أجهزة نقاط البيع (POS) تتعرض للاختراق؟ مدى أمان بيانات بطاقات الائتمان؟

لو الـ POS موديل قديم غيّره واشتري جهاز جديد. اسأل الشركة عن التوافق مع PCI-DSS، هم عارفين. خلي بيانات الكروت مشفرة، والاقتطاع في الإيصالات (اعرض 1234، واخفي الباقي). اعمل تحديث للـ Firmware بانتظام...

متطلبات PCI-DSS: 1) تقسيم الشبكة (الـ POS → شبكة الدفع)، 2) قواعد جدار الحماية (منافذ للـ POS فقط)، 3) التشفير (AES-256، TLS 1.2+)، 4) التحكم في الوصول (باسورد قوي، إدارة المفاتيح)، 5) فحص الثغرات (ربع سنوي)، 6) كشف التسلل، 7) الاحتفاظ بالبيانات (تقليل الحد الأدنى)، 8) خطة الاستجابة للحوادث. سوفت وير التيرمينال: راجع تحديثات Firmware لأجهزة Verifone و Ingenico. الرمز المميز (Tokenization): معالج الدفع يدير الـ Token، والـ POS ما يخزنش رقم الكرت في الميموري. خطر وضع الأوفلاين: تأخير في تسوية الدفعات، وخطر استرداد المبالغ (Chargeback) عالي.

متستخدمش الـ POS القديم يا ريس، تيرمينالات EMV لسنة 2024 رخيصة جداً. طيب لو هتعمل توافق مع PCI-DSS اسأل معالج الدفع بتاعك، هم كمان هيساعدوك. خلي بيانات الكروت مشفرة ومحمية بالـ Token — رقم الكرت الحقيقي ما يبان في أي مكان. لو هتبيع الجهاز لازم تعمل مسح آمن، وخد شهادة ضمان...

طبقات أمان أجهزة نقاط البيع: 1) العتاد (مقاومة العبث، الإقلاع الآمن)، 2) البرمجيات (نظام تشغيل موقع، تحديثات موثقة)، 3) الاتصال (TLS 1.2+، تثبيت الشهادة)، 4) البيانات (التشفير، الرمز المميز، إدارة المفاتيح)، 5) الامتثال (التقييم الذاتي PCI-DSS، SAQ، التدقيق). الانتقال: من جهاز قديم إلى جديد، ترحيل البيانات (تنظيف الجهاز القديم). الحادثة: اختراق البطاقات → إشعار PCI، إشعار الاختراق، التحقيق الجنائي.

20 سنة خبرة في إدارة أجهزة نقاط البيع، أكبر خطأ هو استخدام العتاد القديم. أجهزة الطرف القديمة لا تتلقى تحديثات أمنية، فتصبح هدفاً للبرمجيات الخبيثة. جهاز جديد (شريحة + دفع بدون تلامس، مع ترميز) + شبكة VLAN مناسبة + تدقيق PCI = آمن. إذا لم تخزن بيانات البطاقة على الجهاز، لن تكون هدفاً للمخترقين.

ليس لدي خبرة في أمان أجهزة نقاط البيع، لذا أسأل. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. يعني الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.

انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

حدث معي العكس تماماً، لذلك أكتب هذا. القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر.

دعني أتركها كملاحظة، قد تكون مفيدة.

سأجمع الموضوع، لأن هناك عدة إجابات مختلفة. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

لو كنت مكانك، لسلك هذا المسار.

أحسنت في فتح هذا العنوان.

يجب أن نسير بالترتيب. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

سأكون ممتنًا لو شاركت النتيجة.

أود طرح سؤال. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. مثبت بالتجربة.

تم الحفظ.

سأكتب ما حدث لي، ربما يفيدكم. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

هذا كل شيء، أرجو المعذرة إذا أطالت.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنا مشروع صغير، دعوني أشرح من منظوري. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

سأكتب ما حدث لي، ربما يفيدكم. على كل حال الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

دعني أتركها كملاحظة، قد تكون مفيدة.