Verizon 發表最新 2018 年《支付安全報告》顯示支付安全標準合規數字六年來首次錄得下跌

Verizon 發表 2018 年《支付安全報告》(Payment Security Report)，揭示支付卡產業資料安全標準(PCI DSS)的下滑趨勢值得正視，數字從過去六年(2010 – 2016)的平穩表現首次錄得下跌，反映公司未能通過安全標準檢測，或未有完全遵守安全標準規定。

支付卡產業資料安全標準(PCI DSS)為商家的支付系統提供保障，以免系統受數據失竊威脅及用戶資料被盜取。是次報告作為 Verizon《數據失竊調查報告》系列一員，綜合 PCI DSS 的合規數據來協助企業支付系統免受上述二項威脅，此趨勢有著警告的啟示。

Verizon 合資格安全評估人員(Qualified Security Assessors，QSA)於 2017 年所收集的數據反映整體全球企業 PCI DSS 合規數字錄得下跌，由 2016 年的 55.4%下降至 2017年的 52.4%。其中地區性差異明顯，亞太區企業的合規數字達到 77.8%，較歐洲 (46.4%)和美國(39.7%)為高，反映不同地區在推行相關安全策略的時間、對安全獎項或認受性的重視、或其資訊科技系統的成熟程度等因素的不同。

從行業上分析，資訊科技服務業的安全合規數字保持領先地位，當中超過四分之三 (77.8%)的企業完全符合安全標準。零售業(56.3%)和金融服務業(47.9%)均領先於酒店及旅遊業(38.5%)，顯示後者的合規持續性最低。現時企業常利用 PCI DSS 的工作來回應數據保障條例提出的安全要求，例如歐盟的《通用數據保障條例》 (GDPR)，然而兩者差距明顯，難以全面應用於日常處理電子支付的行業中。

Verizon 環球安全顧問總裁 Rodolphe Simonetti 指出：「現時符合 PCI 合規的全球企業數目下跌，情況不可惡化。顧客和供應商依賴企業去保障個人資料安全，我們應該遏止安全標準的下滑趨勢。我們建議企業重新審視 PCI 方法，並著眼於保障資料的可持續性。」

控制成效及可持續性的重要性
Simonetti 補充：「Verizon 自 2003 年起站於支付安全領域的前端，專注保障客戶資料，同時與 PCI 團體緊密合作提升 PCI DSS 合規水平。藉着我們在此範疇的專業及工作，提出九項因素指引企業維持安全標準水平。我們希望提供一個清晰的架構和方法，以幫助負責安全標準的人員，以及教他們如何與董事會打開安全標準的對話，令敘述更易明白。至於如何令安全檢測的程序更有效，則需要由高層做起，但行政人員都不明理解這方面資料。」

Verizon 列出九個有效且可持續的因素，回應 12 項 PCI DSS 要求，因素如下：
因素一：環境控制：PCI DSS 12 個標準的成效及可持續性取決於環境控制情況。
因素二：設計控制：適當行動管理可回應 DSS 保安控制目的，這取決於完善的設計控制。
因素三：風險控制：若沒有持續的保養(保安測試、風險管理等)，控制系統會降級且最終失效。而風險控制可以減少管理系統失效的機會。
因素四：穩健控制：在商業社會中，需要穩健的控制系統才能保持運作及按規範執行(配置標準、進接控制、系統鞏固等)。
因素五：彈性控制：即使已經增加多層穩健控制，保安系統仍有機會破裂，所以彈性控制可以助你主動及快速地恢愎系統。
因素六：生命週期管理：要達至以上各項，則需要在生命週期的各階段主動管理及監察控制項。
因素七：表現管理：設立及商議表現標準以評估環境控制的實際表現，可提升控制效率以及可預測地加強你的資料保障，從而及早識別和更正偏差的表現。
因素八：成熟管理:：環境控制必須不斷進步。企業需要策略藍圖、目標進程及能力成熟度以優化過程，因為不斷的進步是發展進度的指標之一。
因素九：自我評估：要達至以上所有因素需要企業的自我評估 – 資源(人才、流程和科技)、能力(技術、知識和經驗)及承諾(願意持續堅守安全標準)。

PCI 安全標準協會技術總監 Troy Leach 說：「數據共享及跨行業間的合作對了解這個不斷演變的安全環境及全球支付安全進程是相當重要。此報告反映機構在維持高級保安及安全標準的兩方面下不斷面對挑戰，應緊密留意報告中的數據和結果，以保持警惕。另外，達到安全標準不應為機構的最終目標，而應該在保障資料安全中不斷努力。」

關於 2018 年《付款安全報告》報告
這份 2018 報告的目的並不是說服讀者符合 PCI 標準的需要，而是根據可量度的參數以評測 PCI 標準的實際表現。今年報告的結果均由 Verizon 經認證、為超過 30 個國家的財富 500 及大型跨國公司作安全評估的團隊所評核的。

2018《付款安全報告》報告與 Verizon 的《數據失竊調查報告》相似，而前者為基於真實案例而且集中在金融服務(58%)、資訊科技服務(15%)、餐旅業(15.1%)、零售業(13%)和酒店及旅遊業(11%)而編制。報告覆蓋的地區包括美國(48%)、亞太地區(30%)及歐洲(23%)的資料。

完整的 2018 年《付款安全報告》報告可於此下載。