Стандарт защиты данных кредитных карт

Стандарт защиты данных кредитных карт (Payment Card Industry Data Security Standard, PCI) был разработан компаниями VISA и MasterCard. Данный стандарт определяет требования для хранения, передачи и обработки информации владельца карточки. В большей части данный стандарт связан с вопросами конфиденциальности и аутентификации, равно как и с регистрацией и аудитом. Закон GLBA (Gramm-Leachy Bliley Act) был издан в 1999 году в целях гарантирования правильной обработки информации в случае сбоев компьютерных систем финансовых организаций. Данный закон предоставляет федеральным агентствам право создания и администрирования правил защиты индивидуальной финансовой безопасности и страхования. В нем установлены стандарты процессов обеспечения целостности данных, протоколирования и аудита операций. Принятый в штате Калифорния закон SB 1386 определяет требования для местных компаний; он требует обеспечения конфиденциальности информации о клиентах, такой как номера карточек социального страхования, водительских прав, банковских счетов и т. д. Стандарт BASEL II был принят комитетом Basel — консорциумом центральных правительственных банков множества стран. Большей частью он определяет международные стандарты измерения банковских капиталов и предназначен для профессионалов в этой сфере. Среди прочего, он требует исключить утечку информации, неавторизированные транзакции и несанкционированные изменения системных настроек, а также диктует недопустимость остановки системы вследствие аппаратных или программных сбоев. В стандарте SQL предусмотрен только ограниченный список механизмов обеспечения информационной безопасности. Для управления доступом к объектам базы данных и свойствам системы предусмотрены только две инструкции: предоставления привилегий (GRANT) и их отзыва (REVOKE). Реляционным базам данных нужна боле надежная система обеспечения защиты информации, которую разные производители СУБД реализуют собственным, нестандартным путем. Существует несколько глобальных уровней защиты: аутентификация, авторизация и аудит. Насчитывается множество технологий защиты информации на этих базовых уровнях. Все СУБД придерживаются принципа, что каждый пользователь может выполнять строго определенный набор действий с данными. В рассматриваемых в книге трех ведущих СУБД используется концепция Авторизаций или Ролей для группового управления привилегиями. Роли могут быть фиксированными (т. е. определенными в системе) или определяемыми пользователями.