Loading...
HomeMy WebLinkAboutFollow-up of Payment card securityFo l l o w - u p r e p o r t o n P a y m e n t c a r d s e c u r i t y # 1 0 / 1 1 - 8 January 2011 FO L L O W - U P R E P O R T Pa y m e n t c a r d s e c u r i t y (I n t e r n a l a u d i t r e p o r t # 0 9 / 1 0 - 5 i s s u e d F e b r u a r y 1 0 , 2 0 1 0 ) De s c h u t e s C o u n t y , Or e g o n David Givans, CPA, CIA De s c h u t e s C o u n t y I n t e r n a l A u d i t o r 1300 NW Wall St Bend, OR 97701 (541) 330-4674 da v i d g @ c o . d e s c h u t e s . o r . u s Audit committee: Mi c h a e l S h a d r a c h , C h a i r - P u b l i c m e m b e r Ch r i s E a r n e s t - P u b l i c m e m b e r Ga y l e M c C o n n e l l - P u b l i c m e m b e r Je a n P e d e l t y - P u b l i c m e m b e r Gr e g Q u e s n e l - P u b l i c m e m b e r Je n n i f e r W e l a n d e r - P u b l i c m e m b e r An t h o n y D e B o n e , C o u n t y C o m m i s s i o n e r To m A n d e r s o n , C o m m u n i t y D e v e l o p m e n t D i r e c t o r Sc o t L a n g t o n , C o u n t y A s s e s s o r Fo l l o w - u p r e p o r t o n P a y m e n t c a r d s e c u r i t y # 1 0 / 1 1 - 8 January 2011 TA B L E O F CO N T E N T S : 1. I N T R O D U C T I O N 1. 1 . B a c k g r o u n d … … … … … … … … … … … … … … … . . . … … … … … … . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 1. 2 . O b j e c t i v e s & S c o p e … … … … … … … … … … … … … … .. … … … … … … … … … … . … … 1 1. 3 . M e t h o d o l o g y … … … … … … … … … … … … … … … … … … … … . . … … … … … … … … … . 1 2. F O L L O W - U P R E S U L T S … … … … … … . … . . . … … … … … … … … … … . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 3. A P P E N D I X I – I n t e r n a l A u d i t R e c o m m e n d a t i o n s - U p d a t e d W o r k p l a n f or Re p o r t # 0 9 / 1 0 - 5 ( S t a t u s u p d a t e d a s o f J a n u a r y 1 4 , 2 0 11 ) … .. . . . … … … ...……........... 3-4 AP P E N D I X I I – F - 1 2 P a y m e n t C a r d S e c u r i t y P o l i c y ( i n c l u d e s E x h i b i t A) ....…........... 5-7 Fo l l o w - u p r e p o r t o n P a y m e n t c a r d s e c u r i t y # 1 0 / 1 1 - 8 January 2011 Page 1 1. In t r o d u c t i o n 1. 1 BA C K G R O U N D Au d i t A u t h o r i t y : Th e D e s c h u t e s C o u n t y A u d i t C o m m i t t e e h a s s u g g e s t e d t h a t fo l l o w - u p s o c c u r f r o m n i n e m o n t h s t o o n e ye a r a f t e r t h e o r i g i n a l r e p o r t i s s u a n c e . T h e A u d i t C om m i t t e e ’ s w o u l d l i k e t o m a k e s u r e d e p a r t m e n t s sa t i s f a c t o r i l y a d d r e s s r e c o m m e n d a t i o n s . 1. 2 OB J E C T I V E S a n d S C O P E Ob j e c t i v e s : Th e o b j e c t i v e w a s t o f o l l o w - u p o n t h e a u d i t r e c o m m e n d a ti o n s i n t h e r e p o r t . Sc o p e : Th e f o l l o w - u p i n c l u d e d s i x ( 6 ) r e c o m m e n d a t i o n s f r o m t h e i n t e r n a l a u d i t o n P a y m e n t c a r d s e c u r i t y ( # 0 9 / 1 0 - 5 ) (i s s u e d F e b r u a r y 2 0 1 0 ) . Th e f o l l o w - u p r e f l e c t s t h e s t a t u s a s o f J a n u a r y 1 4 , 2 0 1 1 . T h e o r i g i n a l i n t e r n a l a u d i t r e p o r t s h o u l d b e re f e r e n c e d f o r t h e f u l l t e x t o f r e c o m m e n d a t i o n s a n d d is c u s s i o n . 1. 3 ME T H O D O L O G Y Th e f o l l o w - u p r e p o r t w a s d e v e l o p e d f r o m i n f o r m a t i o n pr o v i d e d b y C h e r y l C i r c l e , R e v e n u e A c c o u n t i n g Su p e r v i s o r i n F i n a n c e . I n c a s e s w h e r e r e c o m m e n d a t i o n s h av e n o t b e e n i m p l e m e n t e d , c o m m e n t s w i l l b e so u g h t f o r t h e r e a s o n s w h y a n d t h e t i m i n g f o r a d d r e s s i n g t h e s e . T h e f o l l o w - u p i s , b y n a t u r e , s u b j e c t i v e . I n de t e r m i n i n g t h e s t a t u s o f r e c o m m e n d a t i o n s t h a t w e r e f o l lo w e d u p , w e r e l i e d o n a s s e r t i o n s p r o v i d e d b y t h o s e in v o l v e d a n d d i d n o t a t t e m p t t o i n d e p e n d e n t l y v e r i f y t h o s e a s s e r t i o n s . Fi n a n c e a n d D e p a r t m e n t s t a f f s h o u l d b e a c k n o w l e d g e d f o r th e i r w o r k a t a d d r e s s i n g t h e s e re c o m m e n d a t i o n s . Si n c e n o s u b s t a n t i v e a u d i t w o r k w a s p e r f o r m e d , Go v e r n m e n t A u d i t i n g S t a n d a r d s is s u e d b y t h e C o m p t r o l l e r Ge n e r a l o f t h e U n i t e d S t a t e s w e r e n o t f o l l o w e d . Fo l l o w - u p r e p o r t o n P a y m e n t c a r d s e c u r i t y # 1 0 / 1 1 - 8 January 2011 Page 2 2. Fo l l o w - u p Re s u l t s Fi g u r e I - Ho w w e r e re c o m m e n d a - ti o n s im p l e m e n t e d ? Th e f o l l o w - u p i n c l u d e d t h e s i x ( 6 ) r e c o m m e n d a t i o n s i n t he r e p o r t . Fi g u r e I pr o v i d e s a n o v e r v i e w o f t h e im p l e m e n t a t i o n s t a t u s o f t h e r e c o m m e n d a t i o n s . T h e d e t a il o f t h e u p d a t e d w o r k p l a n i s p r o v i d e d i n Appendix I . W i t h t h i s f o l l o w - u p , 1 0 0 % o f t h e r e c o m m e n d a t i o n s h a v e be e n i m p l e m e n t e d . Co m p l e t e d , 1 0 0 % On e i m p o r t a n t a s p e c t o f t h i s f o l l o w - u p w a s t h e d e v e l o p m en t a n d B o a r d o f C o u n t y C o m m i s s i o n e r a d o p t i o n o f po l i c y F - 1 2 - P a y m e n t c a r d s e c u r i t y p o l i c y . T h i s p o l i c y w as a p p r o v e d M a y 3 , 2 0 1 0 ( s e e Ap p e n d i x I I ) . It was de v e l o p e d t h r o u g h t h e c o l l a b o r a t i o n o f F i n a n c e , A d m i ni s t r a t i o n , a f f e c t e d d e p a r t m e n t s a n d i n t e r n a l a u d i t . It co v e r s t h e r e q u i r e m e n t s w h e n d e p a r t m e n t s a c c e p t p a y m e n t ca r d s a s a f o r m o f p a y m e n t f o r t h e i r s e r v i c e s . Fo l l o w - u p r e p o r t o n P a y m e n t c a r d s e c u r i t y # 1 0 / 1 1 - 8 January 2011 Page 3 3. A p p e n d i x Ap p e n d i x I –Up d a t e d Wo r k p l a n f o r R e p o r t # 0 9/ 1 0 -5 (S t a t u s a s o f J a n u a r y 1 4 , 2 0 1 1 ) Re c # R e c o m m e n d a t i o n A g r e e m e n t St a t u s Up d a t e d d e p a r t m e n t c o m m e n t s Or i g i n a l d e p a r t m e n t c o m m e n t s 1 I t i s r e c o m m e n d e d f o r t h e C o u n t y Cl e r k t o w o r k w i t h t h e S t a t e t o id e n t i f y c l e a r l y w h a t r e q u i r e m e n t s we m a y h a v e t o f o l l o w o n do c u m e n t r e t e n t i o n ( h o w m u c h in f o r m a t i o n a n d f o r h o w l o n g ) . Ag r e e C o m p l e t e d A r c h i v e s i s a d d i n g " C r e d i t a n d D e b i t Re c e i p t s - a g e n c y ' s c o p y o f c r e d i t o r de b i t c a r d r e c e i p t d o c u m e n t i n g p a y m e n t re c e i v e d b y a g e n c y . R e c o r d s i n c l u d e cu s t o m e r ' s n a m e a n d a c c o u n t in f o r m a t i o n ( R e t e n t i o n : R e t a i n 3 6 mo n t h s a f t e r t r a n s a c t i o n , d e s t r o y ) . " Th e r e c o r d s r e q u i r e d t o b e r e t a i n e d 3 6 mo n t h s w o u l d b e t h e f i n a l r e c e i p t do c u m e n t s . W o r k i n g o r p r e p a r a t i o n re c o r d s t h a t c o n t a i n a f u l l c r e d i t / d e b i t nu m b e r a n d s e c u r i t y c o d e c o u l d b e de s t r o y e d a f t e r t h e t r a n s a c t i o n i s ex e c u t e d . 2 I t i s r e c o m m e n d e d f o r C o u n t y de p a r t m e n t s t o c o n s i d e r li m i t i n g / t r u n c a t i n g a l l r e t a i n e d ca r d h o l d e r i n f o r m a t i o n . I t i s re c o m m e n d e d f o r D e p a r t m e n t s t o id e n t i f y , c l a s s i f y a n d s e c u r e a n y ca r d h o l d e r d a t a r e t a i n e d a n d de s t r o y w h e n b u s i n e s s o r l e g a l re q u i r e m e n t s a r e m e t . Ag r e e C o m p l e t e d Ma r c h 2 0 1 0 W e a r e p r e s e n t l y t r a n s i t i o n i n g o u r me r c h a n t b a n k c a r d p r o c e s s i n g t o E l a v o n , In c . a s a r e s u l t o f a n a l l i a n c e b y B a n k o f th e C a s c a d e s f o r t h e i r m e r c h a n t pr o c e s s i n g . T h i s w i l l i n v o l v e d n e w so f t w a r e d o w n l o a d e d o n t h e i n d i v i d u a l cr e d i t c a r d t e r m i n a l s o r r e p l a c e m e n t o f ol d e r t e r m i n a l s t h a t c a n n o t b e u p d a t e d , th i s p r o c e s s w i l l t r u n c a t e t h e c a r d h o l d e r ac c o u n t i n f o r m a t i o n o n a l l r e c e i p t s a n d re p o r t s . 3 I t i s r e c o m m e n d e d f o r C o u n t y ma n a g e m e n t t o i n s t i t u t e w r i t t e n po l i c i e s a n d p r o c e d u r e s t o c o v e r th e P C I / D S S r e q u i r e m e n t s a n d tr a i n a p p r o p r i a t e s t a f f o n t h o s e re q u i r e m e n t s . Ag r e e C o m p l e t e d Ma y 2 0 1 0 F- 1 2 P a y m e n t C a r d P o l i c y a p p r o v e d b y BO C C M a y 3 , 2 0 1 0 Ve r i f i e d w i t h a l l D e p a r t m e n t s t h a t ac c e p t d e b i t / c r e d i t c a r d p a y m e n t s t h a t al l s t a f f w h o p r o c e s s t h e s e o f tr a n s a c t i o n s h a v e b e e n g i v e n a c o p y o f an d r e a d t h e p o l i c y F - 1 2 P a y m e n t C a r d Se c u r i t y P o l i c y . I w o u l d a p p r e c i a t e i t i f y o u { C o u n t y In t e r n a l A u d i t o r } w o u l d t a k e t h e l e a d o n de v e l o p i n g s u c h p o l i c i e s a n d p r o c e d u r e s an d p r o v i d e m e w i t h e x a m p l e s f r o m o t h e r lo c a l j u r i s d i c t i o n s , i f t h e r e a r e a n y . - - - - - - - I wo u l d r e c o m m e n d t h a t a s u b - c o m m i t t e e be f o r m e d t o d r a f t l a n g u a g e r e g a r d i n g a Co u n t y p o l i c y a d d r e s s i n g s e c u r i t y o f c r e d i t ca r d h o l d e r d a t a a n d d e v e l o p i n g w r i t t e n cr e d i t c a r d p r o c e s s i n g b e s t p r a c t i c e s . Me m b e r s c o u l d i n c l u d e t h e I n t e r n a l Au d i t o r , a m e m b e r o f t h e F i n a n c e De p a r t m e n t , a n d i n d i v i d u a l s f r o m de p a r t m e n t s w h o p r e s e n t l y a c c e p t c r e d i t ca r d p a y m e n t s . 4 I t i s r e c o m m e n d e d f o r de p a r t m e n t s t o r e v i e w w h e t h e r th e i r r e c o r d s c o n t a i n a n y s e n s i t i v e ca r d h o l d e r i n f o r m a t i o n a n d ap p r o p r i a t e l y d e s t r o y t h a t in f o r m a t i o n . Ag r e e C o m p l e t e d D e p a r t m e n t s i d e n t i f i e d w i t h s e n s i t i ve in f o r m a t i o n a r e n o w d e s t r o y i n g a n y se n s i t i v e i n f o r m a t i o n a f t e r c h a r g e s a r e ma d e . Fu l l c r e d i t c a r d n u m b e r s a n d t h r e e d i g i t se c u r i t y a u t h e n t i c a t i o n n u m b e r s w i l l o n l y be r e t a i n e d l o n g e n o u g h t o e n t e r t h e ch a r g e s . - - - - - - W e r e m o v e d a l l s e n s i t i v e in f o r m a t i o n Fo l l o w - u p r e p o r t o n P a y m e n t c a r d s e c u r i t y # 1 0 / 1 1 - 8 January 2011 Page 4 Re c # R e c o m m e n d a t i o n A g r e e m e n t St a t u s Up d a t e d d e p a r t m e n t c o m m e n t s Or i g i n a l d e p a r t m e n t c o m m e n t s 5 I t i s r e c o m m e n d e d f o r de p a r t m e n t s n o t u s i n g s h r e d se r v i c e s o r c r o s s - c u t s h r e d d e r s t o pr o v i d e a n a p p r o p r i a t e f o r m o f de s t r u c t i o n b a s e d o n t h e st a n d a r d s . Ag r e e C o m p l e t e d V e r i f i e d w i t h a l l C o u n t y D e p a r t m e n t s th a t a c c e p t t h e s e t r a n s a c t i o n s W e w i l l p u r c h a s e a c r o s s - c u t s h r e d d e r . 6 I t i s r e c o m m e n d e d f o r P e r s o n n e l to d e v e l o p a n a p p r o p r i a t e au t h o r i z a t i o n f o r m f o r t h e s e re c u r r i n g h e a l t h i n s u r a n c e tr a n s a c t i o n s . Ag r e e C o m p l e t e d Ja n u a r y 2 0 1 1 Le g a l h a s b e e n s u p p l i e d w i t h a d r a f t o f th e f o r m f o r c o m m e n t . Co m p l e t i o n v e r i f i e d w i t h P e r s o n n e l . Da v i d d i d s e n d m e a H e a l t h D e p a r t m e n t ve r s i o n o f t h e A u t o P a y f o r m a s w e l l a s an o t h e r a g e n c i e s . a n d I w i l l s e n d t h e m th r o u g h l e g a l a n d i m p l e m e n t o n t h e n e x t mo n t h ' s b i l l i n g s t a t e m e n t . Follow-up report on Payment card security #10/11-8 January 2011 Page 5 Appendix II –F-12 Payment Card Security Policy (Adopted May 3, 2010) Follow-up report on Payment card security #10/11-8 January 2011 Page 6 Follow-up report on Payment card security #10/11-8 January 2011 Page 7 {END OF REPORT}