Les politiques et procédures de conformité

PCI-DSS

• Exigences PCI-DSS ont fusionné en 2006 comme un groupe collectif de politiques requises par cinq grands réseaux électroniques de détail des paiements internationaux: Visa, American Express, Discover, Mastercard et JCB (Japan Credit Bureau). Les 12 exigences de la norme PCI-DSS appliquent aux sociétés dans le secteur financier qui font des affaires avec l'un de ces cinq grandes compagnies de cartes de crédit et qui soit procédé, transmettent ou des numéros de cartes de crédit de magasin (également connu sous le nom "les données du titulaire de carte"). L'impulsion de PCI-DSS est de fournir des garanties contre le vol d'identité.

NERC-CIP

• 
  
  
  

  Les normes CIP mandatés par le NERC sont en place pour aider à protéger le système d'alimentation en Amérique du Nord. Les services publics de production d'électricité et revendeurs de puissance sont soumis à ces normes. Les normes 18 (toutes les entités ne sont soumis à toutes les normes) sont similaires à PCI-DSS, dans la mesure où ils régissent la façon dont un réseau doit être configuré et où les actifs informatiques critiques doivent être situé et accessible (par opposition aux titulaires de cartes de données ).

Sanctions pour non-conformité

• 
  
  
  
  

  Les pénalités pour avoir omis de se conformer à la norme PCI-DSS sont simples: si une entreprise est jugée non conforme, ils perdront leur relation d'affaires avec les cartes VISA, Mastercard, etc. Pour les entreprises dont l'activité est le traitement de transactions financières, leur gagne-pain est prise un moyen. Sanctions financières NERC institue pour entreprises trouvées pour ne pas être en conformité. Les amendes peuvent peuvent être aussi élevées que 1 million de dollars par jour pour les entreprises flagrante de respect.

Autres politiques et procédures de conformité

• Il ya plusieurs autres normes, exigences, politiques et procédures que les organisations doivent suivre pour protéger les données dans cette ère de l'électronique. Certains d'entre eux comprennent:

• Sarbanes-Oxley (SOX): États-Unis directives fédérales régissant l'obligation de rendre compte aux finances corporatives et d'audit.
• Statement on Auditing Standards No. 70 (SAS70): Les normes d'audit pour les auditeurs. Ces normes peuvent demander à la crise financière ainsi que les industries de la sécurité informatique.
• Health Insurance Portability and Accountability Act (HIPAA): États-Unis lignes directrices fédérales décrivant comment les fournisseurs médicaux et d'autres doivent protéger les données médicales d'un patient.

Comment se conformer

• Typiquement, il ya deux parties à passer un PCI-DSS ou NERC-CIP vérification de la conformité: la documentation et la mise en œuvre technique. La dernière partie se fait par le service informatique d'une organisation avec des orientations généralement d'un vérificateur ("QSA," dans le monde PCI-DSS). La documentation est généralement assurée par les rédacteurs techniques, mais ces normes sont donc relativement nouveau qu'il est difficile de trouver un écrivain qui a fait l'expérience par écrit à ces politiques. Le PCI Guy, en ligne à https://thepciguy.com, est un cabinet de conseil de la documentation technique qui se spécialise dans l'écriture PCI-DSS, NERC-CIP et la documentation de conformité SOX.