Nel mondo dei pagamenti elettronici uno dei focus principali è rappresentato dalla sicurezza: eppure, nonostante tutti gli annunci a proposito, la conformità da parte delle aziende del settore è inferiore rispetto a quanto ci si potrebbe immaginare, tanto da essere diminuita per il secondo anno consecutivo. Questa la principale conclusione del Payment Security Report (PSR) 2019 di Verizon: il numero di aziende che a livello globale raggiungono e mantengono la conformità è sceso dal 52,5% del 2018 al preoccupante 36,7% attuale. In particolare la conformità del rapporto è misurata nella capacità di mantenere e soddisfare lo standard PCI DSS (Payment Card Industry Data Security Standard) che aiuta le aziende che offrono servizi di pagamento con carta a proteggerli da violazioni e furti dei dati. La percentuale globale, evidenzia il report di Verizon, è il risultato di tendenze diverse tra le diverse aree geografiche: in particolare le organizzazioni della regione Asia-Pacifico (APAC) dimostrano una maggiore capacità (69,6%) di mantenere la piena conformità, decisamente superiore rispetto al 48% delle aziende dell’area Europa-Medio Oriente-Africa (EMEA) e appena il 20,4% (1 su 5) di quelle del continente americano.
Il problema è legato alla mancanza di impegno da parte delle organizzazioni? In realtà il report Verizon evidenzia come molti operatori spendano una quantità rilevante di molto tempo e denaro per creare programmi di compliance per la protezione o dei dati, ma spesso questi si dimostrano inefficaci, soprattutto per quanto concerne la capacità di superare un security assessment di tipo professionale. Inoltre, secondo il vendor di sicurezza, i Chief Information Security Officer continuano a concentrarsi su come mantenere le attività di controllo di base, anziché preoccuparsi della capacità e della maturità dei loro programmi di protezione dei dati.
“Dopo aver assistito a un graduale aumento della compliance tra il 2010 e il 2016, stiamo assistendo a un trend negativo e a una crescente differenziazione a livello geografico – ha affermato Rodolphe Simonetti, Global Managing Director for Security Consulting di Verizon – . Vediamo un numero crescente di organizzazioni che non sono in grado di raggiungere e mantenere la conformità richiesta per il PCI DSS, cosa che ha un impatto diretto sulla sicurezza dei dati di pagamento dei loro clienti. Con la versione dello standard PCI DSS 4.0 che verrà lanciata a breve, le aziende hanno l’opportunità di invertire questa tendenza ripensando il modo in cui implementano e strutturano i loro programmi di conformità. Verizon ha sviluppato una metodologia per aiutare le organizzazioni a gestire i propri programmi di conformità della protezione dei dati (DPCP). Questi spunti sono stati riuniti per formare il Verizon 9-5-4 Compliance Program Performance Framework – un insieme di linee guida che aiutano a sviluppare e migliorare l’efficacia e la maturità dei processi. Sono così stati individuati 9 fattori di controllo dell’efficacia e della sostenibilità (controllo dell’ambiente, progettazione dei controlli, rischi associati ai controlli, solidità dei controlli, resilienza dei controlli, gestione del ciclo di vita dei controlli, gestione delle performance dei controlli, valutazione della maturità e autovalutazione), che devono essere analizzato alla luce di 4 direttrici di fattibilità – responsabilità individuale, gestione del rischio e team di conformità, audit interno, audit esterno e autorità di regolamentazione – e in funzione dei 5 vincoli organizzativi – capacità, capability, competenza, impegno e comunicazione.
