Стандарт Банка России № СТО БР ИББС-1.0-2014 от 01.06.2014

9.5.1
Defined Approach Requirements: 
POI devices that capture payment card data via direct physical interaction with the payment card form factor are protected from tampering and unauthorized substitution, including the following:

Customized Approach Objective:
The entity has defined procedures to protect and manage point of interaction devices. Expectations, controls, and oversight for the management and protection of POI devices are defined and adhered to by affected personnel. 

Applicability Notes:
These requirements apply to deployed POI devices used in card-present transactions (that is, a payment card form factor such as a card that is swiped, tapped, or dipped). 
This requirement is not intended to apply to manual PAN key-entry components such as computer keyboards. This requirement is recommended, but not required, for manual PAN key-entry components such as computer keyboards. 
This requirement does not apply to commercial offthe-shelf (COTS) devices (for example, smartphones or tablets), which are mobile merchant-owned devices designed for mass-market distribution. 

Defined Approach Testing Procedures:

Purpose:
riminals attempt to steal payment card data by stealing and/or manipulating card-reading devices and terminals. Criminals will try to steal devices so they can learn how to break into them, and they often try to replace legitimate devices with fraudulent devices that send them payment card data every time a card is entered. 
They will also try to add “skimming” components to the outside of devices, which are designed to capture payment card data before it enters the device—for example, by attaching an additional card reader on top of the legitimate card reader so that the payment card data is captured twice: once by the criminal’s component and then by the device’s legitimate component. In this way, transactions may still be completed without interruption while the criminal is “skimming” the payment card data during the process. 

Good Practice:
Additional best practices on skimming prevention are available on the PCI SSC website. 

9.5.1.2.1
Defined Approach Requirements: 
The frequency of periodic POI device inspections and the type of inspections performed is defined in the entity’s targeted risk analysis, which is performed according to all elements specified in Requirement 12.3.1. 

Customized Approach Objective:
POI devices are inspected at a frequency that addresses the entity’s risk. 

Applicability Notes:
This requirement is a best practice until 31 March 2025, after which it will be required and must be fully considered during a PCI DSS assessment. 

Defined Approach Testing Procedures:

Purpose:
Entities are best placed to determine the frequency of POI device inspections based on the environment in which the device operates. 

Good Practice:
The frequency of inspections will depend on factors such as the location of a device and whether the device is attended or unattended. For example, devices left in public areas without supervision by the organization’s personnel might have more frequent inspections than devices kept in secure areas or supervised when accessible to the public. In addition, many POI vendors include guidance in their user documentation about how often POI devices should be checked, and for what – entities should consult their vendors’ documentation and incorporate those recommendations into their periodic inspections. 

A.11.2.4 Техническое обслуживание оборудования 
Мера обеспечения информационной безопасности: Должно проводиться надлежащее техническое обслуживание оборудования для обеспечения его непрерывной доступности и целостности 

9.5.1.2.1
Определенные Требования к Подходу:
Частота периодических проверок устройств POI и тип выполняемых проверок определяются в целевом анализе рисков организации, который выполняется в соответствии со всеми элементами, указанными в Требовании 12.3.1.

Цель Индивидуального подхода:
Устройства POI проверяются с частотой, учитывающей риск организации.

Примечания по применению:
Это требование является наилучшей практикой до 31 марта 2025 года, после чего оно станет обязательным и должно быть полностью рассмотрено во время оценки PCI DSS.

Определенные Процедуры Тестирования Подхода:

Цель:
Организации имеют наилучшие возможности для определения частоты проверок POI-устройств в зависимости от среды, в которой работает устройство.

Надлежащая практика:
Частота проверок будет зависеть от таких факторов, как местоположение устройства и то, находится ли оно под наблюдением или без присмотра. Например, устройства, оставленные в общественных местах без присмотра персонала организации, могут подвергаться более частым проверкам, чем устройства, хранящиеся в безопасных зонах или под наблюдением, когда они доступны для общественности. Кроме того, многие поставщики POI включают в свою пользовательскую документацию указания о том, как часто и для чего следует проверять устройства POI – организациям следует ознакомиться с документацией своих поставщиков и включить эти рекомендации в свои периодические проверки.

9.5.1
Определенные Требования к Подходу:
Устройства POI, которые фиксируют данные платежной карты посредством прямого физического взаимодействия с форм-фактором платежной карты, защищены от подделки и несанкционированной замены, включая следующее:

Цель Индивидуального подхода:
Организация определила процедуры для защиты устройств точки взаимодействия и управления ими. Ожидания, средства контроля и надзора в отношении управления и защиты устройств POI определяются и соблюдаются соответствующим персоналом.

Примечания по применению:
Эти требования применяются к развернутым устройствам POI, используемым в транзакциях с использованием карты (то есть форм-фактор платежной карты, такой как карта, которую проводят пальцем, нажимают или опускают).
Это требование не предназначено для применения к компонентам ручного ввода клавиш панорамирования, таким как компьютерные клавиатуры. Это требование рекомендуется, но не обязательно, для компонентов ручного ввода клавиш панорамирования, таких как компьютерные клавиатуры.
Это требование не распространяется на коммерческие готовые устройства (COTS) (например, смартфоны или планшеты), которые являются мобильными торговыми устройствами, предназначенными для массового распространения.

Определенные Процедуры Тестирования Подхода:

Цель:
Мошенники пытаются украсть данные платежных карт, крадя и/или манипулируя устройствами и терминалами для считывания карт. Преступники будут пытаться украсть устройства, чтобы узнать, как взломать их, и они часто пытаются заменить законные устройства мошенническими устройствами, которые отправляют им данные платежной карты каждый раз, когда вводится карта.
Они также попытаются добавить компоненты “скимминга” на внешнюю сторону устройств, которые предназначены для захвата данных платежных карт до того, как они попадут на устройство — например, путем подключения дополнительного устройства чтения карт поверх обычного устройства чтения карт, чтобы данные платежной карты были захвачены дважды: один раз вредоносным компонентом, а затем легальным компонентом устройства. Таким образом, транзакции все еще могут быть завершены без перерыва, в то время как преступник “снимает” данные платежной карты во время процесса.

Надлежащая практика:
Дополнительные рекомендации по предотвращению скимминга доступны на веб-сайте PCI SSC.

А.7.13 Обслуживание оборудования
В целях обеспечения доступности, целостности и конфиденциальности информации оборудование должно обслуживаться корректным образом.

А.7.13 Equipment maintenance
Equipment shall be maintained correctly to ensure availability, integrity and confidentiality of information.