調查：支付卡資料安全標準遵循成效不彰

提供資料庫及應用程式安全的Imperva委由Ponemon Institute進行支付卡產業資料安全標準（Payment Card Industry's Data Security Standard，PCI DSS）的遵循程度調查，發現有71%的受訪者並不認為他們的公司將資料安全視為最優先的政策，而有79%表示該公司曾發生資料外洩。

該調查是針對517名美國及其他國家參與該公司PCI遵循任務的IT人員，調查發現，有71%受訪者並不認為他們公司把資料安全視為首務，有55%不相信他們的執行長強力支援PCI DSS遵循任務，也有52%不相信他們的公司積極管理隱私及資料保護風險。

另有56%的受訪者不認為遵循PCI DSS會改善公司的資料安全局勢，也有60%表示公司沒有足夠的資源來符合PCI DSS的要求。

不過，仍有75%的受訪者表示他們的公司或多或少有遵循相關標準，例如有28%表示公司內部多數的應用程式及資料庫符合該標準，有25%表示只有部份的應用程式及資料庫符合該標準，另有22%表示企業內部所有的應用程式及資料庫皆達到PCI DSS的要求。

由於PCI只解決對信用卡資訊的保護，因此有55%的受訪者坦承他們的公司並未保護其他的資訊，包括社會安全碼、駕照序號、銀行帳號資訊或其他個人資料等。

此外，有79%的受訪者表示他們的公司曾經遭遇資料外洩問題，而且其中只有64%曾經公開揭露相關資訊，有36%甚至未盡告知義務。

至於是誰負責該公司的PCI DSS遵循政策，IT安全負責人佔32%，執行長佔19%，法務佔15%，沒有人在負責也佔21%。

受訪者認為最具成本效益的PCI DSS技術為防火牆、防毒及反惡意程式解決方案，以及資料加密等，該調查亦顯示，企業平均花費1/3的IT安全預算在PCI上，根據估計，企業每年平均IT安全預算為1500萬美元，代表PCI預算為500萬美元。

Ponemon Institute指出，高成本是企業未遵循PCI DSS的主因，另一方面，IT安全部門也會以PCI為籌碼來爭取更多的預算，但這些預算實際上並未被用於保護客戶資訊。（編譯/陳曉莉）