Wybór produktu zgodnego z PCI DSS 4.0 w 2023 r.

Dzięki karom za naruszenie w wysokości do 100 000 USD miesięcznie do momentu osiągnięcia pełnej zgodności, każdy podmiot przetwarzający dane posiadaczy kart nie może sobie pozwolić na pominięcie luki w zgodności z PCI DSS. Jednak wraz z rozwijającym się krajobrazem cyfrowym, który zwiększa złożoność bezpieczeństwa informacji, zapewnienie zgodności ze standardem bezpieczeństwa danych branży kart płatniczych jest trudne, chyba że korzystasz z produktu, który może pomóc w śledzeniu działań związanych z przestrzeganiem przepisów.

W tym poście przedstawiamy podstawowe funkcje i możliwości oprogramowania do zapewniania zgodności z PCI, które wzmocni bezpieczeństwo środowiska danych posiadacza karty i znacznie zminimalizuje ryzyko naruszenia niezgodności.

Dowiedz się, jak UpGuard usprawnia zarządzanie ryzykiem dostawców >

12 wymagań zgodności z PCI DSS 4.0

Aby skutecznie śledzić zgodność z PCI DSS, rozwiązanie zapewniające zgodność powinno zawierać funkcje mapujące ze zaktualizowaną wersją tego rozporządzenia - PCI DSS 4.0. Narzędzie do zapewniania zgodności, które nie zostało dostosowane do zmienionych wymagań w wersji 4, znacznie zawiedzie w osiąganiu zgodności, ponieważ wersja 4.0 wprowadza kilka radykalnych zmian.

Chociaż 12 podstawowych wymagań PCI DSS nie uległo zmianie. Są one następujące:

1. Wdrażanie i utrzymywanie kontroli bezpieczeństwa sieci

2. Zaimplementuj bezpieczną konfigurację

3. Zabezpiecz przechowywane dane konta i posiadacza karty

4. Ulepszono kryptografię podczas transmisji danych posiadacza karty

5. Popraw i utrzymuj ochronę przed złośliwym oprogramowaniem

6. Aktualizuj i utrzymuj systemy i aplikacje

7. Ograniczenie cyfrowego dostępu do danych posiadacza karty

8. Ograniczenie fizycznego dostępu do danych posiadacza karty

9. Przypisz unikalny identyfikator dla każdego uwierzytelnionego użytkownika

10. Monitoruj i raportuj, kiedy uzyskuje się dostęp do zasobów sieciowych i danych posiadacza karty

11. Przeprowadzaj częste testy systemów bezpieczeństwa, procesów, sieci i urządzeń

12. Tworzenie, wdrażanie i utrzymywanie zasad bezpieczeństwa informacji w celu zapewnienia bezpieczeństwa informacji

Dowiedz się więcej o zgodności z PCI DSS >

Uwaga: Każda marka kart płatniczych PCI SSC ma swój własny zestaw wymagań dotyczących zgodności z PCI. Poniżej znajdują się linki do standardów zgodności niektórych popularnych członków marki.

• Karta Mastercard (Mastercard)
• Amerykański Ekspres
• WIZA
• JCB Międzynarodowa

3 kluczowe funkcje śledzenia zgodności z PCI DSS

Większość wymagań PCI DSS można spełnić za pomocą następujących trzech inicjatyw w zakresie cyberbezpieczeństwa:

1. Zarządzanie ryzykiem dostawców
2. Zarządzanie dostępem uprzywilejowanym
3. Zarządzanie poprawkami zabezpieczeń

Jeśli wolisz zminimalizować powierzchnię ataku poprzez wdrożenie tylko jednego rozwiązania zgodności z PCI DSS, zdecydowanie zalecamy wdrożenie narzędzia do zarządzania ryzykiem dostawców. Narzędzie VRM pomoże Ci śledzić ogólne działania w zakresie zgodności z PCI DSS poprzez wykrywanie zagrożeń wewnętrznych i zewnętrznych wpływających na zgodność z funkcjami zgodności PCI DSS.

Dowiedz się więcej o rozwiązaniu UpGuard do zarządzania ryzykiem dostawców >

1. Zarządzanie ryzykiem dostawcy

Rada ds. Standardów Bezpieczeństwa PCI (PCI SSC), podobnie jak większość regulacji cybernetycznych, uznaje wpływ praktyk bezpieczeństwa dostawców usług na wysiłki związane z przestrzeganiem PCI DSS. W związku z tym, aby zachować zgodność z PCI DSS, podmioty przetwarzające płatności muszą zabezpieczyć swoją powierzchnię ataku stron trzecich za pomocą zarządzania ryzykiem dostawcy (VRM), jak wskazano w wymaganiu 12.8.

- Wymaganie PCI DSS 12.8

Elementem Zarządzania Ryzykiem Dostawców jest śledzenie zgodności z przepisami, które, po zmapowaniu do standardów PCI DSS, może służyć jako pomocny przewodnik do śledzenia ogólnych poziomów zgodności pod wpływem czynników wewnętrznych i zewnętrznych (stron trzecich).

W cyklu życia VRM śledzenie zgodności z przepisami odbywa się na najwyższym poziomie w fazie należytej staranności oraz na najgłębszych poziomach na etapach oceny i monitorowania. W fazie oceny zgodność z przepisami jest oceniana za pomocą kwestionariuszy bezpieczeństwa i ocen ryzyka odwzorowujących wymagania bezpieczeństwa PCI DSS i innych standardów w celu sporządzenia raportu na temat działań w zakresie zgodności. Faza monitorowania kontynuuje ten wysiłek dzięki skanowaniu luk w zabezpieczeniach w celu śledzenia pojawiających się zagrożeń zgodności wymagających natychmiastowego korygowania w celu uniknięcia naruszeń.

Idealny produkt zapewniający zgodność z PCI DSS będzie w stanie dwustronnie śledzić zgodność z PCI DSS, biorąc pod uwagę czynniki ryzyka wewnętrznego i czynników ryzyka stron trzecich. Najlepszym sposobem na osiągnięcie tego celu są kwestionariusze bezpieczeństwa zgodne ze standardami PCI DSS, które mają być wykorzystywane do ocen dostawców i kwestionariuszy samooceny.

Oficjalne kwestionariusze samooceny (SAQ) potwierdzające zgodność dla sprzedawców są dostępne na stronie internetowej PCI Security Standards.

Zapoznaj się z tym skróconym przewodnikiem, aby upewnić się, że Twoje rozwiązanie do zarządzania ryzykiem dostawcy spełnia cele aktualizacji zabezpieczeń PCI DSS w wersji 4:

• Nie należy używać domyślnych haseł dostarczonych przez dostawcę w przypadku rozwiązań innych firm. Egzekwuj złożone hasła za pomocą menedżerów haseł.
• Regularnie oceniaj działania w zakresie cyberbezpieczeństwa podejmowane przez dostawców zewnętrznych przetwarzających dane kart kredytowych.
• Szybko eliminuj zagrożenia związane z dostawcami, potencjalnie ułatwiając naruszenia bezpieczeństwa przez osoby trzecie.
• Wykorzystaj strategię warstwowania dostawców, aby łatwo wyodrębnić kluczowych dostawców przetwarzających dane kart kredytowych.

UpGuard oferuje bibliotekę konfigurowalnych szablonów kwestionariuszy bezpieczeństwa odwzorowujących standardy PCI, DSS i inne popularne przepisy. Po zakończeniu UpGuard automatycznie wykrywa zagrożenia bezpieczeństwa wpływające na zgodność z przepisami i zwiększa ryzyko kosztownych naruszeń.

Dowiedz się więcej o kwestionariuszach bezpieczeństwa UpGuard >

Dzięki włączeniu tej funkcji śledzenia zgodności PCI DSS do platformy zarządzania ryzykiem dostawców, ryzyko związane ze zgodnością może być natychmiast przenoszone przez przepływ pracy naprawczej, co pomaga szybciej wyeliminować ryzyko związane ze zgodnością z PCI DSS.

UpGuard oferuje również podział na warstwy dostawców, który automatycznie przypisuje dostawców do poziomu krytyczności na podstawie ich odpowiedzi na kwestionariusze - proces, który można skonfigurować zgodnie z unikalnymi wymaganiami dotyczącymi warstw.

Konfigurując ten proces warstwowania w taki sposób, aby wszyscy dostawcy przetwarzający dane kart kredytowych byli automatycznie przypisywani do jednego krytycznego poziomu, grupa ta może być traktowana priorytetowo w działaniach związanych z zarządzaniem ryzykiem dostawców w celu zmniejszenia ryzyka naruszeń przez osoby trzecie skutkujących kosztownymi naruszeniami PCI DSS.

Aby dowiedzieć się więcej o niektórych funkcjach raportowania zgodności UpGuard, obejrzyj ten film.

Weź udział w samodzielnej wycieczce po produkcie UpGuards Vendor Risk >

2. Zarządzanie dostępem uprzywilejowanym

Może wspierać zgodność z następującymi wymaganiami PCI DSS:

• Funkcja 1 PCI DSS: Wdrażanie i utrzymywanie kontroli zabezpieczeń sieci
• Funkcja PCI DSS 3: Chroń przechowywane dane konta i posiadacza karty
• Funkcja 7 PCI DSS: Ograniczanie cyfrowego dostępu do danych posiadacza karty
• Funkcja PCI DSS 8: Ograniczanie fizycznego dostępu do danych posiadacza karty
• Funkcja PCI DSS 10: Monitorowanie i raportowanie dostępu do zasobów sieciowych i danych posiadacza karty

Przy tak wielu złożonych wymaganiach PCI często czujesz się zbyt przytłoczony, aby wiedzieć, od czego zacząć. Zacznij od zawężenia zakresu ochrony informacji o karcie kredytowej. Ten początkowy impuls stworzy najbezpieczniejszą podstawę dla Twojego programu zgodności z PCI DSS.

Jeśli Twój program cyberbezpieczeństwa jest poprawnie skonfigurowany, zasoby zawierające dane posiadaczy kart są zwykle dostępne tylko dla użytkowników uprzywilejowanych - kont użytkowników o większym potencjale dostępu uprzywilejowanego niż ogólne konta użytkowników.

Oprócz udzielania dostępu do bardzo wrażliwych danych i systemów płatności, takich jak dane kart kredytowych, dane klientów, terminale płatnicze i transakcje kartą kredytową, dane uprzywilejowanych kont debetowych mogą być również wykorzystywane do logowania się do środków bezpieczeństwa, takich jak:

• Zapory sieciowe
• Oprogramowanie antywirusowe
• Komponenty systemu zapobiegania naruszeniom danych
• Oprogramowanie do ochrony danych w punktach końcowych.
• Programy zarządzania lukami w zabezpieczeniach

Ponieważ konta uprzywilejowane oferują dostęp do tak szerokiego spektrum poufnych aktywów, cyberprzestępcy zawsze dążą do wykrycia kont uprzywilejowanych niemal natychmiast po przeniknięciu do bezpiecznej sieci.

Według firmy Forester 80% naruszeń danych wiąże się z naruszonymi uprzywilejowanymi danymi uwierzytelniającymi.

Zhakowane konta dostępu uprzywilejowanego mogą uzbroić hakerów w wielokierunkowy cyberatak, zapewniając ścieżkę przez wiele rozwiązań bezpieczeństwa do danych kart kredytowych w centrum tej struktury cyberobrony.

Patrząc z drugiej strony, zabezpieczenie kont z dostępem uprzywilejowanym rozszerzy granicę ochrony poza zasoby przechowujące dane posiadaczy kart i obejmie wiele warstw rozwiązań zabezpieczających, znacznie zmniejszając ryzyko naruszenia danych.

Dowiedz się, jak skutecznie bronić się przed naruszeniami danych >

Konta dostępu uprzywilejowanego są najlepiej zabezpieczone przez Privileged Access Management (PAM) — strategię cyberbezpieczeństwa wymuszającą zasadę najmniejszych uprawnień, aby zapewnić, że użytkownicy mają dostęp tylko do minimalnego poziomu poufnych zasobów wymaganych do wykonywania ich zadań.

Dowiedz się więcej o usłudze Privileged Access Management >

PCI DSS 4.0 zwiększa nacisk na zarządzanie tożsamością i dostępem oraz architekturę Zero Trust - strategię bezpieczeństwa sieci, która potwierdza zatwierdzony dostęp użytkowników za pomocą protokołów ciągłego uwierzytelniania. Te dwie inicjatywy w zakresie cyberbezpieczeństwa rozszerzają zasady bezpieczeństwa kont w ramach zarządzania dostępem uprzywilejowanym w celu ciągłej ochrony przed nieautoryzowanym dostępem do danych posiadaczy kart.

Zapoznaj się z tym skróconym przewodnikiem, aby upewnić się, że Twoje rozwiązanie zabezpieczeń konta uprzywilejowanego spełnia cele kontroli dostępu PCI DSS w wersji 4.

• Ogranicz dostęp użytkowników (w tym dostęp zdalny) do środowisk danych posiadaczy kart.
• Ogranicz dostęp do danych karty tylko do użytkowników, którzy bezwzględnie potrzebują dostępu do wykonywania swoich codziennych obowiązków.
• Ustanów zasady kontroli dostępu użytkowników określające, którzy konkretni użytkownicy mają dostęp do środowisk danych posiadaczy kart.
• Zaimplementuj silne środki kontroli dostępu odmawiające dostępu wszystkim użytkownikom, którzy nie są uwzględnieni w zasadach użytkowników uprzywilejowanych.
• Ustal silną politykę haseł dla kont uprzywilejowanych, najlepiej egzekwowaną za pomocą menedżera haseł.
• Przypisz unikatowy identyfikator do wszystkich kont użytkowników, zwłaszcza użytkowników uprzywilejowanych.
• Monitoruj cały uprzywilejowany dostęp do poufnych zasobów i danych posiadaczy kart.

3. Zarządzanie poprawkami bezpieczeństwa

Może wspierać zgodność z następującymi wymaganiami PCI DSS:

• Funkcja 6: Aktualizuj i utrzymuj systemy i aplikacje

Podobnie jak naruszone uprzywilejowane dane uwierzytelniające służą jako klucze ułatwiające przejście przez kontrolę bezpieczeństwa i dostęp do zasobów danych kart kredytowych, luki w zabezpieczeniach są również wektorami ataku, które mogą działać jako ścieżka do danych marki karty płatniczej.

Każde rozwiązanie cyfrowe jest podatne na luki w zabezpieczeniach, w tym narzędzia bezpieczeństwa i oprogramowanie do przetwarzania płatności w handlu elektronicznym, takie jak oprogramowanie punktu sprzedaży (POS).

Jeśli zakładasz, że produkty opracowane specjalnie dla procesorów płatności kartami kredytowymi są z natury bezpieczne, jesteś w poważnym błędzie. Zdziwiłbyś się, jak wiele naruszeń danych dochodzi do wykorzystania zagrożeń bezpieczeństwa w oprogramowaniu punktu sprzedaży.

Program do zarządzania poprawkami zabezpieczeń poinformuje Twoje zespoły ds. bezpieczeństwa o wszelkich nowo dostępnych poprawkach bezpieczeństwa i zapewni ich terminowe wdrożenie.

Aby wzmocnić wysiłki w zakresie ochrony danych za pomocą terminowych poprawek zabezpieczeń, pamiętaj o zaimplementowaniu zapór aplikacji internetowych. Zapora aplikacji internetowej może rozwiązać problem zagrożeń bezpieczeństwa związanych z przesyłaniem danych za pośrednictwem sieci publicznej. Według Rady ds. Standardów Bezpieczeństwa Branży Kart Płatniczych protokoły transferu, takie jak podatny na ataki SSL i TLS 1.0, nie są już bezpiecznymi typami szyfrowania i dlatego należy ich unikać.

Rada PCI wymaga od podmiotów stworzenia planu ograniczania ryzyka w celu zmniejszenia ryzyka związanego z niezabezpieczonymi protokołami, takimi jak podatny na ataki SSL i TLS 1.0, do czasu zakończenia przejścia na bezpieczniejsze protokoły transferu.

Duże i małe firmy powinny regularnie testować sieci pod kątem luk w zabezpieczeniach, aby upewnić się, że mechanizmy transferu nie mogą zostać przechwycone pomimo skutecznego programu zarządzania poprawkami bezpieczeństwa.

Zapoznaj się z tym krótkim przewodnikiem, aby upewnić się, że Twoje rozwiązanie do zarządzania poprawkami zabezpieczeń spełnia cele aktualizacji zabezpieczeń PCI DSS w wersji 4:

• Zapisz się na listę e-mailową poprawek zabezpieczeń dla dostawców oferujących tę usługę.
• Upewnij się, że nowe poprawki są wdrażane w ciągu 24 godzin od ich wydania.
• Ustal plan wdrożenia poprawek zabezpieczeń.
• Wykonuj regularne testy penetracyjne, aby sprawdzić, czy nie ma luk w zabezpieczeniach sieci.
• Wykonuj regularne skanowanie luk w zabezpieczeniach, aby wykryć luki w zabezpieczeniach i zagrożenia systemu oraz ponownie skanuj systemy po wdrożeniu poprawek w celu sprawdzenia zgodności.

• Ustanowienie zasad kontroli zgodnie z najlepszymi praktykami branżowymi (takimi jak IEEE 802.11i)
• Zaprojektuj plan naprawczy, ustalając priorytety krytycznych zagrożeń wykrytych podczas skanowania luk w zabezpieczeniach.
• Przetestuj poprawki przed wdrożeniem i wykonuj testy penetracyjne na systemach zaktualizowanych o najnowsze poprawki bezpieczeństwa.
• Upewnij się, że aktualizacje zabezpieczeń mają najbardziej aktualne podpisy
• Tylko dołączane rozwiązania zgodne z najlepszymi praktykami zgodnymi ze standardami branżowymi
• Zaimplementuj standard szyfrowania Point-to-Point (P2PE) do przetwarzania danych posiadaczy kart podczas transakcji w sieciach otwartych i publicznych.
• Zleć ocenę bezpieczeństwa infrastruktury wykwalifikowanemu audytorowi bezpieczeństwa (QSA) w celu weryfikacji zgodności.
• Upewnij się, że zapory chroniące zasoby danych kart kredytowych są bezpiecznie skonfigurowane.

Platforma UpGuard zawiera funkcję skanowania luk w zabezpieczeniach, która wykrywa wektory ataku, potencjalnie ułatwiając dostęp do zasobów kart kredytowych. UpGuard automatycznie przypisuje również ocenę krytyczności wykrytym zagrożeniom, pomagając zespołom ds. bezpieczeństwa zrozumieć, gdzie należy nadać priorytety swoim wysiłkom w celu osiągnięcia najbardziej efektywnych planów naprawczych.

Wykrywając przeoczone zagrożenia często związane z nieutrzymywanymi zasobami cyfrowymi, platforma UpGuard rozszerza swoje funkcje wykrywania luk w zabezpieczeniach do kompletnej ramy zarządzania powierzchnią ataku, co jest podstawową praktyką łagodzenia naruszeń danych, którą każda firma musi wdrożyć.

Obejrzyj ten film, aby dowiedzieć się więcej o funkcjach zarządzania obszarem ataków UpGuard.