שחר גייגר-מאור, STKI: "ישראל מפגרת ביישום תקן PCI בהשוואה למדינות החברות ב-OECD"

"תחום אבטחת כרטיסי האשראי תפס נפח חשוב בסדר היום של עולם אבטחת המידע בשנים האחרונות, בשל פריצות בהיקף רחב שהביאו לגניבת מידע של כרטיסי אשראי ולגרימת נזק רב לרבים. לכן החליטו חברות האשראי הגדולות בעולם למסד תקן לתחום, PCI. לצערי, ישראל מפגרת ביישום תקן PCI לעומת מדינות OECD", כך אמר שחר גייגר-מאור, אנליסט לתחום אבטחת המידע ב-STKI. גייגר-מאור דיבר בסדנה למוצרי אקטיב-בייס (Activebase) שערכה NessPRO ללקוחותיה. הסדנה נערכה הבוקר (ב') בבניין נס טכנולוגיות שבקרית עתידים בתל אביב.

לדברי האנליסט, תקן PCI מיועד לכל גוף המעביר, מעבד או שומר נתונים של כרטיסי אשראי, והוא כולל תריסר דרישות שונות בהיבטי אבטחת מידע ומימוש מדיניות אבטחה. מטרת התקן, הסביר, היא להעביר חלק מהאחריות מחברות האשראי ללקוחות. לדבריו, "מי שאינו פועל על פי התקן, עלול לעמוד בפני סנקציות שונות". הוא ציין, כי חברות כרטיסי האשראי המקומיות פועלות לאכיפת התקן גם בארץ, אלא שלמרות זאת, "ישראל מפגרת בקידומו".

צילום ועריכת וידיאו: עדי רמלר

גייגר-מאור ציין, כי "קיימת בעיה קשה ביישום התקן, שהיא ממש פרדוקס". לדבריו, מספיק שטלאי אחד לא יהיה מעודכן במערכת ה-IT של הלקוח, והרי באופן מיידי הארגון מצוי במצב בו הוא אינו עומד בתקן. זאת, אפילו אם הוא השקיע בתחום השקעה בת עשרות מיליוני שקלים. המדובר בבעיה אמיתית של ארגונים".

יגאל יחיה, מנהל חטיבת תשתיות ב-NessPRO, אמר, כי "קיים צורך בהגנה על הנתונים שבכרטיסי האשראי של לקוחות. הצורך העסקי הזה, לצד החובה לעמוד בתקנות ובחוקים שונים הנוגעים לתחום, מקבל מענה על ידי פתרונות התוכנה של אקטיב-בייס, המאפשרים מעקב והפעלה של מדיניות אבטחה אקטיבית על גישה לבסיסי הנתונים בארגון".

יחיה הוסיף, כי כיוון שאקטיב-בייס היא חברה ישראלית, "הדבר מאפשר סינרגיה טובה ומעמיק את שיתוף פעולה בינינו, ומביא לשיפור של יכולות הפיתוח של המוצר, על ידי קבלת משוב מהלקוחות בשוק המקומי".

אלון רוזנטל, סמנכ"ל מכירות באקטיב-בייס, אמר, כי "הפתרון שלנו בעולם האבטחה מפעיל חוקי הגנה ומיסוך, הצפנה ומידור על הבקשות של המשתמשים – בזמן אמת, ללא צורך בשינוי קוד היישום. הפתרון קל ופשוט, ומסוגל להגן על עשרות יישומים ובסיסי נתונים בהתקנה בודדה". הוא הוסיף, כי "המערכת מאפשרת מיסוך דינמי על נתונים רגישים המוצפנים בתקן PCI".

רוזנטל ציין, כי "בקשות ודו"חות נבדקים בזמן אמת, לצורך ביקורת, מיסוך נתונים רגישים – כגון מספרי כרטיס אשראי, הצפנה ואף חסימה. ניהול השאילתות מבוצע באופן מרוכז על ידי הגדרת חוקים, בעזרת ממשק נוח". הוא הוסיף, כי "הפתרון מכיל מנגנוני זיהוי משתמשים ביישומים מרקובי שכבות".

מוצר ActiveSecurity, אמר רוזנטל, כולל יכולת של הגדרת חוקי אבטחה, אשר מיושמים באופן מיידי, בלא שנדרש לשנות קוד, או לבצע שינויים בבסיס הנתונים או במערכות ה-IT". הוא סיים בציינו, כי לחברה לקוחות בעולם ואף בארץ, ביניהם פרטנר, פלאפון, סלקום, הבנק הבינלאומי, מזרחי טפחות, כלל ביטוח ועוד.

דוברים נוספים באירוע היו בני חייט – מנהל פעילות אינטגרציה בתחום מערכות היקפיות ב-NessPRO ודגנית בודק – מנהלת תחום מערכות היקפיות ב-NessPRO. זוהר אושרת מפרטנר סיים בהצגת סיפור לקוח.