建站
咨詢
售后
建站咨詢
新聞中心
最近美國國會(huì)聽證會(huì)正在積極討論P(yáng)CI DSS如何幫助行業(yè)發(fā)展的議題，眾多業(yè)內(nèi)專家都對PCI表示不滿，并認(rèn)為這種沒實(shí)際作用的標(biāo)準(zhǔn)應(yīng)該取消。
筆者認(rèn)為這些業(yè)內(nèi)專家們應(yīng)該沒有看PCI 安全標(biāo)準(zhǔn)委員會(huì)的“Lifecycle Process for Changes to PCI DSS(PCI DSS生命周期計(jì)劃)”，如果他們仔細(xì)看了的話，他們可能不會(huì)這樣認(rèn)為了。在該計(jì)劃中，委員會(huì)為PCI標(biāo)準(zhǔn)制訂了長期詳盡的戰(zhàn)略規(guī)劃。
通常大家都不愿意投資于長期安全計(jì)劃，他們希望能夠獲得立竿見影的效果，盡管事實(shí)上他們從沒有在其設(shè)計(jì)和程序中加入安全概念。很多企業(yè)常常忽視安全問題，而只想通過部署安全設(shè)備就能夠通過SOX審計(jì)員的審核。
在生命周期計(jì)劃中，PCI委員會(huì)制訂了詳細(xì)的24個(gè)月的周期，主要包括五個(gè)步驟，來確保企業(yè)對PCI數(shù)據(jù)安全標(biāo)準(zhǔn)逐步的、分階段的部署和使用。這五個(gè)階段主要包括：部署、反饋、反饋修改、新版本和新版本修訂。委員會(huì)還指出，他們也將為PA-DSS(支付應(yīng)用數(shù)據(jù)安全標(biāo)準(zhǔn))和PED(PIN輸入設(shè)備)安全要求發(fā)布類似的改進(jìn)周期。
PCI生命周期計(jì)劃模仿了Ross Anderson的理念，Anderson認(rèn)為，雖然大多數(shù)基本安全技術(shù)(加密技術(shù)、軟件可靠性、防篡改、安全打印和審計(jì)等)都能夠比較好的理解，但是對于如何有效運(yùn)用這些技術(shù)方面的問題大家的知識(shí)和經(jīng)驗(yàn)都非常有限。Anderson建議采用以工程為基礎(chǔ)的方法來解決這個(gè)問題，而不是簡單的用安全設(shè)備來解決這些問題。
2006年9月份發(fā)布的PCI 1.1版本受到了廣泛的支持，版本1.2發(fā)布于2008年10月，中間為期兩年的時(shí)間都在進(jìn)行安全更新，從這里來看，PCI仍然正在完成市場部署階段。
總體的問題在于，安全和良好的安全總是需要時(shí)間的，需要進(jìn)行分析、反饋評估和理解。并且，完成這些步驟后，企業(yè)需要再次重復(fù)一遍，因?yàn)橥{和漏洞都是動(dòng)態(tài)的，總是隨著時(shí)間的推移不斷發(fā)生變化。
PCI DSS的妙處在于它擁有很聰明的概念，包括公開正式反饋過程、趨勢分析、影響評價(jià)、知道和很多嵌入的結(jié)構(gòu)標(biāo)準(zhǔn)。PCI花費(fèi)了很長的整體的方法來試圖解決問題。
事實(shí)上，在沒有界定“有效運(yùn)行”概念之前，我們無法回答關(guān)于PCI是否有效的問題。最重要的是要記住，PCI是一個(gè)長期的戰(zhàn)略解決方案，而不是短期的安全修復(fù)項(xiàng)目。
良好的安全性能需要花費(fèi)時(shí)間，PCI安全標(biāo)準(zhǔn)委員會(huì)認(rèn)同這一點(diǎn)，安全專家們也同意這個(gè)觀點(diǎn)，難道大家還有異議?
網(wǎng)站名稱：PCI生命周期計(jì)劃vs業(yè)內(nèi)專家質(zhì)疑
當(dāng)前網(wǎng)址：http://www.dlmjj.cn/article/dpoojsd.html
