Hvad er PCI DSS-kravene i 2023?

PCI DSS beskriver en lang række krav, som alle handlende skal følge for at sikre overholdelse. Det første skridt er at beskytte kortholderdata ved at installere og vedligeholde en firewallkonfiguration. Vi vil fortælle dig, hvad det indebærer, og hvordan vores service kan hjælpe dig.

Dette krav er faktisk det mest teknisk udfordrende af alle PCI DSS-standarderne. Installation og vedligeholdelse af en firewallkonfiguration kan umiddelbart lyde simpelt, men der er meget, der er forbundet med dette krav, som du vil opdage nedenfor.

Hvad forventer PCI, når det drejer sig om at installere og vedligeholde en firewallkonfiguration?

Det første, du skal gøre, er at oprette og installere konfigurationsstandarder for router og firewall, som skal bestå af alle følgende:

1. En formel procedure for afprøvning og godkendelse af alle netværksforbindelser og ændringer af router- og firewallkonfigurationer.
2. Et diagram, der identificerer alle netværk, netværksenheder og systemkomponenter. Dette diagram skal omfatte forbindelserne mellem kortholderdatamiljøet (CDE) og alle andre netværk, herunder trådløse netværk.
3. Du har også brug for et diagram, der viser kortholderdatastrømme på tværs af alle dine netværk og systemer.
4. For hver internetforbindelse skal der være en firewall. Dette gælder også mellem en demilitariseret zone (DMZ) og den interne netværkszone.
5. Hvis du skal administrere netværkskomponenter, skal du have en beskrivelse af alle grupper, roller og ansvarsområder.
6. Der kræves forretningsmæssig begrundelse og dokumentation for brugen af alle tilladte tjenester, porte og protokoller samt sikkerhedsforanstaltninger, der anvendes for usikre protokoller.
7. Du skal gennemgå alle router- og firewallregelsæt mindst hver sjette måned.

Forståelse af dette krav:

Du skal være klar over, at både routere og firewalls spiller en afgørende rolle, når det gælder ind- og udgangspunkter på netværket. De vil give autoriseret netværksadgang og blokere uønsket adgang, og det understreger, hvorfor det er vigtigt at have firewalls og routere implementeret. Punkterne a-g er i det væsentlige PCI’s retningslinjer for de skridt, der skal tages for at sikre, at denne første forsvarslinje er så stærk, som den skal være.

Så lad os se på, hvordan vi kan gennemføre punkterne a-g:

1. 1. Formel test-/godkendelsesproces – Dette er afgørende, fordi det hjælper med at forhindre sikkerhedsproblemer, der opstår som følge af fejlkonfiguration af netværket, firewall eller router. Du skal sikre, at kun autoriserede brugere (med adgangskode) har tilladelse til at foretage ændringer, og at disse ændringer registreres og opbevares.
   2. Diagrammer, der identificerer netværk, netværksenheder og systemkomponenter – Disse diagrammer beskriver netværkskonfigurationen og kan bruges til at identificere alle netværksenheders placering. Uden den kan enheder uden at vide det blive udelukket fra sikkerhedskontroller, hvilket kan udgøre en alvorlig risiko. Du bør automatisk generere og opdatere netværksdiagrammer.
   3. Flowdiagram for kortholderdata – Dette viser placeringen af alle kortholderdata i netværket. Det giver dig mulighed for at administrere data mere effektivt.
   4. Firewalls til alle internetforbindelser – Dette reducerer chancerne for, at en ondsindet person kan komme ind på dit netværk via et ubeskyttet netværk, fordi adgangen overvåges og kontrolleres mere effektivt. Sørg for, at der er installeret en PCI-kompatibel firewall for hver internetforbindelse samt mellem enhver DMZ-zone og den interne netværkszone.
   5. Beskrivelse af alle grupper, roller og ansvarsområder – Dette sikrer, at alle medarbejdere er klar over, hvem der er ansvarlig for hvad. Disse roller kan administreres via et centraliseret administrationssystem.
   6. Dokumentation og forretningsmæssig begrundelse for alle tilladte tjenester, porte og protokoller – Dette giver dig mulighed for at fjerne eller deaktivere alle andre protokoller, porte eller tjenester.
   7. Gennemgå router- og firewallregelsættet hver sjette måned – Der er behov for konstant opdatering for hele tiden at opfylde PCI DSS-standarderne.

Du skal også opbygge router- og firewallkonfigurationer, der begrænser forbindelserne mellem CDE-systemkomponenter og netværk, der ikke er tillid til. Dette indebærer:

1. Trafikken skal begrænses, både indadgående og udadgående, så kortholderdatamiljøet kun indeholder det nødvendige. Al anden, ikke-relateret trafik skal adskilles.
2. Routerkonfigurationsfiler skal sikres og synkroniseres.
3. Kontroller trafikken ved at installere perimeterfirewalls mellem CDE og alle trådløse netværk. Konfigurer disse firewalls til kun at tillade autoriseret trafik mellem CDE og det trådløse miljø.

Forståelse af dette krav:

Trin to omfatter den korrekte firewallkonfiguration, så den fungerer korrekt og styrer netværkstrafikken på en sikker og effektiv måde. Du skal sikre, at der er installeret netværksbeskyttelse mellem det interne, betroede netværk og eventuelle eksterne, ikke betroede netværk. Hvis du ikke gør det, er du sårbar over for et angreb.

1. 1. Begræns indgående og udgående trafik – Dette er nødvendigt for at sikre, at ondsindede angribere ikke får adgang til dit netværk ved at bruge tjenester, porte eller protokoller på en uautoriseret måde eller via uautoriserede IP-adresser. Dette opnås ved at skabe et kortholderdatamiljø, hvor al indgående og udgående trafik nægtes undtagen betalingstransaktioner.
   2. Sikre og synkronisere routerkonfigurationsfiler – Konfigurationsfiler til opstart overses ofte på grund af deres sjældne brug. Men hvis de ikke er opdateret med de samme sikre indstillinger, kan en cyberkriminel finde en vej ind, hvis de ikke er opdateret med de samme sikre indstillinger.
   3. Installer perimeter firewalls mellem alle trådløse netværk og CDE – Ondsindede personer udnytter ofte trådløs teknologi til at få adgang til kortoplysninger. Derfor er det nødvendigt med firewalls for at begrænse adgangen fra trådløse netværk til kortholderdatamiljøet.

Direkte offentlig adgang mellem alle CDE-systemkomponenter og internettet skal være forbudt. For at gøre dette skal du:

1. Indgående trafik skal begrænses til systemkomponenter, der leverer autoriserede offentligt tilgængelige tjenester, protokoller og porte. Implementer en DMZ for at opnå dette.
2. Inden for DMZ skal indgående internettrafik være begrænset til IP-adresser.
3. Direkte forbindelser mellem CDE og internettet, både indgående og udgående, skal være forbudt.
4. Du skal opdage og blokere falske kilde-IP-adresser, så de ikke kan komme ind på netværket. Gennemfør foranstaltninger mod spoofing for at opnå dette.
5. Uautoriseret udgående trafik fra CDE til internettet bør ikke tillades.
6. “Etablerede” forbindelser bør kun tillades i netværket.
7. Alle systemkomponenter, der gemmer kortholderdata, skal adskilles fra DMZ og andre ikke-troværdige netværk og i stedet placeres i en intern netværkszone.
8. Routingoplysninger og private IP-adresser må ikke videregives til uautoriserede parter.

Forståelse af dette krav:

De to foregående trin har fokuseret på den beskyttelse, som firewalls tilbyder. Firewall’en beskytter i det væsentlige forbindelserne fra de offentlige systemer til CDE. Alt dette vil imidlertid være fuldstændig værdiløst, hvis man tillader direkte adgang mellem offentlige systemer og CDE.

1. 1. Implementer en DMZ – Dette styrer forbindelserne mellem internettet og de tjenester, som virksomheder skal have tilgængelige for offentligheden. Dette vil forhindre cyberkriminelle i at bruge internettet til at få adgang til dit interne netværk. Begræns al trafik for at sikre, at du overholder reglerne.
   2. Begræns indgående trafik til IP-adresser i DMZ – Dette sikrer, at ingen uautoriserede personer har adgang. Forbud mod direkte forbindelser mellem internettet og CDE – Dette forhindrer ufiltreret adgang mellem miljøer med og uden tillid. Lad os sige, at en cyberkriminel får fat i følsomme oplysninger, og at de derfor ikke kan sende dem fra dit netværk til en ekstern server, der ikke er tillid til. Du kan opnå dette ved at nægte al indgående og udgående trafik undtagen betalingstransaktioner.
   3. Implementer foranstaltninger mod spoofing – Ondsindede angribere forsøger ofte at efterligne en IP-adresse, så du tror, at den kommer fra dit eget netværk. Der skal træffes foranstaltninger for at stoppe dette.
   4. Forbud mod uautoriseret udgående trafik fra CDE til internettet – Du skal kontrollere trafikken, så kun autoriseret kommunikation er tilladt. Det kan du gøre ved at afvise al indgående og udgående trafik bortset fra betalingstransaktioner.
   5. Tillad kun etablerede forbindelser til netværket – Du har brug for en firewall, der udfører en stateful packet inspection. Dette indebærer at opretholde hver forbindelses status gennem firewallen, så du ved, om et svar er godkendt, eller om en cyberkriminel forsøger at snyde firewallen, så de kan finde en vej ind.
   6. Adskil systemkomponenter, der gemmer kortholderdata, fra DMZ – Der er færre lag, som cyberkriminelle kan trænge ind i, hvis kortholderoplysningerne er gemt i DMZ’en. Det gør det lettere for dem at få adgang. Kortholderdata skal være i et adskilt netværk.
   7. Routingoplysninger og private IP-adresser må ikke videregives til uautoriserede parter – Du skal sikre, at private IP-adresser videregives, da en hacker ellers kan finde ud af, hvilken IP-adresse der er tale om, og få adgang til dit netværk. Du skal kræve, at alle brugere logger ind og sikre autoriseret adgang fra en administrator på hvert sted, og du bør forbyde routingprotokoller og reklamer.

Der skal installeres personlig firewallsoftware på alle medarbejderejede enheder og mobiltelefoner , der har forbindelse til internettet, når de bruges til at få adgang til netværket eller uden for netværket.

Forståelse af dette krav:

Der er behov for en personlig firewall for at beskytte mobiler og medarbejderejede enheder mod internetbaserede angreb. Det er vigtigt, da disse enheder er mere udsatte for brud, fordi de befinder sig uden for virksomhedens firewall og dermed bliver primære mål for hackere. Hvis dine medarbejdere bruger deres bærbare computere til arbejdsformål og opretter forbindelse, når de er uden for netværket, er det derfor dit ansvar at sikre, at de har installeret personlig firewallsoftware.

Driftsprocedurer og sikkerhedspolitikker for forvaltning af firewalls skal være dokumenteret og kendt af alle berørte parter.

Forståelse af dette krav:

For at sikre, at du fortsat forhindrer uautoriseret netværksadgang, skal du administrere de politikker og procedurer, der er på plads med hensyn til firewalls og routere, og sikre, at de er veldokumenterede og opdaterede.