Loading...
HomeMy WebLinkAboutPayment card securityPa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Pa y m e n t c a r d s e c u r i t y De s c h u t e s C o u n t y , Or e g o n David Givans, CPA, CIA De s c h u t e s C o u n t y I n t e r n a l A u d i t o r 13 0 0 N W W a l l S t , S u i t e 2 0 6 Bend, OR 97701 (541) 330-4674 da v i d g @ c o . d e s c h u t e s . o r . u s Audit committee: Jade Mayer, Chair James Kerfoot Gayle McConnell Greg Quesnel Michael Shadrach Dennis Luke Tom Anderson Scot Langton Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 TA B L E O F CO N T E N T S : 1. I N T R O D U C T I O N 1. 1 . B a c k g r o u n d o n A u d i t … …… … . . … … … … … … … … … … … … … … … ...…… 1 1. 2 . O b j e c t i v e s a n d S c o p e … … … … …… … . … … … … … … … … … … … . . … … … 1 1. 3 . M e t h o d o l o g y … … … … … … … … … … … …… … . … … … … … … … … . . . . . . … … 2 2. F I N A N C I A L B A C K G R O U N D … … … …… … … … … … … … … … … ….……… 3-4 3. F I N D I N G S …… … … … … … … … … … … … … … … … … … .. … … … … … … … . . . . 4 - 8 4. M A N A G E M E N T R E S P O N S E S …… … … … . … … … … … … … …..……....… 8-16 Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 1 of 16 1. 1 B A C K G R O U N D O N A U D I T 1. In t r o d u c t i o n Au d i t A u t h o r i t y : Th e D e s c h u t e s C o u n t y A u d i t C o m m i t t e e a u t h o r i z e d t h e r ev i e w o f p a y m e n t c a r d s e c u r i t y i n a n a m e n d e d wo r k p l a n f o r 0 9 / 1 0 . P a y m e n t c a r d s c a n i n c l u d e c r e d i t a n d d e b i t c a r d p u r c h a s e s . 1. 2 O B J E C T I V E S a n d S C O P E Ob j e c t i v e s : Re v i e w t h e p a y m e n t c a r d s e c u r i t y p r a c t i c e s a n d p o l i c i e s w i th i n C o u n t y d e p a r t m e n t s . T h i s w i l l b e ac c o m p l i s h e d t h r o u g h 1. I d e n t i f i c a t i o n o f p a y m e n t c a r d p r o c e s s i n g w i t h i n C o u n ty d e p a r t m e n t s , 2. R e v i e w o f p a y m e n t c a r d i n d u s t r y s t a n d a r d s , a n d 3. R e v i e w f o r a d e q u a c y o f p o l i c i e s a n d p r o c e d u r e s u t i l i z in g p r e - s e l e c t e d c r i t e r i a f r o m t h e p a y m e n t c a r d st a n d a r d s t h r o u g h o b s e r v a t i o n a n d d i s c u s s i o n s w i t h d e p a r t m en t s . Sc o p e : Th i s i s a l i m i t e d s c o p e a u d i t a n d o n l y a d d r e s s e d s e l e c t e d pa y m e n t c a r d s e c u r i t y a r e a s . T h e a u d i t w i l l c o v e r de p a r t m e n t s t h a t a c c e p t p a y m e n t c a r d s f o r p a y m e n t o f s e r vi c e s . T h e f o c u s o f t h e r e v i e w w a s o n t h e se c u r i t y s t a n d a r d s a d d r e s s e d i n P C I S e c u r i t y S t a n d a r d s C o u nc i l ’ s “ S e l f - a s s e s s m e n t Q u e s t i o n n a i r e B ” f o r me r c h a n t s u s i n g i m p r i n t a n d s t a n d - a l o n e d i a l o u t t e r m i n al s o n l y w i t h n o e l e c t r o n i c c a r d h o l d e r d a t a s t o r a g e . Th i s a u d i t d i d n o t f o c u s o n t h e c o s t o f p r o v i d i n g p a y m en t c a r d o p t i o n s t o c u s t o m e r s . Ob s e r v a t i o n s w e r e p e r f o r m e d p r i m a r i l y i n D e c e m b e r 2 0 0 9 . R e c e n t d a t a w a s u s e d f o r p a y m e n t c a r d ac t i v i t i e s i n 2 0 0 8 / 2 0 0 9 . P a y m e n t c a r d a c t i v i t y w a s i d e n t if i e d w i t h i n e i g h t d e p a r t m e n t s . A c t i v i t y i n c l u d e d 2 0 me r c h a n t t e r m i n a l s i d e n t i f i e d w i t h i n 1 5 m e r c h a n t a c c o u n t s a n d o n e p h o n e - i n a c c o u n t . Th i s a u d i t d o e s n o t f u l l y a d d r e s s a l l r e q u i r e m e n t s r e q u i re d u n d e r P C I / D S S a n d i s n o t d e e m e d a r e p l a c e m e n t fo r a n y r e q u i r e m e n t s t o p e r f o r m c o m p l i a n c e c h e c k s . S o m e se r v i c e p r o v i d e r s r e q u i r e e x t e r n a l c o m p l i a n c e re v i e w s . V a l i d a t i o n o f c o m p l i a n c e w i t h s t a n d a r d s m a y r e qu i r e a Q u a l i f i e d S e c u r i t y A s s e s s o r f o r a n n u a l co m p l i a n c e a n d a n A p p r o v e d S c a n n i n g V e n d o r t o p e r f o r m vu l n e r a b i l i t y s c a n s . T h i s a u d i t i s n o t a re p l a c e m e n t o r d e s i g n e d t o b e e q u i v a l e n t t o s u c h r e v i e w s. Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 2 of 16 1. 3 M E T H O D O L O G Y Au d i t p r o c e d u r e s i n c l u d e d : O b s e r v i n g a n d i n t e r v i e w i n g s t a f f o n p a y m e n t c a r d s e c u r i ty p r o c e d u r e s , R e v i e w i n g w r i t t e n p r o c e d u r e s a n d d o c u m e n t s p r o v i d e d , R e v i e w i n g a n d a n a l y z i n g p a y m e n t c a r d r e v e n u e s b y d e p ar t m e n t , R e v i e w i n g a t t r i b u t e s t h a t m i g h t b e a p p l i c a b l e t o C o u nt y d e p a r t m e n t s i d e n t i f i e d i n P C I S e c u r i t y St a n d a r d s C o u n c i l ’ s “ S e l f - a s s e s s m e n t Q u e s t i o n n a i r e B ” f o r m e r c h a n t s u s i n g i m p r i n t a n d s t a n d - a l o n e di a l o u t t e r m i n a l s o n l y w i t h n o e l e c t r o n i c c a r d h o l d e r d at a s t o r a g e ( v e r s i o n 1 . 2 ) . T h e s e i n c l u d e t o p i c s un d e r t h e f o l l o w i n g r e q u i r e m e n t s e c t i o n s : 3 - P r o t e c t s t o r e d c a r d h o l d e r d a t a 4 - E n c r y p t t r a n s m i s s i o n o f c a r d h o l d e r d a t a a c r o s s o p e n , p u b l i c n e t w o r k s 7 - R e s t r i c t a c c e s s t o c a r d h o l d e r d a t a b y b u s i n e s s n e e d - t o -k n o w 9 - R e s t r i c t p h y s i c a l a c c e s s t o c a r d h o l d e r d a t a 1 2 - M a i n t a i n a p o l i c y t h a t a d d r e s s e s i n f o r m a t i o n s e c u ri t y f o r e m p l o y e e s a n d c o n t r a c t o r s Sp e c i f i c a r e a s i d e n t i f i e d i n c l u d e d i n q u i r y a s t o o w h e t h e r v e n d o r b e i n g u s e d f o r p r o c e s s i n g p a y m e n t c a r d s i s i n c o m p l i a n c e , o n o p a y m e n t c a r d d a t a a f t e r t r a n s a c t i o n i s m a d e i s r e t a i ne d i n a n y e l e c t r o n i c s y s t e m s , o p r o t e c t i n g c a r d h o l d e r d a t a t h r o u g h p r o p e r m a s k i n g o f a cc o u n t n u m b e r s o n r e c e i p t s , o r e t e n t i o n a n d d i s p o s a l p r a c t i c e s , o p o l i c i e s , p r o c e d u r e s a n d p r a c t i c e s t o p r e c l u d e t r a n s m i s s i o n o f u n e n c r y p t e d c a r d h o l d e r d a t a ac r o s s a n y o p e n , p u b l i c n e t w o r k s , o r e s t r i c t e d a c c e s s t o c a r d h o l d e r d a t a a n d s y s t e m c o m p o n e n t s b y b u s i n e s s n e e d - t o - k n o w , o r e s t r i c t e d p h y s i c a l a c c e s s t o c a r d h o l d e r d a t a , a n d o p o l i c i e s a d d r e s s i n g i n f o r m a t i o n s e c u r i t y f o r e m p l o y e e s a nd c o n t r a c t o r s . O t h e r p r o c e d u r e s i n c l u d e d : o r e c o r d i n g i n f o r m a t i o n o n p a y m e n t c a r d t e r m i n a l s a n d o i n s p e c t i n g m e r c h a n t t e r m i n a l s f o r a n y i n d i c a t i o n s o f t a m pe r i n g . W e c o n d u c t e d t h i s p e r f o r m a n c e a u d i t i n a c c o r d a n c e w i t h ge n e r a l l y a c c e p t e d g o v e r n m e n t a u d i t i n g st a n d a r d s . T h o s e s t a n d a r d s r e q u i r e w e p l a n a n d p e r f o r m th e a u d i t t o o b t a i n s u f f i c i e n t , a p p r o p r i a t e e v i d e n c e to p r o v i d e a r e a s o n a b l e b a s i s f o r o u r f i n d i n g s a n d c o n c l us i o n s b a s e d o n o u r a u d i t o b j e c t i v e s . W e b e l i e v e th a t t h e e v i d e n c e o b t a i n e d p r o v i d e s a r e a s o n a b l e b a s i s f or o u r f i n d i n g s a n d c o n c l u s i o n s b a s e d o n o u r a u d i t ob j e c t i v e s . (2 0 0 7 R e v i s i o n o f G o v e r n m e n t A u d i t i n g S t a n d a r d s , i s su e d b y t h e C o m p t r o l l e r G e n e r a l o f t h e U n i t e d S t a t e s. ) Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 3 of 16 2. F i n a n c i a l Ba c k g r o u n d Fi g u r e I – Pa y m e n t c a r d am o u n t s b y de p a r t m e n t (O c t 2 0 0 8 - S e p t 20 0 9 ) Da t a T a b l e I – # o f t r a n s a c t i o n s an d a v e r a g e am o u n t o f tr a n s a c t i o n am o u n t s b y de p a r t m e n t (O c t 2 0 0 8 - S e p t 20 0 9 ) Co u n t y d e p a r t m e n t s , l i k e m a n y p r i v a t e b u s i n e s s e s , c h o o s e t o a c c e p t c e r t a i n p a y m e n t t h r o u g h p a y m e n t ca r d s ( i . e . c r e d i t c a r d s a n d / o r d e b i t c a r d s ) . E i g h t c o u n t y d e p a r t m e n t s c u r r e n t l y p r o c e s s p a y m e n t c a r d pu r c h a s e s . Co m m u n i t y De v e l o p m e n t De p t ( C D D ) , $8 1 3 , 0 0 0 , 4 0 % Me n t a l H e a l t h (M H ) , $ 1 , 0 0 0 , 0 % Ad u l t P a r o l e & Pr o b a t i o n (A P & P ) , $ 2 8 , 0 0 0 , 1% He a l t h ( H ) , $5 6 , 0 0 0 , 3 % Ju s t i c e C o u r t (J C ) , $ 1 2 6 , 0 0 0 , 6% He a l t h B e n e f i t s Tr u s t ( H B T ) , $1 6 8 , 0 0 0 , 8 % Fa i r & E x p o a n d RV P a r k ( F a i r ) , $2 6 8 , 0 0 0 , 1 3 % So l i d W a s t e (S W ) , $ 6 0 4 , 0 0 0 , 29 % De p a r t m e n t : CD D SW Fa i r HB T JC H AP & P MH TOTAL # o f T r a n s a c t i o n s 1 , 6 4 8 2 9 , 8 9 1 3 , 7 7 1 3 3 4 1 , 0 3 0 1 , 1 4 9 4 5 7 1 2 38,292 Av e r a g e a m o u n t 4 9 7 $ 2 0 $ 7 1 $ 5 0 2 $ 1 2 2 $ 4 9 $ 6 2 $ 8 8 $ 54 $ As n o t e d i n t h e a b o v e f i g u r e s , f r o m O c t o b e r 2 0 0 8 – S e pt e m b e r 2 0 0 9 , t h e C o u n t y p r o c e s s e d $ 2 m i l l i o n i n pa y m e n t c a r d c h a r g e s . T h e C o m m u n i t y D e v e l o p m e n t a n d th e S o l i d W a s t e d e p a r t m e n t s ’ a c t i v i t y a c c o u n t f o r 68 % o f t h i s d o l l a r a m o u n t a n d 8 2 % o f t h e n u m b e r o f t ra n s a c t i o n s . T h e s e d e p a r t m e n t s a v e r a g e t r a n s a c t i o n am o u n t v a r y g r e a t l y . Th e a b o v e a m o u n t s d o n o t i n c l u d e p a y m e n t c a r d p u r c h a s e s m a d e w i t h t h e C o u n t y o v e r t h e i n t e r n e t . T h e Co u n t y h a s d e c i d e d t o n o t p r o c e s s p a y m e n t c a r d t r a n s a c t i o ns d i r e c t l y o v e r t h e i n t e r n e t . T h e C o u n t y h a s be e n a b l e t o p r o v i d e i n t e r n e t p a y m e n t c a r d o p t i o n s f o r c u s t o m e r s u s i n g a n i n d e p e n d e n t a n d s e c u r e v e n d o r . Th e v e n d o r u t i l i z e d f o r p a y m e n t c a r d p r o c e s s i n g i s P C I / D SS c o m p l i a n t . C u s t o m e r s u t i l i z i n g t h i s v e n d o r m a y pa y a t r a n s a c t i o n f e e t o c o v e r t h e c o s t s o f u s i n g t h i s p a ym e n t o p t i o n d e p e n d i n g o n t h e d e p a r t m e n t a n d t y p e of f e e . Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 4 of 16 · P r o p e r t y t a x p a y m e n t s m a d e o v e r t h e i n t e r n e t o v e r a 1 2 - m o n t h p e r i o d a m o u n t e d t o $ 1 . 9 m i l l i o n . Th e r e w e r e 1 , 3 6 2 t r a n s a c t i o n s ( f o r a n a v e r a g e t r a n s a c t i on o f $ 1 , 4 0 5 ) . T h a t a m o u n t s t o o n l y . 8 % o f to t a l t a x c o l l e c t i o n p a y m e n t s r e c e i v e d . T h e t a x d e p a r t me n t i n d i c a t e s t h a t t h o u g h t h i s r e p r e s e n t s a sm a l l p e r c e n t a g e o f t a x e s p a i d , a n u m b e r o f c u s t o m e r s a p p re c i a t e h a v i n g a p a y m e n t c a r d o p t i o n av a i l a b l e . T h e c u s t o m e r s i n c u r a c o n v e n i e n c e f e e f o r t he s e s e r v i c e s o f 2 . 5 0 % b a s e d o n t h e p a y m e n t am o u n t . · C e r t a i n C o m m u n i t y D e v e l o p m e n t d e p a r t m e n t f e e s c a n a ls o b e p a i d o v e r t h e i n t e r n e t w i t h t h e s a m e ve n d o r . P a y m e n t s r e c e i v e d t h r o u g h t h e v e n d o r o v e r a 1 2 - m o n t h p e r i o d a m o u n t e d t o $ 3 9 t h o u s a n d . Th e r e w e r e 2 1 2 t r a n s a c t i o n s ( f o r a n a v e r a g e t r a n s a c t i o n o f $ 1 8 6 ) . Co u n t y d e p a r t m e n t s a c c e p t i n g p a y m e n t c a r d s i n c u r c o s t s f o r p r o c e s s i n g t r a n s a c t i o n s . S o m e C o u n t y de p a r t m e n t s a n d f u n c t i o n s c a n n o t a b s o r b t h e c o s t o f p a y m e n t c a r d p r o c e s s i n g ( s u c h a s f o r p r o p e r t y t a x pa y m e n t s ) s i n c e t h e y a r e c o l l e c t i n g m o n i e s f o r o t h e r a g e nc i e s . T h e p a y m e n t c a r d i n d u s t r y a l l o w s i n v a r y i n g ci r c u m s t a n c e s t h e c o n v e n i e n c e c o s t t o b e p a i d b y t h e c u s t o m e r. Th e P C I / D S S s t a n d a r d s a p p l i c a b l e v a r y b a s e d o n t h e n a t u re o f t h e t r a n s a c t i o n e n v i r o n m e n t . M e r c h a n t s p a y va r y i n g f e e l e v e l s o n t r a n s a c t i o n s b a s e d o n w h e t h e r c a r d h ol d e r s a r e p r e s e n t , w h e t h e r p i n c o d e s a r e u t i l i z e d , an d m e r c h a n t s y s t e m s . M e r c h a n t s w h o c o l l e c t p a y m e n t c a r d in f o r m a t i o n o v e r t h e i n t e r n e t e l e c t r o n i c a l l y mu s t c o m p l y w i t h s i g n i f i c a n t l y m o r e s t a n d a r d s . Th e C o u n t y h a s m e r c h a n t s e r v i c e a g r e e m e n t s w i t h v e n d o r s pr o v i d i n g p a y m e n t c a r d s e r v i c e s . W i t h t h e s e ag r e e m e n t s c o m e a d d e d C o u n t y r e s p o n s i b i l i t i e s u n d e r t h e Pa y m e n t C a r d I n d u s t r y ( P C I ) D a t a S e c u r i t y St a n d a r d s ( D S S ) ( P C I / D S S ) . T h e s e s t a n d a r d s a r e i n t e n d ed t o p r o t e c t p a y m e n t c a r d i n f o r m a t i o n a n d fa c i l i t a t e s e c u r e p a y m e n t . T h e s t a n d a r d s o u t l i n e e x p e c t at i o n s r e g a r d i n g t h e p r o t e c t i o n o f c a r d h o l d e r in f o r m a t i o n a n d p r o v i d i n g a s e c u r e e n v i r o n m e n t f o r t h es e t y p e s o f t r a n s a c t i o n s . 3. F i n d i n g s Th e r e w e r e n o i n d i c a t i o n s t h e C o u n t y h a s h a d d a t a b r e a ch i s s u e s o r h a d l a x s e c u r i t y o v e r c a r d h o l d e r d a t a . Th i s a u d i t w a s a p r o a c t i v e r e v i e w o v e r c o m p l i a n c e w i t h t he s e l e c t e d P C I / D S S s t a n d a r d s . Au d i t f i n d i n g s r e s u l t f r o m i n c i d e n t s o f n o n - c o m p l i a n c e w it h s t a t e d p r o c e d u r e s a n d / o r d e p a r t u r e s f r o m pr u d e n t o p e r a t i o n . T h e f i n d i n g s a r e , b y n a t u r e , s u b j ec t i v e . T h e a u d i t d i s c l o s e d c e r t a i n p o l i c i e s , p r o c e d u r e s an d p r a c t i c e s t h a t c o u l d b e i m p r o v e d . T h e a u d i t w a s n e i th e r d e s i g n e d n o r i n t e n d e d t o b e a d e t a i l e d s t u d y o f ev e r y r e l e v a n t s y s t e m , p r o c e d u r e o r t r a n s a c t i o n . A c c o r d i ng l y , t h e o p p o r t u n i t i e s f o r i m p r o v e m e n t p r e s e n t e d in t h e r e p o r t m a y n o t b e a l l - i n c l u s i v e o f a r e a s w h e r e im p r o v e m e n t m a y b e n e e d e d a n d d o n o t r e p l a c e e f f o r t s Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 5 of 16 ne e d e d t o d e s i g n a n e f f e c t i v e s y s t e m o f i n t e r n a l c o n t r o l . A s i g n i f i c a n t d e f i c i e n c y i s d e f i n e d a s a n i n t e r n a l c o n t r o l d e f i c i e n c y t h a t c o u l d a d v e r s e l y a f f e c t t h e e n t i t y ’ s ab i l i t y t o i n i t i a t e , r e c o r d , p r o c e s s , a n d r e p o r t f i n a n c i al d a t a c o n s i s t e n t w i t h t h e a s s e r t i o n s o f m a n a g e m e n t i n th e f i n a n c i a l s t a t e m e n t s . T h e f i n d i n g s n o t e d w e r e n o t c o n s i d e r e d s i g n i f i c a n t d e f i c i e n c i e s . Co u n t y c o m p l i e s w i t h t r u n c a t i o n o f c a r d h o l d e r a c c o u nt n u m b e r o n r e c e i p t s . Th e r e w a s n o i n d i c a t i o n w i t h t h e 2 0 m e r c h a n t t e r m i n a l s in e i g h t C o u n t y d e p a r t m e n t s t h a t t h e c u s t o m e r pr o v i d e d p a y m e n t c a r d r e c e i p t s f a i l e d t o t r u n c a t e ( o r l i m i t ) t h e a c c o u n t i n f o r m a t i o n . U n d e r t h e F a i r a n d Ac c u r a t e C r e d i t T r a n s a c t i o n A c t ( F A C T A ) r e c e i p t s p r o v i d e d t o c u s t o m e r s m u s t s h o r t e n ( o r t r u n c a t e ) t h e ac c o u n t i n f o r m a t i o n . Re t e n t i o n o f p a y m e n t c a r d t r a n s a c t i o n i n f o r m a t i o n t o b e a d d r e s s e d Se v e n t y f i v e p e r c e n t o f t h e m e r c h a n t t e r m i n a l s b e i n g us e d b y C o u n t y d e p a r t m e n t s a r e c r e a t i n g m e r c h a n t re c e i p t s a n d r e p o r t s c a r r y i n g c a r d h o l d e r d a t a . T h e “ m e r ch a n t c o p y ” o f r e c e i p t s c a n i n c l u d e f u l l a c c o u n t in f o r m a t i o n . D e p a r t m e n t s r e g u l a r l y r e t a i n a n d s e c u r e th i s k i n d o f i n f o r m a t i o n . I n d i s c u s s i o n s w i t h t h e Co u n t y C l e r k , i t h a s b e e n d i s c o v e r e d t h a t s t a t e a r c h i v e r u l e s d o n o t a d d r e s s h o w l o n g t h e s e k i n d s o f do c u m e n t s s h o u l d b e r e t a i n e d . It i s a l l o w a b l e f o r m e r c h a n t r e t a i n e d i n f o r m a t i o n t o i n c l u d e s e l e c t e d c a r d h o l d e r i n f o r m a t i o n . T h e p a y m e n t ca r d i n d u s t r y m a k e s i t c l e a r t h a t m e d i a c o n t a i n i n g c a r d h o l de r d a t a s h o u l d o n l y b e r e t a i n e d a s l o n g a s ne c e s s a r y f o r b u s i n e s s o r l e g a l r e a s o n s . E x t e n d e d s t o r a g e o f c a r d h o l d e r d a t a t h a t e x c e e d s b u s i n e s s n e e d cr e a t e s a n u n n e c e s s a r y r i s k . T h e C o u n t y ’ s m e r c h a n t p r o c e s s o r in d i c a t e s t h a t t h e i r p r e f e r e n c e w o u l d b e t o ha v e a l l a c c o u n t i n f o r m a t i o n t r u n c a t e d . I f t h i s a c c o u n t in f o r m a t i o n i s r e t a i n e d , t h e y s t a t e d 6 0 - 9 0 d a y s s h o u l d be a s u f f i c i e n t h o l d i n g p e r i o d u n t i l d e s t r o y e d . Ca r d h o l d e r d a t a i s s u s c e p t i b l e t o u n a u t h o r i z e d v i e w i n g , c o p y i n g , o r s c a n n i n g i f i t i s u n p r o t e c t e d w h i l e i t i s o n po r t a b l e m e d i a , p r i n t e d o u t ( i n a f o r m o r r e p o r t ) , or l e f t o n s o m e o n e ’ s d e s k . T h e d i s p l a y o f f u l l c a r d h o l d er ac c o u n t i n f o r m a t i o n o n p a p e r r e p o r t s c a n r e s u l t i n t h i s d a t a b e i n g o b t a i n e d b y u n a u t h o r i z e d i n d i v i d u a l s a n d us e d f r a u d u l e n t l y . W i t h o u t s u f f i c i e n t p r o c e d u r e s , d a t a c a n b e l o s t o r s t o l e n a n d u s e d f o r f r a u d u l e n t p u r p o s es. So m e o f t h e d a t a b e i n g r e t a i n e d i s p a r t l y b e c a u s e t h e m e r c h a n t t e r m i n a l s h a v e n o t b e e n s e t u p t o t r u n c a t e Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 6 of 16 ac c o u n t n u m b e r i n f o r m a t i o n . T h o u g h d e p a r t m e n t s h a v e h ad n o i s s u e s w i t h s e c u r e l y s t o r i n g s u c h d a t a , i t cr e a t e s a p o t e n t i a l a r e a o f r i s k T h e C o u n t y ’ s b a n k a n d m e r c h a n t p r o c e s s o r i n d i c a t e t h e r e m a y b e a s i m p l e so f t w a r e f i x f o r t h i s a n d c a n p r o v i d e d e p a r t m e n t s s u p p o rt f o r a l l t r a n s a c t i o n s . It i s r e c o m m e n d e d f o r t h e C o u n t y C l e r k t o w o r k w i t h t h e S t a t e t o i d e n t i f y c l e a r l y w h a t r e q u i r e m e n t s we m a y h a v e t o f o l l o w o n d o c u m e n t r e t e n t i o n ( h o w m u ch i n f o r m a t i o n a n d f o r h o w l o n g ) . It i s r e c o m m e n d e d f o r C o u n t y d e p a r t m e n t s t o c o n s i d e r l i m i t i n g / t r u n c a t i n g a l l r e t a i n e d c a r d h o l d e r in f o r m a t i o n . I t i s r e c o m m e n d e d f o r D e p a r t m e n t s t o i de n t i f y , c l a s s i f y a n d s e c u r e a n y c a r d h o l d e r d a t a re t a i n e d a n d d e s t r o y w h e n b u s i n e s s o r l e g a l r e q u i r e me n t s a r e m e t . Wr i t t e n p o l i c i e s o v e r p a y m e n t c a r d t r a n s a c t i o n s f a i l t o a d d r e s s s e c u r i t y a s p e c t s . A n u m b e r o f d e p a r t m e n t s h a v e w r i t t e n p o l i c i e s a n d p r o c e du r e s o v e r p r o c e s s i n g p a y m e n t c a r d t r a n s a c t i o n s , ho w e v e r a l l d e p a r t m e n t s ’ p r o c e d u r e s w e r e i n a d e q u a t e i n a d d r e s s i n g t h e s e c u r i t y a s p e c t s r e q u i r e d u n d e r t h e PC I / D S S s t a n d a r d s . T h i s w a s e v i d e n c e d i n t w o d e p a r t m e n t s, w h e r e s t a f f r e t a i n e d s e n s i t i v e i n f o r m a t i o n o r im p r o p e r l y s t o r e d a c c o u n t i n f o r m a t i o n . A c o u p l e o f d e p ar t m e n t s d e s t r o y i n f o r m a t i o n w i t h o l d e r s t r i p - c u t sh r e d d e r s ( a s o p p o s e d t o c r o s s - c u t ) . T h o u g h n o d a t a b r e a c h es h a v e b e e n i d e n t i f i e d w i t h t h e s e p r a c t i c e s , i t do e s i n d i c a t e t h e n e e d f o r d e v e l o p m e n t o f w r i t t e n p o l ic i e s a n d p r o c e d u r e s a s w e l l a s s t a f f t r a i n i n g o n t h e s e ma t t e r s t o b e t t e r c o m p l y w i t h t h e P C I / D S S s t a n d a r d s . Th e P C I / D S S s t a n d a r d s e m p h a s i z e t h a t m e r c h a n t s a r e n o t t o s t o r e s e n s i t i v e a u t h e n t i c a t i o n d a t a a f t e r au t h o r i z a t i o n ( e v e n i f e n c r y p t e d ) . S e n s i t i v e a u t h e n t ic a t i o n d a t a c o n s i s t s o f m a g n e t i c s t r i p e d a t a , c a r d va l i d a t i o n c o d e ( t h r e e - d i g i t o r f o u r - d i g i t n u m b e r p r in t e d o n t h e f r o n t o r b a c k o f a p a y m e n t c a r d u s e d t o v erify ca r d - n o t - p r e s e n t t r a n s a c t i o n s ) , a n d P I N d a t a . A n u m b e r o f t h e P C I / D S S s t a n d a r d s a r e b e s t a d d r e s s e d t h ro u g h w r i t t e n p o l i c i e s a n d p r o c e d u r e s . I n c l u d i n g : 1. D o n o t s t o r e s e n s i t i v e a u t h e n t i c a t i o n d a t a a f t e r a u th o r i z a t i o n . 2. C a r d h o l d e r a c c o u n t n u m b e r s s h o u l d b e m a s k e d / t r u n c a t e d i n m o s t c i r c u m s t a n c e s . 3. C a r d h o l d e r a c c o u n t i n f o r m a t i o n s h o u l d n o t b e s e n t b y a n y u n e n c r y p t e d m e t h o d ( s u c h a s t h r o u g h a n em a i l , i n s t a n t m e s s a g i n g , o r c h a t ) 4. R e s t r i c t a c c e s s t o c a r d h o l d e r d a t a t o o n l y t h o s e w i t h a bu s i n e s s n e e d t o k n o w . 5. R e s t r i c t a n d s e c u r e p h y s i c a l a c c e s s t o c a r d h o l d e r d a t a a s l o ng a s i t i s r e t a i n e d . a. I d e n t i f y e f f o r t s t o s e c u r e t h e d a t a b y t y p e o f m e d ia a n d l o c a t i o n . b. T h e i n f o r m a t i o n s h o u l d b e c l a s s i f i e d s o i t c a n b e m a r ke d a s c o n f i d e n t i a l . Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 7 of 16 c. A n y m o v e m e n t o f t h i s m e d i a s h o u l d b e t r a c k e d a n d l o g ge d . d. D a t a i s s u f f i c i e n t l y d e s t r o y e d w h e n i t i s n o l o n g e r n ee d e d f o r b u s i n e s s o r l e g a l r e a s o n s ( c r o s s - cu t s h r e d d e d , i n c i n e r a t e d o r p u l p e d . ) 6. S e c u r i t y p o l i c y s h o u l d b e p u b l i s h e d a n d d i s s e m i n a t e d ( an d r e v i e w e d a n n u a l l y . ) a. T h i s s h o u l d a d d r e s s w h a t t e c h n o l o g i e s m a y b e e m p l o y e d . b. T h i s s h o u l d i d e n t i f y e a c h e m p l o y e e ’ s r e s p o n s i b i l i t y . c. T h i s s h o u l d i d e n t i f y m a n a g e m e n t r e s p o n s i b i l i t i e s t o ha n d l e i n c i d e n t r e s p o n s e a n d e n s u r e ti m e l y a n d e f f e c t i v e h a n d l i n g o f a l l s i t u a t i o n s . d. T h e r e s h o u l d b e f o r m a l s e c u r i t y a w a r e n e s s t r a i n i n g t o h i g h l i g h t t h e i m p o r t a n c e o f c a r d h o l d e r da t a s e c u r i t y . e. T h e r e s h o u l d b e p r o c e d u r e s t o a s s u r e v e n d o r s / p r o v i d e r s m a i n t a i n s e c u r i t y , d u e d i l i g e n c e p r i o r to e n g a g e m e n t a n d m o n i t o r i n g o f t h e i r P C I / D S S c o m p l i an c e s t a t u s . Th e r e h a v e b e e n n o i s s u e s n o t e d w i t h h e l d c a r d h o l d e r da t a . C o u n t y s t a f f w e r e f o u n d t o b e v i g i l a n t a n d pr o t e c t i v e o f c a r d h o l d e r d a t a e v e n i n t h e a b s e n c e o f wr i t t e n p r o c e d u r e s . S e n s i t i v e d a t a i s v e r y v a l u a b l e t o ma l i c i o u s i n d i v i d u a l s a s i t a l l o w s t h e m t o g e n e r a t e c o u n te r f e i t p a y m e n t c a r d s a n d c r e a t e f r a u d u l e n t tr a n s a c t i o n s . It i s r e c o m m e n d e d f o r C o u n t y m a n a g e m e n t t o i n s t i t u t e w r i t t e n p o l i c i e s a n d p r o c e d u r e s t o c o v e r t h e PC I / D S S r e q u i r e m e n t s a n d t r a i n a p p r o p r i a t e s t a f f o n t h o s e r e q u i r e m e n t s . It i s r e c o m m e n d e d f o r d e p a r t m e n t s t o r e v i e w w h e t h e r t h e i r r e c o r d s c o n t a i n a n y s e n s i t i v e c a r d h o l d e r in f o r m a t i o n a n d a p p r o p r i a t e l y d e s t r o y t h a t i n f o r m a t io n . It i s r e c o m m e n d e d f o r d e p a r t m e n t s n o t u s i n g s h r e d s er v i c e s o r c r o s s - c u t s h r e d d e r s t o p r o v i d e a n ap p r o p r i a t e f o r m o f d e s t r u c t i o n b a s e d o n t h e s t a n d a rd s . Re t i r e e h e a l t h i n s u r a n c e p r e m i u m s p a i d w i t h o u t a u t h or i z a t i o n f o r m s . A n u m b e r o f C o u n t y r e t i r e e s p a y m o n t h l y h e a l t h i n s u r a nc e p r e m i u m s t h r o u g h p a y m e n t c a r d s . T h e de p a r t m e n t o b t a i n s a n d h o l d s r e l e v a n t p a y m e n t c a r d i n fo r m a t i o n f o r m a k i n g t h e s e t r a n s a c t i o n s b u t d i d n o t ha v e r e t i r e e s s i g n a n a p p r o p r i a t e a u t h o r i z a t i o n f o r m fo r t h e s e r e c u r r i n g p a y m e n t s . Au t h o r i z a t i o n f o r m s d o c u m e n t t h e a m o u n t a n d d u r a t i o n o f a u t h o r i z a t i o n b e i n g p r o v i d e d t o p r o c e s s p a y m e n t ca r d p a y m e n t s . Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 8 of 16 In t h e a b s e n c e o f t h e f o r m , t h e r e m i g h t b e s o m e m i s c o m m u ni c a t i o n o n c h a r g e s t o b e m a d e . T h e C o u n t y ha s n o t h a d a n y d i s p u t e s w i t h r e t i r e e s p a y i n g i n t h i s m a nn e r . It i s r e c o m m e n d e d f o r P e r s o n n e l t o d e v e l o p a n a p p r o pr i a t e a u t h o r i z a t i o n f o r m f o r t h e s e r e c u r r i n g he a l t h i n s u r a n c e t r a n s a c t i o n s . 4. MA N A G E M E N T RE S P O N S E S 4. 1 Co u n t y Ad m i n i s t r a t o r De p a r t m e n t o f A d m i n i s t r a t i v e S e r v i c e s Da v e K a n n e r - Co u n t y A d m i n i s t r a t o r 13 0 0 N W W a l l S t . , S u i t e 2 0 0 , B e n d , O R 9 7 7 0 1 - 1 9 6 0 (5 4 1 ) 3 8 8 - 6 5 7 0 - F a x ( 5 4 1 ) 3 8 5 - 3 2 0 2 www.deschutes.org Fe b r u a r y 1 , 2 0 1 0 TO : D a v i d G i v a n s FR O M : D a v e K a n n e r RE : P a y m e n t C a r d S e c u r i t y A u d i t Th a n k y o u f o r y o u r e x c e l l e n t a u d i t o f p a y m e n t c a r d s e c u ri t y . I c o n c u r w i t h a l l o f y o u r r e c o m m e n d a t i o n s . A s t o th e r e c o m m e n d a t i o n t h a t “ C o u n t y M a n a g e m e n t … i n s t i t u t e wr i t t e n p o l i c i e s a n d p r o c e d u r e s … ” ( p a g e 7 o f 8 ) , I wo u l d a p p r e c i a t e i t i f y o u w o u l d t a k e t h e l e a d o n d e ve l o p i n g s u c h p o l i c i e s a n d p r o c e d u r e s a n d p r o v i d e m e w i th ex a m p l e s f r o m o t h e r l o c a l j u r i s d i c t i o n s , i f t h e r e a r e a n y. Si m i l a r l y , I w o u l d a p p r e c i a t e i t i f y o u w o u l d p r o v i d e t h e P e r s o n n e l D e p a r t m e n t w i t h a n y e x a m p l e s y o u m i g h t ha v e o f a u t h o r i z a t i o n f o r m s f o r r e c u r r i n g h e a l t h i n s u r an c e t r a n s a c t i o n s , a n d m y o f f i c e w i l l e n s u r e t h a t s u c h a fo r m i s c r e a t e d f o r o u r o w n u s e . Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 9 of 16 4. 2 Fi n a n c e De p a r t m e n t Fr o m : M a r t y W y n n e , F i n a n c e D i r e c t o r / T r e a s u r e r Fe b r u a r y 0 9 , 2 0 1 0 To : D a v i d G i v a n s Su b j e c t : W r i t t e n c o m m e n t s : P a y m e n t c a r d s e c u r i t y r e p o r t a . C o n c u r w i t h a l l r e c o m m e n d a t i o n s a s o u t l i n e d i n t h e r e p o r t . b . C o m m e n t s - In r e g a r d t o t h e r e c o m m e n d a t i o n f o r C o u n t y d e p a r t m e n ts t o c o n s i d e r l i m i t i n g / t r u n c a t i n g a l l re t a i n e d c a r d h o l d e r i n f o r m a t i o n - W e a r e p r e s e n t l y t ra n s i t i o n i n g o u r m e r c h a n t b a n k c a r d pr o c e s s i n g t o E l a v o n , I n c . a s a r e s u l t o f a n a l l i a n c e b y B a n k o f t h e C a s c a d e s f o r t h e i r me r c h a n t p r o c e s s i n g . T h i s w i l l i n v o l v e d n e w s o f t w a r e d o w nl o a d e d o n t h e i n d i v i d u a l c r e d i t c a r d te r m i n a l s o r r e p l a c e m e n t o f o l d e r t e r m i n a l s t h a t c a n n o t b e u p d a t e d , t h i s p r o c e s s w i l l t r u n c a t e th e c a r d h o l d e r a c c o u n t i n f o r m a t i o n o n a l l r e c e i p t s a n d r e p o r t s . In r e g a r d t o t h e r e c o m m e n d a t i o n f o r C o u n t y m a n a g e m e n t t o i n s t i t u t e w r i t t e n p o l i c i e s a n d pr o c e d u r e s t o c o v e r t h e P C I / D S S r e q u i r e m e n t s a n d t r a i n ap p r o p r i a t e s t a f f o n t h o s e re q u i r e m e n t s - I w o u l d r e c o m m e n d t h a t a s u b - c o m m i t t e e b e f o r m e d t o d r a f t l a n g u a g e r e g a r d i n g a C o u n t y p o l i c y a d d r e s s i n g s e c u r i t y o f c r e d i t c a r d h o l d e r d a t a a n d d e v e l o p i n g w r i t t e n c r e d i t c a r d pr o c e s s i n g b e s t p r a c t i c e s . M e m b e r s c o u l d i n c l u d e t h e I n t e r na l A u d i t o r , a m e m b e r o f t h e Fi n a n c e D e p a r t m e n t , a n d i n d i v i d u a l s f r o m d e p a r t m e n t s wh o p r e s e n t l y a c c e p t c r e d i t c a r d pa y m e n t s . -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ------------------------ 4. 3 So l i d W a s t e De p a r t m e n t ME M O TO : D a v i d G i v a n s , C o u n t y I n t e r n a l A u d i t o r FR O M : D e b b i e P a r r e t , S o l i d W a s t e A d m i n A n a l y s t CC : T i m m S c h i m k e , D i r e c t o r o f S o l i d W a s t e DA T E : J a n u a r y 2 8 , 2 0 1 0 SU B J E C T : P a y m e n t C a r d S e c u r i t y A u d i t R e s p o n s e W e c o n c u r w i t h a l l f i n d i n g s a n d r e c o m m e n d a t i o n s a n d w i ll i m p l e m e n t c h a n g e s a s f o l l o w s : 1. It i s r e c o m m e n d e d f o r C o u n t y d e p a r t m e n t s t o c o n s i d e r l i m i t i n g / t r u n c a t i n g a l l r e t a i n e d c a r d h o l d e r Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 10 of 16 So l i d W a s t e De p a r t m e n t (c o n t i n u e d ) in f o r m a t i o n . I t i s r e c o m m e n d e d f o r D e p a r t m e n t s t o id e n t i f y , c l a s s i f y a n d s e c u r e a n y c a r d h o l d e r d a t a re t a i n e d a n d d e s t r o y w h e n b u s i n e s s o r l e g a l r e q u i r e me n t s a r e m e t . Th e D e p a r t m e n t i s / w i l l w o r k w i t h C h e r y l C i r c l e i n F i n a n ce t o c o m p l e t e t h e s o f t w a r e u p d a t e s n e e d e d t o pr o v i d e t r u n c a t i o n o f c a r d h o l d e r c a r d n u m b e r s o n a l l r ec e i p t s ( c u s t o m e r a n d m e r c h a n t ) a s w e l l a s o n de t a i l a n d s u m m a r y r e p o r t s . T h i s w i l l o c c u r o n m a c h i n e s at t h e A d m i n i s t r a t i v e o f f i c e , K n o t t S c a l e h o u s e , Ne g u s T r a n s f e r S t a t i o n S c a l e h o u s e a n d t h e N o r t h w e s t T r a ns f e r S t a t i o n S c a l e h o u s e . Th e e x c e p t i o n w i l l o c c u r o n t h e m a c h i n e a t t h e S o u t h w e s t T r a n s f e r S t a t i o n S c a l e h o u s e . D u e t o t h e l a c k of p h o n e l i n e s a t t h a t s i t e , t h e i n f o r m a t i o n i s v e r i f ie d a n d t r a n s f e r r e d v i a a p h o n e l i n k o n c e a w e e k i n t h e So l i d W a s t e A d m i n i s t r a t i v e O f f i c e . B e c a u s e t h e p o t e n t i al f o r a c a r d t o b e “ d e c l i n e d ” o c c u r s a t t h i s p o i n t , fu l l c a r d h o l d e r n u m b e r s a r e r e t a i n e d o n t h e d e t a i l r ep o r t f o r c o l l e c t i o n p u r p o s e s . G e n e r a l l y , c o l l e c t i o n ha s o c c u r r e d w i t h i n a w e e k f o l l o w i n g t h e i n i t i a l t r a n s a ct i o n d e c l i n e . W e a g r e e t o i d e n t i f y , c l a s s i f y a n d d e s t r o y a n y s e n s i t i v e ca r d h o l d e r d a t a 6 0 - 9 0 d a y s f o l l o w i n g t h e d a t e o f th e o r i g i n a l t r a n s a c t i o n a s b u s i n e s s a n d l e g a l r e q u i r e m e n ts a r e m e t b y t h i s t i m e . 2. It i s r e c o m m e n d e d f o r C o u n t y m a n a g e m e n t t o i n s t i t u t e w r i t t e n p o l i c i e s a n d p r o c e d u r e s t o c o v e r t h e PC I / D S S r e q u i r e m e n t s a n d t r a i n a p p r o p r i a t e s t a f f o n t h o s e r e q u i r e m e n t s . W e a g r e e a n d w i l l c o m p l y w i t h i n 3 0 d a y s . 3. It i s r e c o m m e n d e d f o r d e p a r t m e n t s t o r e v i e w w h e t h e r t h e i r r e c o r d s c o n t a i n a n y s e n s i t i v e c a r d h o l d e r in f o r m a t i o n a n d a p p r o p r i a t e l y d e s t r o y t h a t i n f o r m a t io n . W e a g r e e a n d w i l l c o m p l y w i t h i n 6 0 d a y s . 4. It i s r e c o m m e n d e d f o r d e p a r t m e n t s n o t u s i n g s h r e d s er v i c e s o r c r o s s - c u t s h r e d d e r s t o p r o v i d e a n ap p r o p r i a t e d f o r m o f d e s t r u c t i o n b a s e d o n t h e s t a n d ar d s . W e c u r r e n t l y u s e s h r e d s e r v i c e s f o r l a r g e j o b s a n d h a v e a c r o s s - c u t s h r e d d e r i n t h e A d m i n i s t r a t i v e O f f i c e fo r s m a l l e r i t e m s . Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 11 of 16 4. 4 He a l t h S e r v i c e s De p a r t m e n t To : D a v i d G i v a n s , C o u n t y I n t e r n a l A u d i t o r Fr o m : V i c k i S h a w , A d m i n i s t r a t i v e S u p e r v i s o r I I Su b j e c t : M a n a g e m e n t ’ s r e s p o n s e t o A u d i t R e p o r t Re c o m m e n d a t i o n : P a y m e n t C a r d S e c u r i t y a) M a n a g e m e n t P o s i t i o n c o n c e r n i n g r e c o m m e n d a t i o n _ X _ C o n c u r s _ _ _ D i s a g r e e b) C o m m e n t s : a. C r e d i t c a r d n u m b e r s r e c e i v e d t h a t a r e n o t t r u n c a t e d (a s i n a s t a t e m e n t r e q u e s t i n g t o c h a r g e a ca r d ) a r e i m m e d i a t e l y b l a c k e n e d o u t o n t h e s t a t e m e n t a ft e r e n t e r i n g t h e c h a r g e s . T h r e e d i g i t se c u r i t y a u t h e n t i c a t i o n c o d e i s a l s o r e m o v e d a f t e r c h a r g e s ha v e b e e n e n t e r e d . T h i s w a s a n im m e d i a t e c h a n g e t o p r o c e d u r e s a f t e r C o u n t y A u d i t o r v is i t t o d e p a r t m e n t , 1 2 / 1 5 / 0 9 . b. R e g a r d i n g r e t e n t i o n : H e a l t h D e p a r t m e n t f i l e s a l l c r e d i t c a r d r e c e i p t s w i t h d a i l y d e p o s i t s . D a i l y de p o s i t s a r e h e l d f o r t h r e e y e a r s p e r O A R 1 6 6 - 1 0 3 0 0 2 5 ( 2) . D a i l y d e p o s i t r e c o r d s a r e k e p t se c u r e o r a r c h i v e d f o r d e s t r u c t i o n . D a i l y d e p o s i t s a r e d e s t ro y e d b y s e c u r e s h r e d . c. W r i t t e n p r o c e d u r e s f o r h a n d l i n g c r e d i t c a r d s w i l l b e r e- w r i t t e n t o i n c l u d e r e c o m m e n d e d PC I / D S S s t a n d a r d s a s s t a t e d i n t h e C o u n t y A u d i t o r s d r a f t. F u l l c r e d i t c a r d n u m b e r s a n d t h r e e di g i t s e c u r i t y a u t h e n t i c a t i o n n u m b e r s w i l l o n l y b e r e t a in e d l o n g e n o u g h t o e n t e r t h e c h a r g e s . c) . E s t i m a t e d d a t e o f c o r r e c t i v e a c t i o n _ 1 2 / 1 5 / 2 0 0 9 f o r p r o c e d u r a l c h a n g e s . W r i t t e n p r o c e d u r e s t o b e co m p l e t e d b y F e b r u a r y 2 8 , 2 0 0 9 . d) . E s t i m a t e d C o s t t o i m p l e m e n t r e c o m m e n d a t i o n , i f si g n i f i c a n t $ _ 0 . 0 0 . Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 12 of 16 4. 5 Co m m u n i t y De v e l o p m e n t De p a r t m e n t Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 13 of 16 Co m m u n i t y De v e l o p m e n t De p a r t m e n t (c o n t i n u e d ) -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ------------------------ 4. 6 Fa i r & E x p o De p a r t m e n t Fr o m : D a n D e s p o t o p u l o s , F a i r & E x p o D i r e c t o r Su b j e c t : R E : W r i t t e n c o m m e n t s r e q u e s t e d : P a y m e n t c a r d se c u r i t y r e p o r t I c o n c u r w i t h t h e f i n d i n g s a n d r e c o m m e n d a t i o n s . Co m m e n t s : I a g r e e w e s h o u l d a l l h a v e w r i t t e n p o l i c i e s , i s t h i s a p ol i c y t h a t w i l l b e a d o p t e d b y t h e B O C C o r i s i t t h e re s p o n s i b i l i t y o f e a c h d e p a r t m e n t ? I f y e s , w e w i l l h a v e i t c o m p l e t e d w i t h i n t h e n e x t t w o w e e k s ( 2 / 1 2 / 1 0 ) W e ha v e l o o k e d i n t o t h e c o s t s o f t h e c r i s s - c r o s s s h r e d d e r a n d t h ey a r e v e r y e x p e n s i v e . W e d o a s y o u k n o w h a v e a sh r e d d e r , i s i t p o l i c y o r a r e q u i r e m e n t t o h a v e a c r i s s - c r os s , i f s o w e w i l l h a v e o n e w i t h i n t h e n e x t t w o w e e k s (2 / 1 2 / 1 0 ) . Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 14 of 16 4. 7 Ju s t i c e C o u r t De s c h u t e s C o u n t y J u s t i c e C o u r t Re d m o n d , O R 9 7 7 5 6 Fr o m : C a r o l G a r i b a y , C o u r t C o o r d i n a t o r To : D a v i d G i v a n s Su b j e c t : W r i t t e n c o m m e n t s r e q u e s t e d : P a y m e n t c a r d s e c u ri t y r e p o r t Fi n a n c e s h o u l d d e v e l o p s t a n d a r d p r a c t i c e s f o r h a n d l i n g cr e d i t c a r d s a n d i m p l e m e n t a p o l i c y . I f n o t , t h e de p a r t m e n t s s h o u l d b e e f u p t h e i r p o l i c i e s s o t h e y c o m p l y w i t h r e g u l a t i o n s . I ' m l o o k i n g f o r w a r d t o h a v i n g o u r ma c h i n e s u p d a t e d s o c r e d i t c a r d n u m b e r s a r e t r u n c a t e d . -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ------------------------ 4. 8 Pe r s o n n e l De p a r t m e n t Fr o m : R o n d a C o n n o r , H e a l t h B e n e f i t s C o o r d i n a t o r Se n t : M o n d a y , F e b r u a r y 0 1 , 2 0 1 0 Su b j e c t : W r i t t e n c o m m e n t s r e q u e s t e d : P a y m e n t c a r d s e c u ri t y r e p o r t W e r e m o v e d a l l s e n s i t i v e i n f o r m a t i o n t h e d a y t h a t D a v id a u d i t e d o u r p r o c e s s . Da v i d d i d s e n d m e a H e a l t h D e p a r t m e n t v e r s i o n o f t h e Au t o P a y f o r m a s w e l l a s a n o t h e r a g e n c i e s . a n d I w i l l se n d t h e m t h r o u g h l e g a l a n d i m p l e m e n t o n t h e n e x t m o nt h ' s b i l l i n g s t a t e m e n t . -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ------------------------ 4. 9 Cl e r k ’ s O f f i c e Ja n u a r y 1 5 , 2 0 1 0 To : D a v i d G i v a n s , C o u n t y I n t e r n a l A u d i t o r Fr o m : N a n c y B l a n k e n s h i p , D e s c h u t e s C o u n t y C l e r k Re : M a n a g e m e n t ’ s R e s p o n s e t o A u d i t R e p o r t – P a y m e n t Ca r d S e c u r i t y Re c o m m e n d a t i o n : It i s r e c o m m e n d e d f o r t h e C o u n t y C l e r k t o w o r k w i t h t h e S t a t e t o i d e n t i f y c l e a r l y w h a t r e q u i r e m e n t s w e ma y h a v e t o f o l l o w o n d o c u m e n t r e t e n t i o n ( h o w m u c h in f o r m a t i o n a n d f o r h o w l o n g ) . a) M a n a g e m e n t p o s i t i o n c o n c e r n i n g r e c o m m e n d a t i o n X C o n c u r s _ _ D i s a g r e e Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 15 of 16 Cl e r k ’ s O f f i c e (c o n t i n u e d ) b) C o m m e n t s : It i s a p p r o p r i a t e t o s e e k g u i d a n c e f r o m t h e O r e g o n S t a t e A r c h i v i s t t o d e t e r m i n e t h e r e t e n t i o n pe r i o d f o r p a y m e n t c a r d p r o c e s s i n g i n f o r m a t i o n c o l l e c t e d b y t h e C o u n t y i n t h e c o u r s e o f co n d u c t i n g b u s i n e s s . T h e S t a t e A r c h i v i s t e s t a b l i s h e s r e c o r d r e te n t i o n p e r i o d s o f p u b l i c r e c o r d s f o r po l i t i c a l s u b d i v i s i o n s o f t h e S t a t e o f O r e g o n . T h e C l e r k h a s c o n t a c t e d t h e S t a t e A r c h i v e s t o de v e l o p a r e t e n t i o n s c h e d u l e f o r t h e a b o v e d e s c r i b e d r ec o r d s . T h e S t a t e A r c h i v e s h a s a Ru l e m a k i n g p r o c e s s t h e y f o l l o w w h e n d r a f t i n g a n d n o t i c i n g c h a n g e s t o t h e O r e g o n A d m i n i s t r a t i v e Ru l e s . c) E s t i m a t e d d a t e o f c o r r e c t i v e a c t i o n : Cl e r k w i l l m o n i t o r p r o g r e s s o f t h e R u l e m a k i n g p r o c e s s . A n O v e r v i e w o f t h e R u l e m a k i n g p r o c e s s ca n b e a c c e s s e d f r o m ht t p : / / a r c w e b . s o s . s t a t e . o r . u s / b a n n e r s / r u l e s . h t m d) E s t i m a t e d c o s t t o i m p l e m e n t t h e r e c o m m e n d a t i o n w o u l d b e i n s i g n i f i c a n t . -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - ------------------------ {A D D I T I O N A L U P D A T E } Ja n u a r y 2 8 , 2 0 1 0 To : D a v i d G i v a n s , C o u n t y I n t e r n a l A u d i t o r Fr o m : N a n c y B l a n k e n s h i p , D e s c h u t e s C o u n t y C l e r k Re : M a n a g e m e n t ’ s R e s p o n s e t o A u d i t R e p o r t – P a y m e n t Ca r d S e c u r i t y Re c o m m e n d a t i o n : It i s r e c o m m e n d e d f o r t h e C o u n t y C l e r k t o w o r k w i t h t h e S t a t e t o i d e n t i f y c l e a r l y w h a t re q u i r e m e n t s w e m a y h a v e t o f o l l o w o n d o c u m e n t r e t e nt i o n ( h o w m u c h i n f o r m a t i o n a n d f o r h o w lo n g ) . Th e O r e g o n S t a t e A r c h i v e i s p r o p o s i n g t h e f o l l o w i n g l a ng u a g e r e g a r d i n g t h e r e t e n t i o n o f c r e d i t / d e b i t do c u m e n t a t i o n . T h e p r o p o s e d r u l e s s h o u l d b e p o s t e d f o r p u b l i c c o m m e n t a n d h e a r i n g s h o r t l y . T h e ru l e m a k i n g p r o c e s s t a k e s a b o u t 4 9 d a y s . Cr e d i t a n d D e b i t R e c e i p t s - a g e n c y ' s c o p y o f c r e d i t o r d e b it c a r d r e c e i p t d o c u m e n t i n g p a y m e n t r e c e i v e d by a g e n c y . R e c o r d s i n c l u d e c u s t o m e r ' s n a m e a n d a c c o u n t i n f o r ma t i o n ( R e t e n t i o n : R e t a i n 3 6 m o n t h s af t e r t r a n s a c t i o n , d e s t r o y ) . Th i s m o r n i n g I h a d a c o n v e r s a t i o n w i t h t h e O r e g o n S t a te A r c h i v e s t o c l a r i f y w h a t s p e c i f i c r e c o r d s a r e t o Pa y m e n t c a r d s e c u r i t y r e p o r t # 0 9 / 1 0 - 5 F e b r u a r y 2 0 1 0 Page 16 of 16 Cl e r k ’ s O f f i c e (c o n t i n u e d ) be r e t a i n e d 3 6 m o n t h s . T h e 3 6 m o n t h r e t e n t i o n i s s t a n d ar d f o r f i n a n c i a l r e l a t e d r e c o r d s . T h e r e c o r d s re q u i r e d t o b e r e t a i n e d 3 6 m o n t h s w o u l d b e t h e f i n a l r e c e i p t d o c u m e n t s . W o r k i n g o r p r e p a r a t i o n r e c o r d s th a t c o n t a i n a f u l l c r e d i t / d e b i t n u m b e r a n d s e c u r i t y c o d e c o u l d b e d e s t r o y e d a f t e r t h e t r a n s a c t i o n i s ex e c u t e d . Th a n k y o u f o r b r i n g t h i s t o m y a t t e n t i o n s o w e c o u l d w or k w i t h t h e O r e g o n S t a t e A r c h i v e t o d e v e l o p a re m e d y f o r t h i s s i t u a t i o n . {E n d o f R e p o r t }