PCI-undersøkelse finner noen kjøpere ikke bruk antivirusprogramvare

Undersøkelsen, som omfattet 560 amerikanske og multinasjonale organisasjoner, spurte respondentene en rekke spørsmål om deres investeringer og distribusjon av teknologi for å overholde PCI DSS, som ble introdusert i 2005. Det er en industristandard opprettet av store kredittkortselskaper som er utformet for å beskytte kundens betalingsdata.

Undersøkelsen fant at 55 prosent av organisasjonene bare sikret kredittkortinformasjon, men ikke andre data som trygd og trygd vers lisensnummer eller bankkontooplysninger. Også, bare 28 prosent av mindre selskaper mellom 501 og 1000 ansatte overholder PCI DSS. Det sammenligner med mer enn 70 prosent av de store handlerne med 75 000 eller flere ansatte som hevdet at de er kompatible.

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

"Hvis du går de større organisasjonene å gjøre forretninger, er du mer sannsynlig å være sikker i dag, sier Amichai Shulman, CTO for Imperva, som gjør sikkerhetsprogramvare for bedrifter å overholde PCI DSS. Imperva bestilt undersøkelsen fra Ponemon Institute, et selskap som driver forskning i personvern og informasjonssikkerhet.

Hovedårsaken til at selskapene ikke overholder PCI DSS er kostnad, sier Shulman. "De går ikke for å forsøke å være kompatible fordi det er alt eller ingenting, slik at de for øyeblikket ikke gjør noe," sa Shulman.

Større selskaper synes det er litt enklere å håndtere kostnadene, sa han. I gjennomsnitt bruker bedrifter rundt 35 prosent av sine IT-sikkerhetsbudsjetter for PCI DSS-overholdelse.

Betalingsskortselskaper påtar seg overholdelse, og de fleste selgere skal i dag være i samsvar med informasjonen på PCI Security Standards Councils nettsted.

Undersøkelsen viste noen andre foruroligende resultater. Omkring 10 prosent av respondentene som sa at de var PCI DSS-kompatible sa at de ikke brukte grunnleggende sikkerhetsprogramvare som antivirus, brannmurer og SSL (Secure Sockets Layers), sier Shulman.

PCI foreskriver ikke bruk av spesifikke programvareprodukter, men i stedet fremmer praksis og generelt råd, for eksempel bruk av brannmur og antivirus. I de senere år har leverandørene utviklet produkter for å gjøre implementeringen av PCI DSS enklere. Resultatet var fortsatt overraskende og tyder på at det kanskje fortsetter forvirring eller vanskeligheter noen bedrifter har med PCI DSS.

"Jeg vil finne det veldig vanskelig å forklare hvorfor jeg ikke bruker SSL som en del av PCI-samsvaren min," Shulman sa. "Jeg synes det er for mye plass for feilfortolkning av kravet, og selskaper misbruker det."

PCI DSS er i ferd med å bli oppdatert, og undersøkelsen vil bli brukt som input. PCI Security Standards Council, som ble opprettet av store kredittkortselskaper i 2006, samler tilbakemelding gjennom 31. oktober om endringer i en ny versjon av standarden, som skal utgis i september 2010.