Per ambiente dati dei titolari di carte (CDE, Cardholder Data Environment) si intendono i meccanismi che elaborano, trasmettono o salvano i dati dei titolari di carte all'interno di un'attività. Nello specifico, include qualsiasi componente del sistema direttamente coinvolto nella gestione dei dati dei titolari di carte, che può essere software, hardware e qualsiasi altra procedura o politica associata alla sicurezza delle transazioni con carta di credito e dei dati.

In questo articolo trovi tutto quello che devi sapere sull'ambiente CDE: il suo ruolo nei pagamenti, come funziona e in che modo le attività possono coltivare un ambiente solido, sicuro e affidabile per i pagamenti.

Contenuto dell'articolo

• Ruolo dell'ambiente CDE nel settore delle carte di pagamento
  
• Componenti, requisiti e tipi di dati all'interno dell'ambiente CDE
  
• Requisiti PCI DSS per un ambiente CDE
  
• Come creare e mantenere un ambiente CDE sicuro
  
• Come gestire una violazione dell'ambiente CDE
  

Ruolo dell'ambiente CDE nel settore delle carte di pagamento

L'ambiente dati dei titolari di carte è l'infrastruttura in cui i dati delle carte di pagamento vengono elaborati, salvati o trasmessi all'interno di un'attività. Questo ambiente include tutti i sistemi tecnici e operativi che gestiscono i dati delle carte di pagamento. Ecco una panoramica di alcune delle funzioni importanti svolte dall'ambiente CDE all'interno del più ampio ecosistema dei pagamenti:

• Protezione dei dati dei titolari di carte: le attività usano l'ambiente CDE per proteggere i dati di pagamento dei clienti dall'accesso non autorizzato e dalle violazioni dei dati. Secondo un report di Flashpoint e Risk Based Security, nel 2021 queste violazioni sono state più di 4.100. In un ambiente dedicato le attività possono concentrare le proprie misure di sicurezza sulle aree in cui sono più necessarie.

• Conformità agli standard: le entità che gestiscono i dati dei titolari di carte devono rispettare le norme PCI DSS (Payment Card Industry Data Security Standard) e l'ambiente CDE è quello a cui rivolgono le proprie iniziative di sicurezza per adempiere a questi standard.

• Mitigazione dei rischi: l'ambiente CDE consente alle attività di individuare e ridurre i rischi legati ai dati delle carte di pagamento. Considerando le possibili ripercussioni di una violazione, la protezione dei dati è un requisito importante. Ad esempio, nel 2013 una grave violazione delle carte di credito subita da Target ha causato spese cumulative per oltre 290 milioni di dollari e una diminuzione del prezzo delle azioni della società.

• Fiducia dei clienti: un ambiente CDE sicuro può accrescere la fiducia dei clienti, perché dimostra che i loro dati di pagamento sono al sicuro.

• Integrità delle transazioni: l'ambiente CDE garantisce che le transazioni vengano svolte in modo sicuro e accurato, mantenendo l'integrità della procedura di pagamento.

• Elusione di conseguenze legali e finanziarie: le violazioni dei dati possono causare azioni legali e ingenti perdite finanziarie. Le attività usano l'ambiente CDE per proteggersi da queste conseguenze.

Un'attività che gestisce i dati delle carte di pagamento senza una strategia efficace per l'ambiente CDE rischia la propria integrità finanziaria e la propria reputazione. In questo articolo vedremo come sviluppare un piano accurato per ridurre al minimo i rischi e massimizzare i vantaggi.

Componenti, requisiti e tipi di dati all'interno dell'ambiente CDE

In un ambiente CDE interagiscono diversi componenti per gestire i dati sensibili delle carte di pagamento. Ecco una panoramica di questi componenti, i requisiti per proteggerli e i tipi di dati che gestiscono:

Componenti

• Hardware: server e workstation che eseguono il software di elaborazione dei pagamenti. Comprende anche componenti di rete come router, switch e firewall che instradano e proteggono i dati trasmessi in rete.
  
• Terminali di pagamento: dispositivi fisici presenti nei punti vendita con cui i clienti pagano strisciando, inserendo o avvicinando le proprie carte.
  
• Sistemi di memorizzazione: aree in cui vengono conservati i dati delle carte di pagamento, come file digitali, database o supporti di backup. Questa categoria include anche supporti rimovibili come unità USB o nastri di backup.
  
• Applicazioni: software che elabora i pagamenti, tra cui sistemi POS e gateway di pagamento online.
  
• Controlli dell'accesso: sistemi progettati per autenticare l'identità degli utenti che accedono all'ambiente CDE, attraverso l'accesso fisico ad aree sicure e l'accesso digitale a sistemi di gestione dei dati.
  

Requisiti

• Crittografia dei dati: i dati delle carte di pagamento devono essere crittografati tramite standard di crittografia avanzati, soprattutto se vengono trasmessi su reti aperte o pubbliche.
  
• Gestione dell'accesso: solo le persone autorizzate devono avere accesso all'ambiente CDE e le loro attività devono essere registrate e monitorate.
  
• Sicurezza fisica: l'accesso fisico all'ambiente CDE deve essere controllato e monitorato, bloccando l'ingresso agli utenti non autorizzati.
  
• Test regolari: sono necessari test di penetrazione e analisi regolari per identificare e correggere le vulnerabilità.
  
• Politiche di conservazione ed eliminazione dei dati: le attività devono predisporre politiche chiare sul periodo di conservazione dei dati dei titolari di carte e procedure per eliminarli in modo sicuro quando non sono più necessari.
  
• Gestione dei fornitori: eventuali terze parti che accedono all'ambiente CDE devono rispettare gli stessi requisiti di sicurezza.
  

Tipi di dati

• Dati dei titolari di carte: includono il nome del titolare della carta, il numero di carta, la data di scadenza e il codice di servizio e spesso sono indicati sul lato anteriore di una carta di pagamento.
  
• Dati di autenticazione sensibili: si tratta di elementi come il codice di sicurezza della carta, ovvero il valore di verifica della carta (CVV) o CVV2, i numeri di identificazione personale (PIN) e i dati del chip o della striscia magnetica, che vengono usati per autenticare i titolari delle carte e autorizzare le transazioni.
  

L'ambiente CDE deve essere una priorità assoluta per qualsiasi attività che gestisce i pagamenti dei clienti, indipendentemente dal settore, dal volume dei pagamenti o da altri fattori di rischio. Le attività che conoscono bene i componenti del proprio ambiente CDE e rispettano i requisiti di sicurezza possono proteggere in modo efficace i dati dei titolari di carte da violazioni e uso improprio.

Requisiti PCI DSS per un ambiente CDE

Le norme PCI DSS forniscono le linee guida per proteggere i dati delle carte di pagamento all'interno dell'ambiente CDE. Questi standard completi e dettagliati sono progettati per proteggere i dati dei titolari di carte dal momento in cui la carta viene usata fino alla fine del processo di transazione e oltre. Ecco una descrizione dettagliata dei requisiti principali:

• Installare un firewall e gestirne la configurazione: i firewall operano come guardiani all'ingresso dell'ambiente CDE e devono essere configurati e gestiti correttamente per controllare il traffico di rete in ingresso e in uscita in base a un set di regole applicate, in modo da impedire l'accesso non autorizzato.

• Modificare le impostazioni predefinite configurate dal fornitore per password del sistema e parametri di sicurezza: i sistemi spesso vengono forniti con password e impostazioni predefinite, che possono essere sfruttate facilmente. Le attività devono modificare queste impostazioni predefinite scegliendo password e configurazioni univoche complesse prima di collegare i sistemi.

• Proteggere i dati salvati dei titolari di carte: i dati memorizzati dei titolari di carte devono essere crittografati usando i metodi più diffusi. L'accesso a questi dati deve essere limitato alle sole informazioni necessarie, con rigide politiche di conservazione dei dati che indichino per quanto tempo i dati devono essere conservati e chiare procedure per la loro eliminazione.

• Crittografare la trasmissione dei dati dei titolari di carte su reti pubbliche: a causa del rischio di intercettazione durante la trasmissione, i dati devono essere protetti tramite metodi di crittografia avanzati ogni volta che vengono trasmessi su reti facilmente accessibili, come Internet.

• Usare un software antivirus e aggiornarlo regolarmente: un software antivirus protegge i sistemi da programmi dannosi. Deve essere usato su tutti i sistemi normalmente presi di mira da malware ed è fondamentale aggiornarlo regolarmente.

• Sviluppare e mantenere applicazioni e sistemi sicuri: le attività devono installare patch di sicurezza per proteggere tutti i componenti del sistema. Per le attività che sviluppano applicazioni, la sicurezza deve essere una priorità.

• Fornire accesso limitato ai dati dei titolari di carte, solo in base alle informazioni strettamente necessarie: le attività devono applicare il principio del privilegio minimo, che stabilisce che le persone devono avere accesso solo alle risorse, alle funzioni e ai dati necessari per svolgere il proprio lavoro.

• Assegnare un ID univoco a chi ha accesso ai computer: in questo modo, è possibile tenere traccia delle azioni compiute su dati e sistemi chiave da ognuno, in modo da mantenere la responsabilità.

• Limitare l'accesso fisico ai dati dei titolari di carte: misure di protezione fisica devono impedire l'accesso a sistemi e risorse di memorizzazione dei dati a persone non autorizzate, come serrature, controlli dell'accesso e meccanismi di monitoraggio.

• Registrare e monitorare tutti gli accessi alle risorse di rete e ai dati dei titolari di carte: meccanismi di registrazione e il monitoraggio delle attività degli utenti sono importanti per rilevare, prevenire e affrontare le violazioni.

• Testare regolarmente i sistemi e le procedure di sicurezza: i sistemi e le procedure di sicurezza devono essere sottoposti regolarmente a stress test per verificare che siano configurati correttamente ed efficaci nel proteggere i dati dei titolari di carte.

• Mantenere una politica per la sicurezza delle informazioni: le attività devono istituire e mantenere una politica formale per la gestione di tecnologie, programmi di sensibilizzazione e sicurezza delle informazioni con una struttura chiara e quindi comunicarla a tutti i dipendenti e contrattisti.

Applicando questi requisiti, le attività possono creare un ambiente sicuro per la gestione dei dati dei titolari di carte, in modo da proteggere se stesse e i clienti dalle violazioni dei dati mantenendo fiducia e integrità. La conformità alle norme PCI DSS consente alle attività di dimostrare il proprio impegno verso la sicurezza e di realizzare il più ampio obiettivo di creare un ambiente di pagamento sicuro.

Come creare e mantenere un ambiente CDE sicuro

Che cosa significa creare e mantenere un solido ambiente CDE? Ecco i passaggi del processo:

• Definizione dell'ambito dell'ambiente CDE: identifica tutti i sistemi, le persone e i processi che salvano, elaborano o trasmettono dati dei titolari di carte. Mappa i flussi di dati per evitare di tralasciare parti dell'ambiente.

• Segmentazione della rete: isola l'ambiente CDE da altre risorse di rete per limitare l'accesso. In questo modo, limiterai il numero di sistemi che possono interagire con l'ambiente, riducendo al minimo i possibili vettori di attacco.

• Protezione dei dati tramite crittografia: usa procedure di crittografia avanzate per salvare e trasmettere i dati dei titolari di carte. La crittografia agisce come una serratura, rendendo i dati illeggibili alle parti non autorizzate prive della chiave corretta.

• Controllo dell'accesso: assicurati che solo il personale autorizzato abbia accesso all'ambiente CDE attraverso una verifica adeguata delle identità, con ID univoci e metodi di autenticazione avanzati.

• Sicurezza fisica: proteggi dall'ingresso non autorizzato le aree fisiche dell'ambiente CDE, tramite serrature, telecamere di sorveglianza e sistemi di controllo dell'accesso.

• Gestione dei sistemi di sicurezza: verifica che le applicazioni di sicurezza, come i firewall, i software antivirus e i sistemi di rilevamento delle intrusioni, siano aggiornate per proteggere l'ambiente da nuove minacce.

• Sviluppo e applicazione di politiche di sicurezza: scrivi politiche chiare che definiscano le aspettative in fatto di sicurezza e forma il personale di conseguenza. Includi procedure per le operazioni quotidiane con istruzioni dettagliate su come rispondere agli incidenti di sicurezza e svolgere controlli periodici.

• Monitoraggio e registrazione di tutte le attività: implementa meccanismi per registrare chi ha avuto accesso all'ambiente CDE, che cosa ha fatto e quando. Esamina regolarmente i log per individuare le attività sospette.

• Test delle misure di sicurezza: svolgi regolarmente test come analisi delle vulnerabilità e test di penetrazione per trovare e correggere i punti deboli della sicurezza.

• Risposta alle violazioni: crea un piano di risposta agli incidenti che descriva come reagire alle violazioni della sicurezza. Includi strategie di contenimento, piani di comunicazione e i passaggi necessari per prevenire altri incidenti.

• Revisione periodica e miglioramenti: la sicurezza è un processo continuo. Per rispondere a nuove minacce, devi esaminare e aggiornare regolarmente i controlli, le politiche e le procedure per la sicurezza.

• Due diligence sui fornitori: se terze parti hanno accesso all'ambiente CDE, controllale con attenzione e verifica che soddisfino i requisiti di sicurezza.

Un ambiente CDE sicuro richiede una supervisione continua, aggiornamenti regolari alle misure di difesa e una cultura di sensibilizzazione alla sicurezza in tutta l'attività.

Come gestire una violazione dell'ambiente CDE

Anche con la pianificazione e la manutenzione più attente, le violazioni sono praticamente inevitabili. La natura delle frodi cambia continuamente e anche gli approcci migliori possono essere vulnerabili. Nessuna strategia per l'ambiente CDE è completa senza un solido piano per affrontare le minacce quando queste si verificano.

• Risposta e contenimento immediati: rileva la violazione dei dati e neutralizzala immediatamente isolando i sistemi colpiti in modo da impedire altre perdite di dati. Ad esempio, se la violazione riguarda un server specifico, questo deve essere disconnesso dalla rete.

• Valutazione e analisi della violazione: svolgi un'indagine completa per determinare l'ambito della violazione, identificando i dati interessati, come si è verificata la violazione e la durata dell'esposizione. Strumenti e tecniche forensi possono semplificare questa analisi.

• Comunicazione con le parti interessate: la trasparenza è un fattore chiave nella gestione di una violazione dell'ambiente CDE. L'attività deve informare tutti i clienti interessati indicando la natura della violazione, le informazioni compromesse e le mosse intraprese per risolvere la situazione. Anche requisiti legali specifici possono imporre a un'attività di notificare la violazione agli enti normativi.

• Coinvolgimento di esperti legali e in materia di conformità: i consulenti legali devono valutare le conseguenze della violazione e garantire il rispetto di tutte le leggi e le normative in vigore. È particolarmente importante affidarsi a un esperto, perché le leggi in materia di violazione dei dati variano a seconda del paese e del settore.

• Potenziamento delle misure di sicurezza: in base alle conclusioni dell'indagine, l'attività deve implementare misure di sicurezza migliori per prevenire le violazioni, ad esempio aggiornando il software, potenziando i firewall e migliorando i metodi di crittografia.

• Formazione e sensibilizzazione dei dipendenti: spesso le violazioni sono dovute a un errore umano. È importante educare i dipendenti sulle best practice per la sicurezza dei dati e sull'importanza di proteggere le informazioni dei clienti.

• Gestione delle pubbliche relazioni: l'attività deve comunicare con franchezza le iniziative intraprese per affrontare la violazione e prevenire altri incidenti.

• Monitoraggio continuo: dopo aver affrontato gli effetti immediati della violazione, le attività devono monitorare continuamente i sistemi per rilevare subito qualsiasi situazione insolita.

• Revisione e aggiornamento del piano di risposta agli incidenti: dopo la violazione le attività devono esaminare il proprio piano di risposta agli incidenti e aggiornarlo in base alle lezioni apprese. In questo modo, possono prepararsi meglio ad altri eventuali incidenti.

• Supporto e assistenza ai clienti: le attività devono fornire assistenza ai clienti interessati, ad esempio offrendo servizi di monitoraggio del credito o una linea telefonica per richieste e domande.

Lungo l'intero processo le attività devono concentrarsi sulla precisione e sulla responsabilità, adottando misure proattive per ricostruire la fiducia e garantire la sicurezza dei dati dei clienti.