Шифрование данных: как работает и зачем нужно

Шифрование защищает данные, когда передача, хранение, ключи, доступ и повседневная работа спроектированы как единая система.

Сначала классифицируйте платёжные данные

Выделите карточные данные, идентификаторы платежей, учётные данные провайдеров, информацию о клиентах, callback, отчёты и рабочие вложения. Решите, что необходимо хранить, что можно токенизировать и что никогда не должно попадать в логи, обращения или аналитику.

Защищайте данные при передаче и хранении

Используйте защищённые соединения с проверкой подлинности между системами мерчанта, PayStar и PSP. Защищайте хранимые данные с учётом их чувствительности. Опишите, где завершается шифрованное соединение и какие системы видят открытый текст. Шифрование не отменяет контроль доступа и сокращение объёма собираемых данных.

Управляйте ключами как основным средством контроля

Определите, кто может создавать, получать, менять, отзывать и восстанавливать ключи или секреты. Фиксируйте исполнителя каждой привилегированной операции и отделяйте рабочие учётные данные от тестовых сред. Данные доступа к провайдеру нельзя публиковать в документации или копировать в открытые каналы поддержки.

Сильные алгоритмы не компенсируют бесконтрольные ключи, избыточные права или копирование чувствительных данных в неподходящий рабочий процесс.

Безопасно сохраняйте данные для расследований

Поддержке и финансам всё равно нужны исходные данные провайдера для расследований и сверки. Сохраняйте минимально необходимые поля, ограничивайте доступ и ведите журнал действий, чтобы сотрудники могли выполнить задачу без лишнего раскрытия чувствительных данных.