烏云漏洞平臺披露：某網(wǎng)站日志存在嚴(yán)重漏洞，用戶銀行卡信息可被任意讀取，其中包含持卡人姓名身份證、銀行卡號、卡CVV碼等等。此事，引爆了大眾對支付安全行業(yè)的空前關(guān)注。某網(wǎng)站公開承認(rèn)未通過國際支付卡產(chǎn)業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)PCIDSS，并對用戶致歉。作為國內(nèi)一家通過PCIDSS(支付卡產(chǎn)業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn))的在線旅游商，去哪兒(29.06, 0.38, 1.32%)網(wǎng)CTO吳永強(qiáng)近日向筆者講述了當(dāng)初去哪兒網(wǎng)通過PCIDSS的艱難考核。“不少公司都不愿在此項目上做過多投入”，吳永強(qiáng)說。
業(yè)界人士認(rèn)為去哪兒網(wǎng)已經(jīng)通過技術(shù)投入早已占領(lǐng)旅游平臺制高點。據(jù)悉，PCIDSS由PCI安全標(biāo)準(zhǔn)委員會的創(chuàng)始成員visa、mastercard、 AmericanExpress、DiscoverFinancial Services、JCB五大國際卡組織制定。PCIDSS為國際上較高安全標(biāo)準(zhǔn)。
據(jù)吳永強(qiáng)介紹，進(jìn)行PCI驗證時，驗證方會對被測試公司，進(jìn)行多方面地地毯式掃描以便找出各類漏洞；還要在申請的時候嚴(yán)格申明不能保存不該存的信息。
據(jù)吳永強(qiáng)回憶：去哪兒當(dāng)初申請認(rèn)證時，花了整整三個月才得以通過，前后必須經(jīng)過硬件、軟件、工作流程、員工、用戶等環(huán)節(jié)總共有200多項項目的關(guān)卡；除了如此嚴(yán)苛的認(rèn)證環(huán)節(jié)外，去哪兒網(wǎng)每年還必須接受驗證方重檢一次。
其中，PCIDSS對于用戶隱私的保護(hù)要求幾乎接近苛刻的程度。“卡組織對所有的信息都進(jìn)行了分類。如果姓名和有效期沒有和卡號同時存儲，則可以明文存儲；而一旦存儲了銀行卡號，則需要使用強(qiáng)加密算法對卡號進(jìn)行保護(hù)。”吳永強(qiáng)介紹說。
按照PCIDSS認(rèn)證的要求，去哪兒網(wǎng)除了正當(dāng)業(yè)務(wù)的員工，誰也接觸不到用戶的任何卡信息：包括卡號、姓名、有效期，更別說明文的CVV2碼了，這是PCIDSS明文規(guī)定的不得留存的高敏感信息。
此次爆發(fā)的某旅行網(wǎng)信用卡事件也是其缺少員工培訓(xùn)的一個惡果。據(jù)相關(guān)報道，在某網(wǎng)站呼叫中心里，客服人員也可以口頭明文索要用戶的CVV2碼。這在去哪兒網(wǎng)是不可能發(fā)生的事情。
此外，國際卡組織考察網(wǎng)站的另一項重要指標(biāo)就是其技術(shù)安全能力。據(jù)吳永強(qiáng)介紹，去哪兒網(wǎng)在技術(shù)上一直遙遙領(lǐng)先，系統(tǒng)架構(gòu)都是全球各大公司才采用的先進(jìn)系統(tǒng)，這是它得以通過PCIDSS認(rèn)證的基礎(chǔ)。
2010年去哪兒網(wǎng)啟動的“TTS 系統(tǒng)”(TotalSolution)，進(jìn)一步推動了交易安全。TTS系統(tǒng)讓用戶的預(yù)訂，全部在去哪兒平臺上完成，其交易安全可以得到全方位地有效保障。
吳永強(qiáng)認(rèn)為，以前業(yè)內(nèi)對于PCI認(rèn)證的權(quán)威性很認(rèn)同，但由于它對消費者隱私信息加以保護(hù)的過程，消費者大多無法感知，而合規(guī)認(rèn)證本身又極為嚴(yán)苛，所以從成本上和技術(shù)實力上的考慮，不少公司都不愿在此項目上做過多投入。
