数字支付热潮下，小型零售商如何应对网络安全威胁

中小企业（SME）中一个普遍的误解是，它们规模太小，不会引起网络犯罪分子的兴趣。但事实恰恰相反：它们是主要攻击目标。

与银行或大型企业不同，中小企业缺乏资源组建专门的IT团队或部署先进的安全基础设施，这使得它们在日益复杂的欺诈方案面前显得尤为脆弱。

但通过遵守国际数据安全标准，中小企业可以大幅降低欺诈和数据泄露的风险。

保护支付系统的一项全球标准是由支付卡行业安全标准委员会（Payment Card Industry Security Standards Council, PCI SSC）制定的。这是一个最初由五家信用卡公司创立的国际机构。

支付卡行业数据安全标准（Payment Card Industry Data Security Standard, PCI DSS）对访问控制、加密和漏洞管理等方面提出了要求——而这些领域往往是中小企业的薄弱环节。

该委员会还设有专门的网页为商户提供指导，例如建议他们充分利用现有资源。

例如，中小企业应主动接洽其现有的支付供应商或服务提供商，以最大化地利用他们提供的功能。

简单的步骤

对中小企业而言，一些可能更具挑战性的网络安全领域包括远程访问、密码管理和漏洞修补。

支付解决方案供应商通常在自己的办公室，而非在商户的营业地点，为商户的支付系统提供支持或排除故障。他们通过使用所谓的“远程访问”软件产品来实现这一点。

然而，其中一些供应商使用众所周知的默认密码进行远程访问，这使得黑客能够轻而易举地访问商户的系统。

这些黑客会在互联网上扫描那些远程访问系统存在漏洞的企业，并利用恶意软件窃取宝贵的支付卡数据。

商户应向其供应商咨询如何更改默认密码、如何仅在有特定需求时才启用远程访问，以及如何在不需要时禁用该功能。此外，他们还应要求在授予访问权限前进行多因素认证。

如果无法避免使用远程访问，中小企业应确保供应商使用对本企业独一无二的远程访问凭证，而不是与其他客户使用相同的凭证。

除了尽可能限制使用远程访问外，最佳的防线是创建“密码短语”而非“密码”，并经常更换。这意味着使用一个句子来设置更强的密码，而不是单个词语。

与此同时，中小企业也可能面临软件漏洞问题。为了修复这些漏洞，支付服务提供商会向支付系统发送被称为“补丁”的更新程序。

及时安装这些补丁将有助于修复已知问题，堵住犯罪分子可能用来访问商户系统和窃取客户数据的任何缺口。

减少数据暴露

归根结底，防范数据泄露的最佳方式，是中小企业通过外包其银行卡处理业务，从而完全不存储银行卡数据。

在建立支付系统时，中小企业应询问其服务提供商或内部IT团队，是否真的有必要存储银行卡数据。

他们还应该讨论令牌化（tokenisation）技术，这种技术可以确保银行卡数据即使被盗也毫无用处。

例如，PCI为商户提供点对点加密（point-to-point encryption）解决方案，这有助于即使数据在泄露事件中被窃取，也能降低其对攻击者的价值。

这除了能提供强大的加密保护，从而保护支付卡数据之外，还能使商户的持卡人数据环境更容易通过PCI数据安全标准的验证。

随着支付方式的演变，欺诈者的手段也在不断变化。中小企业绝不能想当然地认为自己不会被攻击者盯上。

通过了解最新的威胁、加强基础防御并遵守PCI DSS标准，小型企业可以在不产生难以承受的成本的情况下，增强自身的网络防御能力。

本文作者是PCI安全标准委员会区域副总裁