیز این موضوع را پیش بردند، ما بانک‌هایی داریم که قراردادهایی با بیمه‌ها دارند که بیمه‌ها به جای بانک ریسک را می‌پذیرند. بعضا با دریافت مبلغ ناچیزی از دارنده کارت این بیمه را پوشش داده‌اند.

مواردی هم داریم که بیمه‌ها اعلام کرده‌اند آمادگی ندارند و این بحث را مطرح می‌کنند که درصدی از کل حجم گردش پول‌ها را دریافت کنند. این هزینه با توجه به سطح ریسک بانک‌های ما، هزینه بسیار بالایی است چون واقعیتش این است که در طول ۱۵ سال میزان ریسک در شبکه بانکی عدد بالایی نبوده ‌است.

بنابراین باید این ساختار به نوعی تعریف شود که مدیریت ریسک معنی‌دار باشد. یعنی بتوان تناسبی میان این دو به‌ وجود آورد.

در همین هفته اتفاق دیگری افتاد؛ ارسال پیامک کسر از حساب برای تعدادی از مشتریان بانکی...

اگر واقعا از حساب کسی کسر نشده باشد که به نظر می‌رسد چنین بوده ‌است پیامک غلطی ارسال شده، منشأش چه بوده نمی‌دانم؛ ممکن است یک اشکال مخابراتی بوده‌ باشد اما به هر حال آن‌ چیزی که شبکه بانکی باید پوشش دهد زمانی است که یک تبادل مالی انجام شود ، این مساله که عاملی بیرونی اطلاعات غلطی منتشر کند باید توسط مرجع دیگری کنترل شود.

دستورهای پرداخت که از طریق پیامک ارسال می‌شوند به صورت مستقیم به حساب متصل هستند؟

ما معمولا در پیامک‌ها دستور پرداخت نداریم، یک پرداخت قبض داریم که چون شخص صاحب قبض شناسایی شده است این کار مدیریت شده است. کاری که در بعضی از شبکه‌های بانکی وجود دارد انتقال از یک حساب به حساب دیگر خود مشتری است، حالت دیگر هم انتقال با سقف محدود در برخی از بانک‌هاست.

در بانک مرکزی در شبکه شتاب گفتند در صورتی فقط مجوز انتقال از کارتی به کارت دیگر داده می‌شود که سیستم پیامک را شناسایی و از نظر امنیتی تایید کنند، تا به امروز مجوز خاصی داده نشده است.

اما پیامی که پخش شده بود بحث انتقال از حسابی به حساب دیگر بود و بحث کارت نبود، فقط حساب مشخصی بود، البته مبلغ هم بالا نبود، ۲۰۰ هزار تومان بود اما این پیامک به افرادی ارسال شده بود که اصلا صاحب حساب نبودند، اصلا مشخص نیست آن حساب موجود هست یا خیر. به نظر می‌رسد این بیشتر یک مشکل مخابراتی در انتقال پیامک بوده‌ است.

چون این دو اتفاق همزمان به وقوع پیوست این تصور در ذهن به ‌وجود آمد که شاید از اطلاعات همان کارت‌ها استفاده شده باشد.

شماره کارت نبود. شماره حساب بود. اطلاعات هم اصلا مربوط به آن کارت‌ها نبود.

در حال حاضر بانک مرکزی یا شاپرک مطمئن شده‌اند بقیه شرکت‌های ارائه‌دهنده خدمات امن هستند؟

ممیزی شرکت‌ها با شرکت شاپرک هست و اکنون تیم ممیزی در حال تشکیل است تا همزمان با اتصال این شرکت‌ها این ممیزی انجام شود. البته قرارداد محرمانگی نیز با این شرکت‌ها امضا می‌شود و این شرکت‌ها ملزم به رعایت این مقررات هستند.

آیا ممکن است از این دست اتفاقات مجددا اتفاق بیفتد؟

پدیده‌ای که اتفاق افتاد چه این نوع، چه سایر موارد از جمله پدیده‌هایی است که در تمام دنیا اتفاق می‌افتد. مهم این است که سیستم‌ها بتوانند آن را شناسایی و مدیریت کنند و حساب‌های مردم تحت کنترل و نظارت بانک‌ها باشد و نگرانی از این بابت وجود نداشته باشد اما به هر حال ممکن است هر از چند گاهی کسی بگوید من به اطلاعاتی دسترسی پیدا کرده‌ام. مهم این است که شبکه به حدی کنترل و محدود شده باشد که نتوان از این اطلاعات استفاده کرد.

خود شرکت خدمات انفورماتیک از چه استانداردهایی برای سیستم کارت پیروی می‌کند؟

روال‌هایی که رعایت می‌شود طبق روال‌های استاندارد است. به طور مثال یک نفر به کلید دسترسی ندارد، نگهداری کلیدها تحت روال‌های استاندارد امنیتی است.

شاید مهم‌ترین بخشی که رعایت شده است جداسازی بخش راهبری از بخش تولید و توسعه است. کسانی که نرم‌افزار تولید می‌کنند به داده‌ها دسترسی ندارند و داده‌ها تحت کنترل تیم دیگری است که به نرم‌افزار دسترسی ندارند. این امر در طول سالیان به ما کمک زیادی کرده است.

به علاوه استانداردهای ما تا حد زیادی با PCIDSS تطبیق دارد، یعنی داده‌های محرمانه را اصلا ذخیره نمی‌کنیم، داده‌ها را فقط پردازش می‌کنیم. نگهداری رمزها حتی در سیستم‌ها به صورت رمزنگاری‌شده هم نیست. اینها روال‌های استانداردی است که در سیستم استفاده شده ‌است.