2010-01-24 7 views
7

Antecedentes¿En qué parte del mundo se requiere software encriptado en cajas registradoras y en ese caso qué medidas de seguridad se requieren?

Suecia está en transición hacia una ley obligatoria para todos los propietarios de negocios manipulación de las transacciones en efectivo o con tarjeta, para implementar/comprar POS parcialmente cifrado (punto de venta)/cajas registradoras

Firma y la encriptación se usan para almacenar de forma segura la información de la caja registradora en la unidad de control. El sistema de control con una unidad de control certificada se basa en el fabricante para cada modelo de unidad de control obteniendo una clave de cifrado principal de la Agencia Tributaria Sueca. El fabricante luego utiliza la clave principal para crear claves de cifrado únicas que son colocadas en la unidad de control durante el proceso de fabricación . Con el fin de obtener obtener claves de cifrado principales, los fabricantes deben enviar una solicitud a la Agencia Tributaria Sueca. Source SKV

Esto ha causado un poco de un alboroto entre los comerciantes suecos debido a la complejidad hecho necesario y el cifrado fuerte para usarse, junto con una aplicación técnica altamente sofisticada desde la perspectiva del dueño de la tienda, como la alternativa es comprar el sistema de compañías que han recorrido la documentación, obtenido sus claves de seguridad y construido el software y lo integró en el hardware.

Así que mi primera pregunta es si algún otro país en el mundo incluso se acerca a la precisión que la Agencia Tributaria sueca requiere de sus empresas (además de tener amplias pautas para la contabilidad)?

Me gustaría escuchar acerca de cualquier otro esquema de encriptación de interés y cómo se aplican a través de la legislación cuando se trata de verificar las transacciones y las entradas contables. Ejemplos de tal legislación podrían ser similares a otra regla sueca; que las anotaciones en el libro (transacciones) deben ser de solo escritura, como máximo se deben escribir 4 días después de la ocurrencia y solo se pueden cambiar a través de una tupla de (fecha, firma de la persona que lo realiza, nuevas reservas).

Finalmente, ¿cuál es su opinión sobre estas reglas? ¿Vamos hacia enlaces ascendentes de todos los tiempos para los sistemas de contabilidad + TPV a los servidores de la agencia tributaria que verifican y detectan patrones fraudulentos en tiempo real similares a los algoritmos de inteligencia colectiva que existen, o habrá un contraataque en contra de la mayor complejidad de funcionamiento de negocios?

+1

No puedo ver una pregunta de programación aquí. E incluso si hubiera uno, ya que está buscando opiniones, esto debería ser Community Wiki. –

+0

Lo hice una wiki comunitaria. Sin embargo, es una cuestión muy relevante para la programación y, en general, lo que es vivir como programador en el mundo de hoy. – Henrik

+0

Trabajo con software POS, digo que está relacionado con la programación. –

Respuesta

1

Offhand, no puedo pensar en ningún otro lugar en el mundo que implemente este estricto requisito. Sin embargo, algunos sistemas POS existentes pueden implementar este tipo de encriptación dependiendo de cuál es la definición de "unidad de control" y dónde radica la diferenciación entre "unidad de control" y "caja registradora".

La razón por la que digo esto es porque muchos sistemas POS (al menos los que he trabajado) son esencialmente un montón de terminales tontos que están conectados a una base de datos central y servidor de procesamiento de transacciones. En realidad, no se almacenan datos en la caja registradora, por lo que solo es necesario cifrarlos en el lado del servidor (y sobre el cable, pero supongo que se está utilizando un protocolo de red seguro).Debería pedirle a un abogado que interprete qué constituye exactamente una "unidad de control", pero si esto puede definirse como algo del lado del servidor (en un caso de POS en red como este), entonces la complejidad necesaria para implementar dicho sistema no ser demasiado oneroso

El caso difícil sería cuando cada caja registradora individual requiere una clave de cifrado única, ya sea para cifrar los datos que se almacenarán dentro del registro o cifrar los datos antes de enviarlos a un servidor central. Esto requeriría una modificación o reemplazo de cada caja registradora, lo que de hecho podría resultar costoso según el tamaño del negocio y la antigüedad del equipo existente. En muchos países (los EE. UU. En particular), exigir un cambio tan extenso y costoso tendría que ir acompañado de una factura que proporcione fondos a las empresas (para ayudar a pagar la conversión del equipo) o escribir de una manera más parecida a "todo Punto El equipo de venta fabricado o vendido después del {{{alguna fecha futura}}} debe implementar las siguientes características: ". Las reglas de implementación que colocan costosas cargas en las empresas son una buena forma para que los políticos pierdan mucho apoyo, por lo que no es probable que una regla como esta se implemente en un corto período de tiempo sin que se ofrezca algún tipo de asistencia.

El caso posiblemente interesante sería el estilo "anticuado" de cajas registradoras que consisten esencialmente en un cajón de efectivo, una calculadora y una impresora de recibos y no almacenan datos de ningún tipo. Esta ley puede requerir que dichos sistemas comiencen a registrar la información de la transacción (pregunte a su abogado). Relacionado sería el caso donde las transacciones se registran a mano, escritas en un boleto de papel (como se hace comúnmente en algunos restaurantes y pequeñas tiendas en los Estados Unidos). A menudo me parece divertido cómo la legislación se enfoca en dicha seguridad para los sistemas de alta tecnología, pero deja los sistemas "analógicos" sin cambios y abiertos para los problemas. Por otra parte, es posible que Suecia ya no esté utilizando sistemas más antiguos como este.

No estoy seguro de qué es exactamente lo que exige la legislación de EE. UU. En términos de registros encriptados, pero sí sé que se requieren ciertos niveles de seguridad por parte de muchas entidades no gubernamentales. Por ejemplo, si una empresa desea aceptar pagos con tarjeta de crédito, la compañía de tarjetas de crédito les exigirá que sigan ciertas pautas de seguridad y encriptación cuando manejen y envíen información de pago con tarjeta de crédito. Esto está en parte dictado por las reglas locales de responsabilidad legal. Si un registro de transacción es manipulado, perdido o secuestrado por un tercero, se investigará la seguridad de la transacción y los sistemas de mantenimiento de registros. Si la empresa no hizo un esfuerzo razonable para mantener los datos seguros y verificados, es posible que la empresa tenga la culpa (o posiblemente el fabricante del equipo) por la infracción de seguridad que puede ocasionar grandes pérdidas a través de demandas judiciales. Debido a esto, las compañías tienden a proteger voluntariamente sus sistemas con el fin de reducir la incidencia de las infracciones de seguridad y limitar su responsabilidad legal en caso de que se produzca tal incumplimiento.

Dado que los fabricantes de dispositivos pueden vender sus equipos internacionalmente, es probable que los equipos que cumplan con estas restricciones suecas terminen utilizándose también en otros lugares a lo largo del tiempo. Si el sistema termina siendo exitoso, otras empresas probablemente se ofrecerán voluntariamente para usar un sistema encriptado, incluso en ausencia de legislación que los obligue a hacerlo. Lo comparo con las reglas de RoHS que aprobó la UE hace varios años. Muchos países que no firmaron la legislación RoHS ahora fabrican y usan materiales certificados por RoHS, no por un mandato legal, sino porque están disponibles.

Editar: simplemente leí esto en el artículo enlazado:

unidad

Una unidad de control certificado de control certificado debe ser conectado a una caja registradora. La unidad de control debe leer los registros realizados por la caja registradora.

Para mí, esto suena como si la unidad de control certificada se conecta al registro pero no está necesariamente conectada a él (o necesariamente única a un registro). Esta definición por sí sola no (para mis oídos ajenos al abogado) parece prohibir que las cajas registradoras existentes se conecten a través de una red a una unidad de control certificada en el lado del servidor. Si es así, esto podría ser tan simple como instalar algún software adicional (y posiblemente un dispositivo periférico) en el lado del servidor. El enlace de detalles puede aclarar esto, pero no está en inglés, así que no estoy seguro de lo que dice.

0

Este tipo de requisitos son cada vez más comunes en la mayor parte de Europa (y en menor medida, pero en aumento, en América del Norte). No estoy seguro de qué bancos con sede en Europa se están moviendo más rápido en esto, pero en América del Norte uno de los primeros en llegar es First Data (que ya ha puesto a disposición los dispositivos de punto de venta totalmente encriptados como usted describe que necesitan).

Postularía además que la mayoría de los comerciantes no desarrollarán sistemas internos que lo hagan (debido a los requisitos PCI, y los desafíos al hacerlo), sino que dependerán de sus proveedores comerciales para la tecnología requerida.

Cuestiones relacionadas