Jak zmniejszyć powierzchnię ataku dzięki zgodności z PCI DSS

Chociaż zgodność z PCI wyznacza branżowy punkt odniesienia w zakresie cyberbezpieczeństwa dla sektora finansowego, organizacje nie powinny na niej polegać w celu ochrony przed naruszeniami danych.

Brutalna prawda jest taka, że cyberprzestępcy wykorzystają każdą słabość w infrastrukturze IT organizacji, aby uzyskać nieautoryzowany dostęp do poufnych danych, nie tylko tych objętych wymogami zgodności z PCI DSS. Zamiast postrzegać PCI DSS jako listę kontrolną służącą do zabezpieczania danych klientów, organizacje powinny przyjąć bardziej holistyczne podejście do zgodności.

Uzyskanie wglądu w całą powierzchnię ataku ma kluczowe znaczenie dla zapewnienia pełnego bezpieczeństwa sieci i danych przed cyberatakami. Organizacje powinny dostosować zgodność PCI ze strategiami zarządzania obszarem podatnym na ataki, aby wzmocnić swoje postawy w zakresie bezpieczeństwa i zapewnić najlepszą ochronę przed naruszeniami danych. Czytaj dalej, aby dowiedzieć się, jak to zrobić.

Co to jest PCI DSS?

Standardy bezpieczeństwa danych branży kart płatniczych (PCI DSS) mają na celu zapobieganie oszustwom związanym z kartami kredytowymi i ochronę posiadaczy kart kredytowych przed kradzieżą danych osobowych. Mechanizmy kontrolne PCI DSS obejmują przetwarzanie, przechowywanie i przesyłanie danych kart kredytowych.

PCI DSS opiera się na wytycznych wielu międzynarodowych organizacji zajmujących się cyberbezpieczeństwem, takich jak Center for Internet Security (CIS), Cloud Security Alliance (CSA) i Open Web Application Security Project (OWASP).

Kto musi przestrzegać PCI DSS?

Każdy podmiot, który przetwarza informacje o karcie kredytowej klienta, musi przestrzegać PCI DSS, w tym sprzedawcy i dostawcy rozwiązań płatniczych.

Ta lista kontrolna pomoże Ci śledzić działania związane ze zgodnością z PCI DSS. Aby ocenić zgodność z przepisami każdego z dostawców, skorzystaj z tego bezpłatnego szablonu.

Dowiedz się, jak zachować zgodność ze standardem PCI DSS 4.0 >

Dlaczego zgodność z PCI DSS jest ważna?

Branża finansowa ma do czynienia z dużymi ilościami danych osobowych (PII) klientów. Cyberprzestępcy zdają sobie sprawę z dużej wartości tych wrażliwych danych w ciemnej sieci, gdzie mogą być sprzedawane jako sposób na popełnienie kradzieży tożsamości, oszustw ubezpieczeniowych i innych lukratywnych przestępstw.

Dowiedz się więcej o największych naruszeniach danych w branży finansowej >

W dzisiejszym krajobrazie zagrożeń hakerzy biorą na cel słabe środki bezpieczeństwa danych instytucji finansowych, aby uzyskać dostęp do tych cennych informacji. Rządy i organy regulacyjne zareagowały, wdrażając bardziej rygorystyczne wymagania i nakładając wysokie kary finansowe na organizacje, które nie przestrzegają przepisów. Organizacjom finansowym, które nie przestrzegają PCI DSS, grożą grzywny w wysokości od 5 000 do 100 000 USD za każdy miesiąc nieprzestrzegania przepisów i inne potencjalne konsekwencje prawne.

Naruszenia danych stanowią również koszt reputacji dla organizacji, ostatecznie tracąc zaufanie i lojalność klientów, jeśli ich dane osobowe nie są chronione.

Dowiedz się, jak wybrać produkt zgodny ze standardem PCI DSS 4.0 >

Jak zapewnić zgodność ze standardem PCI DSS za pomocą zarządzania obszarem podatnym na ataki

Poniżej znajduje się 12 wymagań PCI DSS w połączeniu z zalecanymi najlepszymi praktykami w zakresie zabezpieczeń i strategiami zarządzania obszarem ataków.

Wymaganie 1: Zainstaluj i utrzymuj mechanizmy kontroli zabezpieczeń sieci (NSC)

Rada PCI DSS definiuje kontrolę bezpieczeństwa sieci (NSC) jako "zapory sieciowe i inne technologie bezpieczeństwa sieci w ramach własnych sieci podmiotu... [które] chronią zasoby podmiotu przed narażeniem na niezaufane sieci. Niezaufane sieci stanowią zagrożenie dla bezpieczeństwa środowiska danych posiadaczy kart (CDE), ponieważ mogą narażać wrażliwe systemy na niezabezpieczone ścieżki, co prowadzi do nieautoryzowanego dostępu. Podmioty powinny również wdrożyć segmentację sieci w celu ochrony CDE przed nadchodzącymi zagrożeniami.

Rada wymienia następujące typowe przykłady niezaufanych sieci:

Sieć Internetowa;
kanały komunikacji B2B;
Sieci bezprzewodowe;
Sieci nośne, takie jak sieć komórkowa;
Sieci zewnętrznych dostawców usług;
Wszelkie inne źródła pozostające poza kontrolą jednostki, w tym sieci korporacyjne, które nie wchodzą w zakres PCI DSS.

Podczas gdy NSC, takie jak zapory aplikacji internetowych (WAF) i wirtualne sieci prywatne (VPN), stanowią pierwszą linię obrony przed cyberatakami, należy wprowadzić kontrole łagodzące w celu zidentyfikowania niezabezpieczonych usług, protokołów i portów.

Dowiedz się więcej o zagrożeniach związanych z otwartymi portami >

UpGuard umożliwia organizacjom sprawdzenie, czy ustawienia konfiguracyjne ich NSC zezwalają tylko na zatwierdzone usługi, protokoły i porty. Poza środowiskiem danych posiadaczy kart UpGuard przeprowadza skanowanie otwartych portów na całej powierzchni ataku, w tym na powierzchni stron trzecich.

Wymaganie 2: Zbuduj i utrzymuj bezpieczną sieć i systemy

Domyślne hasła i ustawienia dostawców są łatwo dostępne za pomocą metod wywiadowczych typu open source. Cyberprzestępcy często wykorzystują te informacje publiczne, aby uzyskać nieautoryzowany dostęp do systemów wewnętrznych.

Punkty działania zalecane przez Radę PCI obejmują:

Zmiana haseł domyślnych

Usuwanie niepotrzebnego oprogramowania, funkcji i kont

Wyłączanie lub usuwanie niepotrzebnych usług

Organizacje muszą stosować bezpieczne konfiguracje, aby wyeliminować te wektory ataków. Zapobieganie lub ograniczanie korzystania z niepotrzebnego oprogramowania i usług zmniejsza całą powierzchnię ataku organizacji.

Jak UpGuard pomaga

UpGuard może wykrywać wszystkie zasoby internetowe, w tym nieautoryzowane lub nieużywane aplikacje SaaS, w tym Shadow IT. Silnik wykrywania wycieków danych UpGuard skanuje wszystkie warstwy sieci w celu zidentyfikowania wyciekłych danych uwierzytelniających i błędnie skonfigurowanych ustawień chmury w czasie rzeczywistym, umożliwiając organizacjom natychmiastowe zabezpieczenie wszelkich ujawnionych danych.

Wymaganie 3: Chroń przechowywane dane konta

Organizacje muszą wdrożyć silne funkcje szyfrowania, obcinania, maskowania i haszowania, aby skutecznie chronić dane posiadaczy kart. Środki te dodają kolejną warstwę bezpieczeństwa, sprawiając, że dane są nieczytelne w przypadku nieautoryzowanego dostępu. Zastosowanie podobnych standardów bezpieczeństwa danych do wszystkich poufnych danych zapewnia pełną ochronę obszaru ataku.

Dowiedz się więcej o szyfrowaniu >

Wymaganie 4: Chroń dane posiadaczy kart za pomocą silnej kryptografii podczas transmisji przez otwarte, publiczne sieci

Słabo zabezpieczone sieci bezprzewodowe oraz nieodpowiednie protokoły szyfrowania i uwierzytelniania są często celem ataków w postaci luk w zabezpieczeniach. Rada stwierdza, że podmioty muszą szyfrować podstawowe numery kont (PAN) w sieciach niezaufanych i publicznych przy użyciu kryptografii, aby zapewnić zachowanie, integralność i niezaprzeczalność danych. Organizacje powinny rozszerzyć to wymaganie, szyfrując wszystkie dane przesyłane przez niezaufane sieci i sieci publiczne, aby wzmocnić możliwości zapobiegania naruszeniom danych.

Dowiedz się więcej o kryptografii

Dowiedz się więcej o zasadzie niezaprzeczalności

Jak UpGuard pomaga

UpGuard może natychmiast wykrywać niezabezpieczone sieci i luki w zabezpieczeniach spowodowane przez starsze protokoły na całej powierzchni ataku.

Wymaganie 5: Chroń wszystkie systemy i sieci przed złośliwym oprogramowaniem

Złośliwe oprogramowanie lub złośliwe oprogramowanie to dowolny program lub plik zainstalowany na komputerze lub systemie w szkodliwych celach. Typowe przykłady złośliwego oprogramowania obejmują:

Wirusy komputerowe
Robaki komputerowe
Oprogramowanie ransomware
Konie trojańskie
Oprogramowanie szpiegujące
Oprogramowanie reklamowe
Rootkity

Dowiedz się, jak rozpoznać 22 różne typy złośliwego oprogramowania >

Cyberprzestępcy wstrzykują złośliwe oprogramowanie za pośrednictwem wektorów ataku, takich jak:

Wiadomości e-mail wyłudzające informacje
Podszywanie się pod pocztę e-mail
Typosquatting (Typosquatting)
Rejestrowanie naciśnięć
Wykorzystywanie luk w zabezpieczeniach sieci

Po wstrzyknięciu złośliwe oprogramowanie może szybko rozprzestrzeniać się w całej sieci. Nawet jeśli środowisko danych posiadacza karty (CDE) nie zostanie początkowo dotknięte włamaniem złośliwego oprogramowania, to tylko kwestia czasu, zanim zostanie naruszone. Organizacje muszą wdrożyć oprogramowanie antywirusowe, aby zapewnić ochronę punktów końcowych przed złośliwym oprogramowaniem. Aby zapewnić pełną ochronę powierzchni ataku, muszą zidentyfikować wektory ataku, przez które rozprzestrzenia się złośliwe oprogramowanie.

Jak pomaga UpGuard

UpGuard natychmiast wykrywa luki w zabezpieczeniach, które mogą ułatwić włamania złośliwego oprogramowania. Platforma UpGuard może również identyfikować problemy z bezpieczeństwem poczty e-mail, phishing i złośliwe oprogramowanie oraz typosquatting w czasie rzeczywistym.

Wymaganie 6: Rozwijanie i utrzymywanie bezpiecznych systemów i oprogramowania.

Niezałatane luki w oprogramowaniu innych firm, w tym przestarzałe systemy operacyjne, mogą prowadzić do tragicznych konsekwencji. Cyberprzestępcy wykorzystują luki zero-day do infiltracji systemów wewnętrznych. Bezpieczne praktyki kodowania i procesy cyklu życia oprogramowania (SLC) mogą pomóc w uniknięciu luk zero-day, ale dostawcy muszą działać szybko, aby załatać te luki w zabezpieczeniach lub ryzykować naruszenia danych na dużą skalę.

Szybkie wykrywanie luk w zabezpieczeniach i bezpieczne praktyki kodowania przyspieszają proces łatania, wskazując źródło błędu.

Dowiedz się więcej o lukach zero-day >

Jak UpGuard pomaga

UpGuard natychmiast wykrywa luki w zabezpieczeniach na wewnętrznej i zewnętrznej powierzchni ataku. UpGuard skanuje repozytoria kodu, w tym zasobniki S3, publiczne repozytoria GitHub oraz niezabezpieczone serwery RSync i FTP, pod kątem błędnych konfiguracji, które powodują wycieki danych.

Wymaganie 7: Regularnie monitoruj i testuj sieci

Nadmierne uprawnienia to błędna konfiguracja chmury, w której nieautoryzowani użytkownicy otrzymują prawa/uprawnienia dostępu wykraczające poza ich wymagania. Ten powszechny błąd może szybko ułatwić zagrożenia wewnętrzne i wycieki danych stron trzecich, które mogą ostatecznie doprowadzić do naruszeń.

Organizacje muszą wdrożyć zasadę najmniejszych uprawnień, aby ograniczyć uprawnienia użytkowników do minimalnych wymagań. Rada PCI rozszerza te wymogi na wszystkie strony trzecie.

Dowiedz się, jak naprawić typowe błędy konfiguracji chmury

Dowiedz się, jak zaimplementować zasadę najmniejszych uprawnień

Jak pomaga UpGuard

UpGuard stale monitoruje całą powierzchnię ataku, aby zidentyfikować błędne konfiguracje chmury, zanim spowodują one naruszenie danych.

Wymaganie: 8: Zidentyfikuj użytkowników i uwierzytelnij dostęp do komponentów systemu

Intruzi mogą wkraść się do uprzywilejowanych systemów i wydobyć poufne dane, jeśli nie istnieją silne mechanizmy kontroli dostępu. Organizacje powinny wdrożyć skuteczne narzędzia uwierzytelniania, takie jak 2FA lub MFA, w ramach szerszego systemu zarządzania dostępem do tożsamości (IAM) obejmującego całą powierzchnię ataku.

Dowiedz się więcej o 2FA i MFA >

Wymaganie 9: Ogranicz fizyczny dostęp do danych posiadacza karty

Rada PCI stwierdza, że fizyczny dostęp do systemów, które przechowują, przetwarzają lub przesyłają dane posiadaczy kart, powinien być "odpowiednio ograniczony". "Wymóg ten jest skuteczny tylko wtedy, gdy wszystkie systemy przechowujące jakąkolwiek formę danych wrażliwych są w podobny sposób chronione, w tym systemy dostawców.

Organizacje powinny wdrożyć politykę czystego biurka (CDP), aby zapewnić, że wydruki zawierające poufne informacje są bezpiecznie przechowywane i niszczone, gdy nie są już potrzebne. Muszą również upewnić się, że ich dostawcy robią to samo.

Wymaganie 10: Rejestruj i monitoruj cały dostęp do komponentów systemu i danych posiadacza karty

Mechanizmy rejestrowania umożliwiają organizacjom zapobieganie, wykrywanie lub minimalizowanie wpływu incydentów bezpieczeństwa, które prowadzą do naruszenia bezpieczeństwa danych. Rada PCI nakazuje "obecność logów na wszystkich komponentach systemu i w środowisku danych posiadacza karty (CDE) [w celu umożliwienia] dokładnego śledzenia, ostrzegania i analizy, gdy coś pójdzie nie tak. " Wymóg ten rozciąga się na osoby trzecie.

Organizacje powinny upewnić się, że we wszystkich systemach, w tym w systemach dostawców, istnieją mechanizmy rejestrowania, aby zapewnić dzienniki aktywności systemu w przypadku incydentu związanego z bezpieczeństwem. Szczegółowe rejestrowanie umożliwia zespołom ds. zabezpieczeń przeprowadzanie analizy przyczyn źródłowych, co pozwala zespołom ds. zabezpieczeń opracować środki zapobiegawcze przeciwko podobnym zdarzeniom w przyszłości.

Wymaganie 11: Regularnie testuj bezpieczeństwo systemów i sieci

Codziennie pojawiają się nowe luki w zabezpieczeniach, a cyberprzestępcy szybko je odkrywają. Rada ds. Wspólnego Nadzoru Nad Obszarami Zainteresowania nakłada na podmioty obowiązek częstego testowania następujących środków kontroli bezpieczeństwa w celu zapewnienia wystarczającego zarządzania lukami w zabezpieczeniach:

Elementy systemu
Procesy systemowe
Oprogramowanie na zamówienie
Oprogramowanie na zamówienie

Organizacje powinny przeprowadzać regularne testy penetracyjne w celu zidentyfikowania luk w zabezpieczeniach systemu i sieci oraz wdrożyć system wykrywania i zapobiegania włamaniom (IDS) w celu identyfikacji i przechwytywania podejrzanego ruchu sieciowego. Ciągłe monitorowanie całej powierzchni ataku pozwala organizacjom na natychmiastowe wykrywanie i korygowanie luk w zabezpieczeniach.

Dowiedz się więcej o testach penetracyjnych

Dowiedz się więcej o znaczeniu ciągłego monitorowania zabezpieczeń

Możliwości ciągłego monitorowania powierzchni ataku UpGuard wykrywają aktywne typowe luki w zabezpieczeniach i zagrożenia (CVE) wpływające na Ciebie i Twoich dostawców, umożliwiając szybsze korygowanie.

Wymaganie 12: Wspieranie bezpieczeństwa informacji za pomocą zasad i programu organizacyjnego

Zasady bezpieczeństwa informacji (ISP) definiują reguły, zasady i procedury, które zapewniają, że wszyscy użytkownicy końcowi i sieci w organizacji spełniają minimalne wymagania dotyczące bezpieczeństwa IT i ochrony danych. Rada PCI stwierdza, że wszyscy pracownicy są świadomi bezpieczeństwa w zakresie wrażliwości danych posiadaczy kart i ich odpowiedzialności za ich ochronę.

Skuteczny dostawca usług internetowych powinien zająć się wszystkimi danymi, programami, systemami, obiektami, infrastrukturą, autoryzowanymi użytkownikami, stronami trzecimi i czwartymi stronami, w tym planem reagowania na incydenty, aby skutecznie zarządzać powierzchnią ataku.

Dowiedz się, jak stworzyć skuteczną > z usługodawcą internetowym

Obejrzyj to poniżej, aby dowiedzieć się więcej o niektórych funkcjach raportowania zgodności UpGuard.