PCI-undersøgelse finder, at nogle forhandlere ikke bruger antivirusprogrammer

Forbrugerne står over for en større risiko for at miste kontrollen med deres data, når de handler med mindre detailhandlere, da mange ikke har foretaget investeringer for at overholde betalingskortindustriens datasikkerhedsstandard (PCI DSS), ifølge en ny undersøgelse.

Undersøgelsen, der omfattede 560 amerikanske og multinationale organisationer, stillede respondenterne en række spørgsmål om deres investeringer og implementering af teknologi for at overholde PCI DSS, som blev indført i 2005. Det er en industristandard skabt af større kreditkortselskaber, der er designet til at beskytte kundens betalingsdata.

Undersøgelsen viste, at 55 procent af organisationerne kun sikrede kreditkortoplysninger, men ikke andre data som social sikring og drivere ver's licensnumre eller bankkontooplysninger. Endvidere overholder kun 28 procent af de mindre virksomheder mellem 501 og 1.000 ansatte PCI DSS. Det sammenligner med mere end 70 procent af de store købmænd med 75.000 eller flere medarbejdere, der hævder at de er i overensstemmelse.

[Yderligere læsning: Sådan fjerner du malware fra din Windows-pc]

"Hvis du går de større organisationer til at gøre forretninger, er du mere tilbøjelige til at være sikker i dag, "siger Amichai Shulman, CTO for Imperva, som gør sikkerhedssoftware til virksomhederne til at overholde PCI DSS. Imperva bestilte undersøgelsen fra Ponemon Institute, et firma, der gennemfører forskning i privatlivets fred og informationssikkerhedspolitik.

Den primære grund til, at virksomheder ikke overholder PCI DSS, er omkostninger, siger Shulman. "De går ikke i bestræbelserne på at være kompatible, fordi det er alt eller ingenting, så de for øjeblikket ikke gør noget," sagde Shulman.

Større virksomheder finder det noget nemmere at håndtere omkostningerne, sagde han. I gennemsnit bruger virksomheder omkring 35 procent af deres it-sikkerhedsbudgetter ved overholdelse af PCI DSS.

Betalingsvirksomheder mandat overholdelse, og de fleste handlende skal i dag overholde oplysningerne på PCI Security Standards Councils websted.

Undersøgelsen viste nogle andre foruroligende resultater. Omkring 10 procent af respondenterne, der sagde, at de var PCI DSS-kompatible, sagde, at de ikke brugte grundlæggende sikkerhedssoftware som antivirus, firewalls og SSL (Secure Sockets Layers), siger Shulman.

PCI foreskriver ikke anvendelse af specifikke softwareprodukter, men fremmer i stedet praksis og generel rådgivning, såsom brugen af ​​en firewall og antivirus. I de seneste år har leverandører udviklet produkter for at gøre implementeringen af ​​PCI DSS lettere. Resultatet var stadig overraskende og tegn på måske forvirring eller vanskeligheder, som nogle virksomheder har med PCI DSS.

"Jeg finder det meget svært at forklare, hvorfor jeg ikke bruger SSL som led i min PCI-overholdelse," Shulman sagde. "Jeg synes, at der er for meget plads til fejlfortolkning af kravet, og virksomheder misbruger det."

PCI DSS er ved at blive opdateret, og undersøgelsen vil blive brugt som input. PCI Security Standards Council, der blev oprettet af større kreditkortselskaber i 2006, indsamler tilbagemelding til 31. oktober om ændringer til en ny version af standarden, der forventes frigivet i september 2010.