PCI DSS v4.0.1 නවතම සංස්කරණය 2024 ජුනි මාසයේ ප්රකාශිත වී, ගෙවීම් ආරක්ෂණ අංශයට අලුත් අවශ්යතා එක් කර ඇත. ඒ අතරින් අංශ 5.4.1 “anti‑phishing mechanisms” ගැන කතා කරයි. මෙය පසුගිය වසරවල නොමැති නව පදනමක් වන අතර, ඊ‑මේල් පද්ධති මගින් පාරිභෝගික තොරතුරු රැක ගැනීමට අවශ්ය පියවරයන් සවිස්තර කරයි.
අදාල අංශය පවසන්නේ “පහසුකම් සහ ස්වයංක්රිය ක්රමයන් හරහා phishing පරික්ෂා කර, පරිශීලකයින් රැකගත යුතුය” යනුවෙනි. මෙහිදී PCI SSC විසින් DMARC, SPF, DKIM යන ප්රෝටෝකෝලයන් උදාහරණ ලෙස සඳහන් කර තිබේ, නමුත් නියමයෙන් “DMARC” කියා නියමයක් නොමැත. ඒත් වාර්තාකරුවන් බොහෝවිට මෙම උදාහරණ පද්ධති භාවිතා කරන බව අපේක්ෂා කරයි.
PCI DSS හි Requirement 4 (දත්ත ගමනේ සංකේතනය) සහ Requirement 5 (anti‑phishing) යන දෙකම ඊ‑මේල් ආරක්ෂාවට සම්බන්ධ වේ. v4.0.1 හි “defined approach” හා “customized approach” යන දෙකේ තේරීම් ඇත; නියමිත ක්රමය අනුගමනය කරනවා නම් DMARC, SPF, DKIM වැනි පද්ධති ස්ථාපනය කරනු ලබයි, වෙනත් ක්රමයක් තෝරාගත් පසු ඒ සඳහා ලිඛිත අවදානම් විශ්ලේෂණයක් සහ අගයන අධීක්ෂකගේ අනුමතිය අවශ්ය වේ.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ බොහෝ කුඩා හා මධ්යම පරිමාණ ව්යාපාර, e‑commerce වෙළෙඳුන්, සහ ගෙවීම් පද්ධති සැපයුම්කරුවන් PCI DSS අනුකූලතාවය රැක ගැනීමට තරඟකරයි. අලුත් anti‑phishing අවශ්යතා ඉදිරියට ගෙන ඒමෙන්:
- විකසකයින් – DMARC, SPF, DKIM සැකසීමේ තාක්ෂණික කුසලතා ඉගෙන ගනිමින් ජාත්යන්තර සම්මතයන්ට අනුකූල වැඩසටහන් නිර්මාණය කළ හැක.
- ආරක්ෂක ඉංජිනේරුවන් – phishing ආක්රමණ වලින් පරිශීලකයින් රැක ගැනීමට ස්වයංක්රිය මොනිතරක් ගොඩනැගීමට අවශ්ය පියවර තේරුම් ගනී.
- ව්යාපාරිකයන් – අනුකූලතාවය පවත්වා ගැනීමෙන් බැංකු ගනුදෙනු වල දෝෂ සහ දණ්ඩ මුදල් වලින් වළක්වයි, පාරිභෝගික විශ්වාසය වැඩි කරයි.
ඉදිරියේදී ශ්රී ලංකාවේ IT පාඨමාලා, සම්මත ප්රමිතීන් හා සමාජ මාධ්ය පුහුණු වැඩමුළු DMARC, SPF, DKIM පිළිබඳ අත්හදා බැලීමේ අවස්ථා සැපයීමට අවශ්ය වේ.
අවසානයේ, PCI DSS v4.0.1 හි 5.4.1 අංශය “DMARC අනිවාර්යයි” කියා නොකියන නමුත්, auditors බොහෝවිට එය ප්රදර්ශනය කිරීමට ඔබේ පද්ධතියේ anti‑phishing ක්රියාකාරකම් ලෙස DMARC, SPF, DKIM භාවිතා කරන බව බලන්න කැමති වෙති. එබැවින්, ඔබේ ඊ‑මේල් ආරක්ෂාව දැන්ම පරීක්ෂා කර, අවශ්ය නම් නව ප්රෝටෝකෝලයන් එක් කර ගත යුතුය.
