El reciente artículo con conexión de cable Jurídico en primer lugar, la violación de trajes de datos objetivos Auditorse explica cómo una compañía de tarjeta de crédito es demandar a la empresa que performedtheir de auditoría de seguridad. El problema es que la compañía de tarjeta de crédito wastold que era CISP (Titular de la tarjeta del Programa de Seguridad de la Información) conforme, cuando realmente no lo era. Por visa.com"CISP está destinada a proteger a los titulares de tarjetas Visa de datos siempre que sea itresides-que aseguren a los miembros, los comerciantes, y el servicio providersmaintain más alto estándar de seguridad de la información" (CISP sincebeen ha sustituido por el PCI (Industria de Tarjetas de Pago) estándar.) Thelawsuit fue desencadenada por la el robo de 263.000 números de tarjetas de thecredit compañía de la tarjeta. Así, si el demandante eraCISP verdaderamente compatible, ¿significa que no hay ninguna manera tendría el robo ocurrido? ¿Te ha sido la compañía de tarjeta de crédito una falsa sentido de seguridad debido a la falsa CISP la certificación?

Hay dos partes a este:

• Thecredit compañía de la tarjeta se basó en la auditoría de la empresa (tal vez demasiado) a decirles que si se cumple o no CISP, y les asesore onhow para que sus sistemas de seguro de robo
• El auditingcompany hizo un acuerdo con el cliente de manera adecuada revisión de las posibles amenazas theirsystems (incluir número de la tarjeta de robo), makerecommendations, y utilizar el CISP requisitos como su patrón.

Sowho no aquí? La empresa de auditoría puede ser culpable de falso advertingand menores de la ejecución del contrato. La tarjeta de crédito beguilty de la empresa puede no tener suficiente en el seno de personal de seguridad para mantener seguro theirsystems. Independientemente, precedente se establecerá si es de hecho determinedthat CISP la falsa calificación por la empresa auditora contribuido al incidente de seguridad.

Es este tipo de caso, bueno o malo para la industria de la certificación de la seguridad? Tal vez la buena, porque:

• Certificación se recuerda a los emisores la posibilidad de recompensar a un costo de la certificación a un mal candidato
• Companiesholding datos debe tener la propiedad de su seguridad, y notrely demasiado en organizaciones externas para manejar por ellos
• Es una llamada de atención para todos los involucrados

Creo que la compañía de tarjeta de crédito es responsable en última instancia. Sin embargo, tal como se cita en la conexión de cable artículo, "... es necesario que se mantenga mechanismsdeveloped a los auditores responsables de la exactitud de theiraudits." Cierto. Debido a una obligación recíproca para demostrar qualityexists entre el certificado titular y el certificado emisor, onerepresents para el otro. Y todos somos responsables profesionalmente - etcétera, y tal vez legalmente.




Más información ...