ความปลอดภัยทางดิจิทัลเพิ่งได้รับกฎใหม่และบริษัทที่ประมวลผลข้อมูลบัตรต้องปรับตัว. ด้วยการมาถึงของเวอร์ชัน 4.0 ของมาตรฐานความปลอดภัยข้อมูลของอุตสาหกรรมบัตรชำระเงิน (PCI DSS), จัดตั้งโดยสภามาตรฐานความปลอดภัย PCI (PCI SSC), การเปลี่ยนแปลงมีความสำคัญและส่งผลโดยตรงต่อการปกป้องข้อมูลของลูกค้าและวิธีการจัดเก็บข้อมูลการชำระเงิน, ประมวลผลและส่งต่อ. แต่, สุดท้าย, สิ่งที่เปลี่ยนแปลงจริง ๆ
การเปลี่ยนแปลงหลักคือความจำเป็นในการมีระดับความปลอดภัยทางดิจิทัลที่สูงขึ้นอีก. บริษัทต่างๆ จะต้องลงทุนในเทคโนโลยีขั้นสูง, การเข้ารหัสที่แข็งแกร่งและการตรวจสอบตัวตนหลายปัจจัย. วิธีนี้ต้องการปัจจัยการตรวจสอบอย่างน้อยสองอย่างเพื่อยืนยันตัวตนของผู้ใช้ก่อนที่จะอนุญาตให้เข้าถึงระบบ, แอปพลิเคชันหรือธุรกรรม, ทำให้การบุกรุกยากขึ้น, แม้ว่าผู้กระทำผิดจะเข้าถึงรหัสผ่านหรือข้อมูลส่วนตัวได้
ปัจจัยการตรวจสอบตัวตนที่ใช้มีดังนี้
- สิ่งที่ผู้ใช้รู้รหัสผ่าน, PIN หรือคำตอบสำหรับคำถามด้านความปลอดภัย
- สิ่งที่ผู้ใช้มีโทเค็นทางกายภาพ, SMS ที่มีรหัสยืนยัน, แอปพลิเคชันการตรวจสอบตัวตน (เช่น Google Authenticator) หรือใบรับรองดิจิทัล
- บางสิ่งที่ผู้ใช้เป็นการระบุตัวตนด้วยลายนิ้วมือ, ใบหน้า, การรู้จำเสียงหรือม่านตา
“ชั้นการป้องกันเหล่านี้ทำให้การเข้าถึงที่ไม่ได้รับอนุญาตยากขึ้นมากและรับประกันความปลอดภัยที่มากขึ้นสำหรับข้อมูลที่ละเอียดอ่อน”, อธิบาย
⁇ ย่อๆ, ต้องต้องเสริมความคุ้มครองข้อมูลของลูกค้า, โดยดําเนินการมาตรการเพิ่มเติมเพื่อป้องกันการเข้าถึงที่ไม่ได้รับอนุญาต ⁇, อธิบายวากเนอร์ เอลียาส, ซีอีโอของคอนวิซโซ, พัฒนาโซลูชั่นเพื่อความปลอดภัยของแอพพลิเคชัน. “ไม่ใช่แค่เรื่องของการปรับตัวเมื่อจำเป็น”, มากกว่าการดำเนินการเชิงป้องกัน, โดดเด่น
ตามกฎใหม่, การดำเนินการเกิดขึ้นในสองขั้นตอน: ขั้นตอนแรก, ด้วยข้อกำหนดใหม่ 13 ข้อ, มีเส้นตายสุดท้ายในเดือนมีนาคม 2024. ระยะที่สอง, มากขึ้นเรื่อยๆ, รวม 51 ข้อกำหนดเพิ่มเติมและควรปฏิบัติตามให้เสร็จสิ้นภายในวันที่ 31 มีนาคม 2025. หมายความว่า,ผู้ที่ไม่เตรียมตัวอาจเผชิญกับบทลงโทษที่รุนแรง
เพื่อให้สอดคล้องกับข้อกำหนดใหม่, การดำเนินการหลักบางประการรวมถึง: การนำไปใช้ไฟร์วอลล์ระบบการป้องกันที่แข็งแกร่ง; ใช้การเข้ารหัสในการส่งและจัดเก็บข้อมูล; ติดตามและตรวจสอบการเข้าถึงและกิจกรรมที่น่าสงสัยอย่างต่อเนื่อง; ทดสอบกระบวนการและระบบอย่างต่อเนื่องเพื่อตรวจสอบช่องโหว่; สร้างและรักษานโยบายความปลอดภัยข้อมูลที่เข้มงวด
วากเนอร์เน้นย้ำว่า, ในทางปฏิบัติ, นี่หมายความว่าบริษัทใดก็ตามที่จัดการกับการชำระเงินผ่านบัตรจะต้องตรวจสอบโครงสร้างความปลอดภัยดิจิทัลทั้งหมดของตน. นี่เกี่ยวข้องกับการอัปเดตระบบ, เสริมสร้างนโยบายภายในและฝึกอบรมทีมงานเพื่อลดความเสี่ยง. “ตัวอย่างเช่น, อีคอมเมิร์ซจะต้องรับประกันว่าข้อมูลของลูกค้าจะถูกเข้ารหัสแบบปลายทางถึงปลายทางและเฉพาะผู้ใช้ที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้. เครือข่ายค้าปลีกจะต้องดำเนินการกลไกเพื่อติดตามความพยายามในการฉ้อโกงและการรั่วไหลของข้อมูลอย่างต่อเนื่อง, ยกตัวอย่าง
ธนาคารและฟินเทคจะต้องเสริมสร้างกลไกการตรวจสอบตัวตนของตนด้วย, ขยายการใช้เทคโนโลยีเช่นการระบุตัวตนด้วยชีวภาพและการตรวจสอบสิทธิ์หลายปัจจัย. “เป้าหมายคือการทำให้การทำธุรกรรมปลอดภัยยิ่งขึ้นโดยไม่ทำให้ประสบการณ์ของลูกค้าเสียหาย”. สิ่งนี้ต้องการความสมดุลระหว่างการปกป้องและการใช้งาน, สิ่งที่ภาคการเงินได้พัฒนาขึ้นในช่วงไม่กี่ปีที่ผ่านมา, โดดเด่น
แต่, ทำไมการเปลี่ยนแปลงนี้ถึงสำคัญนัก? ไม่ใช่เรื่องเกินจริงที่จะกล่าวว่าการฉ้อโกงทางดิจิทัลกำลังซับซ้อนมากขึ้นเรื่อยๆ. การรั่วไหลของข้อมูลอาจส่งผลให้เกิดความเสียหายหลายล้านและความเสียหายที่ไม่สามารถแก้ไขได้ต่อความไว้วางใจของลูกค้า.
วากเนอร์ เอลิอัสเตือนว่า “หลายบริษัทยังคงมีท่าทีที่ตอบสนองต่อสถานการณ์”, แค่กังวลเกี่ยวกับความปลอดภัยหลังจากที่เกิดการโจมตี. พฤติกรรมนี้น่าเป็นห่วง, เนื่องจากความผิดพลาดด้านความปลอดภัยอาจนํามาซึ่งความเสียหายทางการเงินที่สําคัญและเสียหายที่ไม่สามารถซ่อมแซมได้ต่อชื่อเสียงขององค์กร, ที่สามารถหลีกเลี่ยงได้ด้วยมาตรการป้องกัน
เขายังเน้นย้ำว่าการหลีกเลี่ยงความเสี่ยงเหล่านี้, ความแตกต่างใหญ่คือใช้ปฏิบัติของ Application Security (ความปลอดภัยของแอพพลิเคชัน) ตั้งแต่การเริ่มต้นของการพัฒนาของแอพพลิเคชันใหม่, การรับประกันว่าทุกขั้นตอนของวงจรการพัฒนาซอฟต์แวร์มีมาตรการป้องกันแล้ว. นี้รับรองการใส่มาตรการการป้องกันในทุกขั้นตอนของวงจรชีวิตของซอฟต์แวร์, การเป็นทางเลือกที่ประหยัดมากกว่าการแก้ไขความเสียหายหลังจากเกิดเหตุการณ์
ควรจำไว้ว่านี่เป็นแนวโน้มที่กำลังเติบโตทั่วโลก. ตลาดความปลอดภัยของแอปพลิเคชัน, ที่เคลื่อนไหว 11 ดอลลาร์สหรัฐ,62 พันล้านในปี 2024, ควรจะถึง 25 ดอลลาร์สหรัฐ,92 พันล้านจนถึงปี 2029, ตามที่ Mordor Intelligence
Wagner อธิบายว่าการแก้ปัญหาเช่น DevOps, อนุญาตให้แต่ละบรรทัดของโค้ดพัฒนาด้วยแนวปฏิบัติในการป้องกัน, นอกจากบริการเช่นการทดสอบการบุกรุกและการบรรเทาความเสี่ยงจากช่องโหว่. การทำการวิเคราะห์ความปลอดภัยและการทดสอบอัตโนมัติอย่างต่อเนื่องช่วยให้บริษัทต่างๆ ปฏิบัติตามมาตรฐานโดยไม่ลดทอนประสิทธิภาพ, โดดเด่น
นอกจากนี้, การให้คำปรึกษาที่เชี่ยวชาญมีความสำคัญในกระบวนการนี้, ช่วยเหลือบริษัทต่างๆ ในการปรับตัวให้เข้ากับข้อกำหนดใหม่ของ PCI DSS 4.0. “บริการที่มีการค้นหามากที่สุดคือการทดสอบการเจาะ”, ทีมแดงและการประเมินความปลอดภัยจากบุคคลที่สาม, ที่ช่วยในการระบุและแก้ไขช่องโหว่ก่อนที่จะถูกใช้ประโยชน์โดยอาชญากร, บัญชี
ด้วยการฉ้อโกงดิจิทัลที่ซับซ้อนมากขึ้นเรื่อยๆ, การมองข้ามความปลอดภัยของข้อมูลไม่ใช่ทางเลือกอีกต่อไป. บริษัทที่ลงทุนในมาตรการป้องกันรับประกันความปลอดภัยของลูกค้าและเสริมสร้างตำแหน่งของตนในตลาด. การนำแนวทางใหม่ไปใช้คือ, ก่อนอื่น, ขั้นตอนที่สำคัญในการสร้างสภาพแวดล้อมการชำระเงินที่ปลอดภัยและเชื่อถือได้มากขึ้น, สรุป