Цифровые платежи в Казахстане становятся повседневной инфраструктурой бизнеса. Банки и финтех-компании развивают мобильные сервисы, подключают новых технологических партнеров и ускоряют запуск продуктов. Вместе с этим усложняется путь платежных данных и растет значение контроля на каждом его этапе.
Почему наличие договора с провайдером не гарантирует безопасность, как карточные данные оказываются в неожиданных местах и чем непрерывное соответствие PCI DSS отличается от подготовки к ежегодной проверке, рассказал Михаил Герцен, QSA-аудитор международной компании Compliance Control.
— Казахстан – один из наиболее динамичных платежных рынков региона. Как меняется подход финансовых организаций к защите данных на фоне развития цифровых сервисов?
— Долгое время в Центральной Азии приоритет отдавался удобству пользователей и скорости вывода карточных продуктов на рынок. В условиях конкуренции и активного роста безналичных платежей вопросы информационной безопасности нередко отходили на второй план. Архитектурные решения принимались исходя из бизнес-задач, а защиту данных прорабатывали уже после внедрения новых сервисов.
За последнее десятилетие ситуация заметно изменилась. Центральные банки Казахстана, Узбекистана и Кыргызстана последовательно ужесточают требования к защите платежных данных. Одновременно растет квалификация специалистов по информационной безопасности, компании выстраивают более зрелые процессы контроля.
Но скорость развития платежных технологий по-прежнему остается вызовом. Особенно это заметно в мобильных платежах: новые продукты порой выходят на рынок быстрее, чем организации успевают внедрить необходимые механизмы защиты. Это не исключительно региональная проблема, однако высокая доля мобильных операций делает ее особенно актуальной для Центральной Азии.
— На практике где возникают наиболее существенные пробелы: в технологиях или в организации процессов?
— Часто проблемы связаны именно с взаимодействием разных участников платежной инфраструктуры. В наших проектах мы регулярно сталкиваемся с недостаточно проработанными договорами с поставщиками услуг, слабой сегментацией зон обработки платежных данных, отсутствием внутренних аудитов и формальным управлением изменениями.
Михаил Герцен, QSA-аудитор компании Compliance Control
Значительная часть ошибок обнаруживается при анализе работы с сервис-провайдерами: процессинговыми центрами и поставщиками платежных услуг. Распространено заблуждение, что наличие договора между организациями само по себе исключает риски. Между тем вопросы шифрования каналов связи, аутентификации при обмене файлами, передачи криптографических ключей или действий при компрометации данных нередко остаются за рамками соглашений.
В результате ответственность сторон на отдельных этапах обработки платежной информации определена недостаточно четко. Технические решения могут оставаться на усмотрение администраторов, которые действуют исходя из собственного опыта. Поэтому при оценке защищенности важно разбираться не только в отдельной системе, но и в том, как организован обмен данными между участниками процесса.
— Может ли компания неверно определять даже то, где именно обрабатываются и сохраняются платежные данные?
— Да, практика показывает, что такие данные могут находиться в неожиданном формате. Один из проектов был связан с аудитом компании, которая принимала оплату по телефону. Во время разговора клиент сообщал номер карты или другую информацию, необходимую для транзакции.
Обычно платежные данные ищут в файлах, базах данных и журналах событий. Здесь они сохранялись в звуковом формате, в записях разговоров. Это потребовало нестандартных способов защиты.
Такой пример хорошо показывает ограничения формального подхода. Недостаточно знать перечень требований PCI DSS: нужно понимать реальные бизнес-процессы заказчика и то, как в них перемещаются и сохраняются платежные данные. Только тогда можно корректно применять требования стандарта к конкретной инфраструктуре.
— Если у организации уже есть процедуры PCI DSS, почему соответствие стандарту нельзя рассматривать как задачу, решенную после очередного аудита?
— Формальное выполнение требований непосредственно перед проверкой – одна из основных причин сложностей при сертификации. Соответствие PCI DSS не должно сводиться к закрытию пунктов чек-листа раз в год.
Компании со зрелыми ИТ- и ИБ-процессами включают регулярные внутренние проверки в повседневную работу. Для них соблюдение стандарта – не отдельная кампания перед аудитом, а часть постоянного обеспечения безопасности.
Одна из задач аудитора - помочь организациям, которые только выстраивают такие процессы, перейти к непрерывному соблюдению требований. Это особенно важно там, где активно развиваются платежные продукты и меняется технологическая инфраструктура.
— На рынке много консультантов по информационной безопасности. Что для заказчика означает работа с QSA-аудитором и компанией, имеющей статус QSA Company?
— QSA (Qualified Security Assessor) – это квалификация специалиста, который вправе проводить аудиты PCI DSS и подписывать отчетные документы по их результатам. Другие специалисты также могут участвовать в проверке, но самостоятельно заверять итоговый отчет не вправе. Документация дополнительно проходит контроль качества, после чего передается заказчику и при необходимости направляется в международные платежные системы.
Здесь действует система требований сразу к двум сторонам. Организация должна иметь статус QSA Company, а специалист – индивидуальную квалификацию QSA. Для заказчика это означает, что компетенции аудитора признаны Советом по стандартам безопасности индустрии платежных карт, причем требования предъявляются не только к человеку, но и к аудиторской компании.
Однако сама по себе квалификация не заменяет практического опыта. Аудитор должен разбираться в сетевой безопасности, защите приложений, технических средствах защиты и особенностях PCI DSS, понимать процессинг и взаимодействие эквайеров, эмитентов, торгово-сервисных предприятий и международных платежных систем. Без этого трудно оценить, как требования стандарта применяются к реальным платежным процессам.
— Compliance Control работает с заказчиками из разных стран. Что дает такой опыт при оценке платежной инфраструктуры компаний Центральной Азии?
— Большинство моих заказчиков работают в Центральной Азии или связаны с этим регионом. Есть также проекты с компаниями из России и Европы. У европейских организаций собственные регуляторные требования, а уровень зрелости процессов информационной безопасности в среднем выше.
Работа с разными рынками позволяет видеть, как компании выстраивают контроль и где возникают зоны для улучшения. При этом особенно важна готовность самой организации развивать процессы безопасности. Результат аудита ценен не только подготовленным отчетом: важно, чтобы после проекта заказчик мог последовательно улучшать существующие подходы.
— QSA отвечает своей квалификацией за итоговую оценку. Как устроена ответственность аудитора и компании?
— На сайте Совета PCI можно найти QSA-аудитора и его организацию по имени или уникальному идентификатору, а также оставить обратную связь о работе. При отрицательном отзыве Совет может провести внеочередную проверку.
Если будут выявлены нарушения Кодекса этики или других обязательных требований, последствия могут затронуть как специалиста, так и компанию, вплоть до потери права проводить аудиты. Поэтому принципиальное значение имеют качество проверки, корректное взаимодействие с заказчиком и соблюдение профессиональных требований.
— Какие направления защиты платежной инфраструктуры будут требовать особого внимания по мере развития новых технологий?
— Рынок меняется быстро: развиваются облачные сервисы, искусственный интеллект, способы обработки и защиты данных. При этом нельзя упускать сложные, уже существующие направления платежной безопасности.
Один из примеров – PCI PIN Security, связанный с криптографией: устройством криптографических модулей и защитой PIN-данных. Для оценки по этому стандарту необходима отдельная квалификация QPA. В Compliance Control уже есть эксперты с такой квалификацией.
Отдельное направление – безопасность облачной архитектуры. По мере усложнения платежных систем специалисты должны постоянно углублять техническую экспертизу. В информационной безопасности невозможно однажды освоить все необходимое и остановиться: меняются технологии, инфраструктура и риски.
Для банков и финтех-компаний Казахстана защита платежных данных все меньше сводится к отдельным техническим мерам или подготовке к очередному аудиту. На первый план выходят непрерывное соблюдение требований, контроль взаимодействия с поставщиками услуг и понимание того, как устроена вся цепочка обработки данных.
Именно эти вопросы, наряду с актуальными регуляторными требованиями, защитой информационных систем и новыми сценариями применения ИИ в безопасности, будут обсуждаться 21 октября в Алматы на международной конференции «Финтех в безопасности 2026», организованной компаниями Compliance Control & Rakasta.