6 bước để bảo vệ hệ thống điểm bán hàng của bạn

Trong tuần này, tội phạm mạng của Nga đã vi phạm hơn 330.000 hệ thống điểm bán hàng (POS) do công ty con của công ty Oracle micros micros, một trong ba nhà cung cấp phần cứng POS lớn nhất thế giới. Vi phạm đã có khả năng phơi bày dữ liệu khách hàng tại các chuỗi thức ăn nhanh, cửa hàng bán lẻ và khách sạn trên khắp thế giới.

Các cuộc tấn công POS không phải là mới. Một trong những vụ vi phạm dữ liệu lớn nhất trong lịch sử Hoa Kỳ, vụ hack Target, đã tiết lộ hơn 70 triệu hồ sơ khách hàng cho tin tặc và khiến CEO của nhà bán lẻ và CIO mất việc. Vào thời điểm bị tấn công, có thể tránh được rằng cuộc tấn công có thể tránh được nếu Target thực hiện tính năng tự động xóa trong hệ thống chống phần mềm độc hại FireEye.

Thực tế là hầu hết các cuộc tấn công POS có thể tránh được. Có nhiều mối đe dọa đối với hệ thống POS của bạn nhưng cũng có nhiều cách để chống lại các cuộc tấn công này., Tôi sẽ liệt kê sáu cách mà công ty của bạn có thể bảo vệ chống lại sự xâm nhập của POS.

1. Sử dụng iPad cho POS

Hầu hết các cuộc tấn công gần đây, bao gồm các cuộc tấn công của Wendy và Target, là kết quả của các ứng dụng phần mềm độc hại được tải vào bộ nhớ của hệ thống POS. Tin tặc có thể bí mật tải lên các ứng dụng phần mềm độc hại vào hệ thống POS và sau đó lấy dữ liệu mà không cần người dùng hoặc thương gia nhận ra điều gì đã xảy ra. Điểm quan trọng cần lưu ý ở đây là một ứng dụng thứ hai phải được chạy (ngoài ứng dụng POS), nếu không thì cuộc tấn công không thể xảy ra. Đây là lý do tại sao iOS có truyền thống tạo điều kiện cho các cuộc tấn công ít hơn. Vì iOS chỉ có thể chạy hoàn toàn một ứng dụng cùng một lúc, những kiểu tấn công này hiếm khi xảy ra trên các thiết bị do Apple sản xuất.

"Một trong những lợi thế của Windows là có nhiều ứng dụng chạy cùng một lúc", Chris Ciabarra, CTO và đồng sáng lập của Revel Systems cho biết. "Microsoft không muốn lợi thế đó biến mất … nhưng tại sao bạn nghĩ Windows luôn gặp sự cố? Tất cả những ứng dụng đó đang chạy và sử dụng tất cả bộ nhớ của bạn."

Công bằng mà nói, Revel Systems bán các hệ thống POS được thiết kế dành riêng cho iPad, do đó, Ciabarra sẽ quan tâm đến việc thúc đẩy phần cứng của Apple. Tuy nhiên, có một lý do mà bạn hiếm khi nghe thấy về các cuộc tấn công POS xảy ra trên các hệ thống POS dành riêng cho Apple. Bạn còn nhớ khi iPad Pro được tiết lộ? Mọi người tự hỏi liệu Apple có kích hoạt chức năng đa nhiệm thực sự hay không, điều này sẽ cho phép hai ứng dụng chạy đồng thời hết công suất. Apple đã bỏ tính năng này khỏi iPad Pro, khiến mọi người thất vọng, ngoại trừ những người dùng có khả năng chạy phần mềm POS trên thiết bị mới của họ.

2. Sử dụng mã hóa đầu cuối

Các công ty như Verifone cung cấp phần mềm được thiết kế để đảm bảo dữ liệu của khách hàng của bạn không bao giờ bị phơi bày trước tin tặc. Các công cụ này mã hóa thông tin thẻ tín dụng lần thứ hai nhận được trên thiết bị POS và một lần nữa khi nó được gửi đến máy chủ của phần mềm. Điều này có nghĩa là dữ liệu không bao giờ bị tổn thương, bất kể tin tặc có thể cài đặt phần mềm độc hại ở đâu.

"Bạn muốn có một đơn vị mã hóa điểm-điểm thực sự, " Ciabarra nói. "Bạn muốn dữ liệu đi thẳng từ đơn vị đến cổng. Dữ liệu thẻ tín dụng thậm chí sẽ không chạm vào đơn vị POS."

3. Cài đặt Antivirus trên hệ thống POS

Đây là một giải pháp đơn giản và rõ ràng để ngăn chặn các cuộc tấn công POS. Nếu bạn muốn đảm bảo phần mềm độc hại không xâm nhập vào hệ thống của mình, hãy cài đặt phần mềm bảo vệ điểm cuối trên thiết bị của bạn.

Các công cụ này sẽ quét phần mềm trên thiết bị POS của bạn và phát hiện các tệp hoặc ứng dụng có vấn đề cần phải xóa ngay lập tức. Phần mềm sẽ cảnh báo bạn về các khu vực rắc rối và giúp bạn bắt đầu quá trình dọn dẹp cần thiết để đảm bảo phần mềm độc hại không dẫn đến việc đánh cắp dữ liệu.

4. Khóa hệ thống của bạn

Mặc dù rất khó có khả năng nhân viên của bạn sẽ sử dụng các thiết bị POS của bạn cho mục đích bất chính, nhưng vẫn có nhiều tiềm năng cho các công việc bên trong hoặc thậm chí chỉ là lỗi của con người gây ra rắc rối lớn. Nhân viên có thể đánh cắp các thiết bị có cài đặt phần mềm POS hoặc vô tình để thiết bị tại văn phòng hoặc trong cửa hàng hoặc làm mất thiết bị. Nếu thiết bị bị mất hoặc bị đánh cắp, bất kỳ ai truy cập vào thiết bị và phần mềm (đặc biệt là nếu bạn không tuân theo quy tắc số 2 ở trên) sẽ có thể xem và đánh cắp hồ sơ của khách hàng.

Để đảm bảo rằng công ty của bạn không trở thành nạn nhân của loại trộm này, hãy đảm bảo khóa tất cả các thiết bị của bạn vào cuối ngày làm việc. Được tính toán cho tất cả các thiết bị mỗi ngày và bảo vệ chúng ở một nơi mà không ai ngoài một vài nhân viên được chọn có quyền truy cập.

5. Tuân thủ PCI từ trên xuống dưới

Ngoài việc quản lý hệ thống POS của bạn, bạn sẽ muốn tuân thủ Tiêu chuẩn bảo mật dữ liệu công nghiệp thẻ thanh toán (PCI DSS) trên tất cả các đầu đọc thẻ, mạng, bộ định tuyến, máy chủ, giỏ mua hàng trực tuyến và thậm chí cả các tập tin giấy. Hội đồng Tiêu chuẩn Bảo mật PCI đề nghị các công ty chủ động giám sát và kiểm kê tài sản CNTT và quy trình kinh doanh để phát hiện bất kỳ lỗ hổng nào. Hội đồng cũng đề nghị loại bỏ dữ liệu chủ thẻ trừ khi thực sự cần thiết và duy trì liên lạc với các ngân hàng và thương hiệu thẻ để đảm bảo không có vấn đề xảy ra hoặc đã xảy ra.

Bạn có thể thuê người đánh giá bảo mật đủ điều kiện để định kỳ xem xét doanh nghiệp của mình để xác định xem bạn có tuân theo các tiêu chuẩn PCI hay không. Nếu bạn lo lắng về việc cấp quyền truy cập hệ thống của mình cho bên thứ ba, Hội đồng cung cấp danh sách những người đánh giá được chứng nhận.

6. Thuê chuyên gia bảo mật

"CIO sẽ không biết mọi thứ mà một chuyên gia bảo mật sẽ biết, " Ciabarra nói. "CIO không thể cập nhật mọi thông tin về an ninh. Nhưng trách nhiệm duy nhất của một chuyên gia bảo mật là luôn cập nhật mọi thứ."

Nếu công ty của bạn quá nhỏ để thuê một chuyên gia bảo mật chuyên dụng ngoài một giám đốc công nghệ, ít nhất bạn sẽ muốn thuê một người có nền tảng bảo mật sâu sắc, người sẽ biết khi nào cần liên hệ với bên thứ ba để được giúp đỡ.