Где в мире требуется зашифрованное программное обеспечение в кассовых аппаратах, и в таком случае какие меры безопасности необходимы?

Question

фон

Швеция переходит на обязательный закон для всех владельцев бизнеса обработки наличных или карточных операций, для осуществления/покупки частично зашифрованное POS (точка продажи)/кассовые аппараты:

подписи и шифрование используются для надежно хранить информацию от кассовый аппарат в блоке управления. Система управления с сертифицированным блоком управления основана на изготовителе для каждого блока управления , получив основной ключ шифрования от Шведского налогового агентства. Производитель затем использует основной ключ для , создавая уникальные ключи шифрования, которые составляют , размещенные в блоке управления во время производственного процесса . Для получения основных ключей шифрования, изготовители должны подать в Налоговое агентство Швеции заявление . Source SKV

Это несколько вызвало из шума среди шведских торговцев из-за потребовала сложности и сильного шифрования, которые будут использоваться, наряду с весьма сложной технической реализацией с точки зрения владельца магазина, как альтернатива, чтобы купить система от компаний, которые прошли документацию, получили ключи безопасности и построили программное обеспечение и интегрировали его в оборудование.

Итак, мой первый вопрос заключается в том, что любые другие страны в мире даже приблизились к точности, требуемой шведским налоговым агентством от своих компаний (наряду с обширными рекомендациями по ведению бухгалтерского учета)?

Я бы хотел услышать о любых других схемах шифрования, представляющих интерес, и о том, как они применяются в законодательстве, когда дело доходит до проверки транзакций и записей в бухгалтерском учете. Примеры такого законодательства могут быть похожими на другое шведское правило; что записи в журнале (транзакции) должны быть только для записи, в большинстве случаев написаны через 4 дня после события и могут быть изменены только через кортеж (дата, подпись лица, делающего это, новые заказы).

И, наконец, каково ваше мнение по этим правилам? Собираемся ли мы к постоянно действующим восходящим линиям для хранения книг + POS-системы к серверам налогового агентства, которые проверяют и обнаруживают мошеннические модели в режиме реального времени, аналогичные алгоритмам коллективной разведки, или там будет обратная реакция на повышенную сложность работает бизнес?

Answer 1

Оффлайн, я не могу думать нигде в мире, который реализует это строгое требование. Однако некоторые существующие POS-системы могут реализовать такое шифрование в зависимости от того, что такое определение «блок управления» и где происходит дифференциация между «блоком управления» и «кассовым аппаратом».

Причина, по которой я говорю, что это связано с тем, что многие POS-системы (по крайней мере, те, с которыми я работал) представляют собой кучу немых терминалов, которые подключены к центральной базе данных и серверу обработки транзакций. Никакие данные фактически не хранятся в самом кассовом аппарате, поэтому необходимо только зашифровать его на стороне сервера (и по кабелю, но я предполагаю, что используется безопасный сетевой протокол).Вам нужно будет заставить адвоката интерпретировать то, что точно представляет собой «блок управления», но если это можно определить как что-то на стороне сервера (в сетевом случае POS, как это), то необходимая сложность для реализации такой системы не будет быть слишком обременительным.

Трудный случай будет заключаться в том, что каждому отдельному кассовому аппарату требуется уникальный ключ шифрования, будь то шифрование данных, которые должны храниться внутри самого регистра, или для шифрования данных перед отправкой на центральный сервер. Это потребует внесения изменений или замены каждого кассового аппарата, что действительно может оказаться дорогостоящим в зависимости от размера бизнеса и возраста существующего оборудования. Во многих странах (в частности, в США) мандат на такие обширные и дорогостоящие изменения, вероятно, должен сопровождаться законопроектом, предоставляющим средства для бизнеса (для оплаты оплаты конвертации оборудования) или написанным способом, похожим на «все точки - Оборудование, произведенное или проданное после {{{some date date}}}, должно реализовать следующие функции: ". Внедрение правил, которые создают дорогостоящее бремя для бизнеса, - это хороший способ для политиков потерять большую поддержку, поэтому вряд ли подобное правило будет реализовано в течение короткого периода времени без какой-либо помощи.

Возможно, интересным случаем будет «старомодный» стиль кассовых аппаратов, который состоит в основном из денежного ящика, калькулятора и принтера приема и не хранит никаких данных. Этот закон может потребовать, чтобы такие системы начали записывать информацию о транзакции (спросите своего адвоката). Связанный бы случай, когда транзакции запускаются вручную, написанные на бумажном билете (как правило, делается в некоторых ресторанах и небольших магазинах в США). Мне часто кажется забавным, как законодательство фокусируется на такой безопасности для высокотехнологичных систем, но оставляет «аналоговые» системы неизменными и широко открытыми для проблем. С другой стороны, Швеция больше не может использовать более старые системы.

Я не совсем точно знаю, что требует закон США в отношении зашифрованных записей, но я знаю, что некоторые неправительственные организации требуют определенных уровней безопасности. Например, если бизнес хочет принять платежи по кредитным картам, то компания по кредитным картам потребует от них соблюдения определенных правил безопасности и шифрования при обработке и отправке информации о платежах по кредитной карте. Это частично диктуется местными правилами юридической ответственности. Если транзакционная запись подделана, утеряна или захвачена третьей стороной, будет исследована безопасность транзакций и систем учета. Если бизнес не предпринял разумных усилий для обеспечения безопасности и проверки данных, то бизнес может быть признан виновным (или, возможно, изготовителем оборудования) за нарушение безопасности, что может привести к большим потерям в судебных процессах. Из-за этого компании склонны добровольно защищать свои системы, чтобы уменьшить количество нарушений безопасности и ограничить их юридическую ответственность, если такое нарушение произойдет.

Поскольку производители устройств могут продавать свое оборудование на международном уровне, оборудование, соответствующее этим шведским ограничениям, скорее всего, будет использоваться и в других местах также со временем. Если система окажется успешной, другие компании, вероятно, будут добровольно использовать такую ​​зашифрованную систему даже в отсутствие законодательства, вынуждающего их делать это. Я сравниваю это с правилами RoHS, которые ЕС принял несколько лет назад. Многие страны, которые не подписали законодательство RoHS, в настоящее время производят и используют материалы, сертифицированные RoHS, не из-за юридического мандата, а потому, что они доступны.

Edit: Я только что прочитал это в связанном статье:

Сертифицированный блок управления

Сертифицированный блок управления должен быть подключен к кассового аппарата. Блок управления должен регистрировать регистрацию , сделанную кассой.

Для меня это звучит так, как сертифицированный блок управления прикрепляется к регистру, но не обязательно связан с ним (или обязательно уникальным для регистра). Это определение само по себе (для моих не-адвокатских ушей) звучит так, как будто оно запрещает существующим кассовым аппаратам подключаться через сеть к сертифицированному блоку управления на стороне сервера. Если это так, это может быть так же просто, как установка некоторого дополнительного программного обеспечения (и, возможно, периферийного устройства) на стороне сервера. Ссылка на детали может прояснить это, но это не на английском языке, поэтому я не уверен, что он говорит.

Answer 2

Эти требования становятся все более распространенными в большинстве стран Европы (и в меньшей степени, но увеличиваются, в Северной Америке). Я не совсем уверен, какие именно европейские банки движутся быстрее, но в Северной Америке одним из первых игроков является First Data (которые уже предоставили полностью зашифрованные POS-устройства, как вам описано).

Я бы далее предположил, что большинство торговцев не будут разрабатывать внутренние системы, которые это делают (из-за требований PCI и проблем при этом), но вместо этого полагаются на своих поставщиков-поставщиков для требуемой технологии.