Payment: i 5 fattori imprescindibili per un solido piano di sicurezza

Ciske Van Oosten (Verizon Business): nell'attuale scenario di riferimento, oggi alle aziende viene richiesto di attuare un piano di governance ad ampio raggio per raggiungere la conformità nell'ambito della sicurezza dei pagamenti

Il PCI-DSS (Payment Card Industry Data Security Standard) si rivolge prevalentemente a quelle aziende che, indipendentemente del settore di riferimento in cui operano, si occupano di memorizzare, elaborare o trasmettere i dati dei titolari di carte di pagamento. Alla luce dell'estrema sensibilità di questi dati, alle organizzazioni che trattano questa tipologia di informazioni viene fortemente consigliato di conformarsi agli standard di sicurezza contenuti nel PCI. Operazione non semplice, visto che il contesto delle minacce è sempre in rapida evoluzione e i meccanismi di difesa - che le aziende devono adottare - sono sempre più complessi.
Inoltre, questa trasformazione continua e molto veloce, richiede allo stesso PCI di aggiornarsi: a breve, infatti, la versione 3.2.1 scadrà per fare spazio alla v4.0 il cui adeguamento viene fortemente consigliato entro il 31 marzo 2024. Il nuovo standard - che rappresenta il più rilevante cambiamento dal 2004 - presenta numerosi aggiornamenti e 64 nuovi requisiti a cui attenersi.
Un quadro complesso, dunque, in cui le aziende devono imparare a navigare non solo per evitare di incorrere in sanzioni, in caso di falle nel sistema di sicurezza ma anche per guadagnare la fiducia dei propri consumatori che quotidianamente affidano le loro informazioni delicate.

Quindi, nell'attuale scenario di riferimento, oggi alle aziende viene richiesto di attuare un piano di governance ad ampio raggio per raggiungere la conformità nell'ambito della sicurezza dei pagamenti.

Il Payment Security Report 2023 di Verizon Business

E qui si inserisce l'ultimo report di Verizon Business, il Payment Security Report 2023 (PSR) che quest'anno si prefigura come un tool per supportare le imprese a rispettare la scadenza, ma anche per illustrare un approccio trasversale e concreto per ideare e preparare il programma di difesa, fornendo altresì strumenti ad hoc per affrontare le aree critiche nella progettazione del piano di gestione della sicurezza.
Non bisogna dimenticarsi che l'obiettivo generale di un programma di conformità alla sicurezza PCI è sviluppare, mantenere e migliorare continuamente un ambiente di controllo maturo che offra una ragionevole garanzia per la protezione efficace e continua dei dati delle carte di pagamento in modo coerente, prevedibile e sostenibile. Per questa ragione viene infatti arricchito e supportato da ulteriori framework di sicurezza, modelli di gestione del rischio e governance.

Vediamo nel concreto quando un programma di conformità al PCI può essere considerato di successo.

Quando un programma di sicurezza PCI è considerato di successo?

È forse scontato, ma affinché venga implementato un programma di successo, bisogna sempre tenere in considerazione l'obiettivo: quale traguardo l'azienda vuole raggiungere attraverso la sua adozione?
Altro elemento determinante è la larga partecipazione al programma, che si ottiene tramite una corretta comunicazione aziendale: spiegare gli obiettivi del piano e quali strumenti impiegare per raggiungerli, è un primo passo per garantire l'esito positivo delle azioni intraprese.
Oltre a questo, però, sono 5 i fattori imprescindibili per un solido piano di sicurezza:
1 - Un programma efficace: la corretta esecuzione dei compiti in un ambiente di lavoro, che segue specifiche procedure, unitamente alle verifiche chiave consente di garantire il rispetto di tutti gli obiettivi di sicurezza.
2 - Un'esecuzione efficiente: è importante che lo svolgimento del piano sia ideato per ottenere il massimo risultato impiegando il minimo delle risorse.

3 - Allineamento strategico: la progettazione e l'esecuzione del programma non sono né tattiche né reattive ma devono essere adeguate alla strategia aziendale complessiva.
4. Performance sostenibile: la gestione della conformità è una maratona, non una corsa. Richiede un approccio sostenibile del ciclo di vita dei controlli e dell'ambiente.
5 - Miglioramento continuo della maturità: i processi definiti dal programma devono progredire continuamente verso una maggiore capacità degli stessi.

Ciske Van Oosten, Autore principale del Payment Security Report di Verizon Business