Директор проектов банка ВТБ Ян Коршунов на треке «Спасёт ли Искусственный Интеллект? Новые технологии по защите данных», состоявшемся на конференции «Защита данных: сохранить всё» 23 октября, рассказал о защите карточных данных.
Основным атрибутом карточных данных является номер карты, и его необходимо охранять, подчеркнул эксперт. Он объяснил, что при хищении ПДн прямые финансовые потери являются редкими, а если украли номер карты, то проблемы будут реальными.
«Номера карты вполне достаточно, чтобы по карте сделать списание. В одном из банков, где я работал, мы провели эксперимент. Я сделал виртуальную карту, положил на неё 1000 рублей и попросил аудиторскую компанию, содержащую личных хакеров в составе своего персонала, украсть с неё деньги. Они это сделали в течение одного дня. Деньги были списаны. На мои средства был куплен гель для душа в одном из американских магазинов. Причём, это все было запротоколировано: все способы и технологии, которые они использовали», — привёл пример Коршунов.
Также эксперт рассказал о доступных способах защиты номера карты. Самый простой и распространённый — это маскирование, когда часть цифр заменяется на звездочки или крестики.
«Все знакомы с этим способом, потому что получали чек в магазине, где последние четыре цифры карта оставались цифрами, а перед этим указываются другие значения. Точно такая же картина, если зайти в банк-клиент: видны только последние четыре цифры, а перед ними стоят заменители».
По словам спикера, зачастую путают два способа защиты карты — маскирование и усечение. Усечение — это когда информация хранится в базе данных в заранее усечённом виде, то есть когда системе полный номер вообще не нужен.
«Еще один подход к защите номера карты — шифрование, когда номер карты превращается в нечто непонятное, от номера карты ничего не остается, есть только какая-то зашифрованная последовательность», — продолжил Ян Коршунов.
«Сложность здесь в том, что многие не отдают себе отчёт, что вместе с шифрованием всегда присутствует управление ключами шифрования. Даже если я зашифровал информацию, ключ доступа я предоставляю и другим пользователям. Это означает, что я должен контролировать, как он или они (если речь идет о нескольких людях) обращаются с ключами. Однако тайна, известная двум — уже не тайна», — заключил эксперт.
