Wat zijn de PCI DSS vereisten in 2023?

De PCI DSS bevat tal van vereisten waaraan alle handelaars moeten voldoen om de naleving te waarborgen. De eerste stap bestaat erin de gegevens van de kaarthouder te beschermen door een firewallconfiguratie te installeren en te onderhouden. Wij zullen met u doornemen wat dit inhoudt en hoe onze dienst daarbij helpt.

Deze vereiste is eigenlijk de technisch moeilijkste van alle PCI DSS-normen. Het installeren en onderhouden van een firewall configuratie mag op het eerste gezicht eenvoudig klinken, maar er komt heel wat bij kijken, zoals u hieronder zult ontdekken.

Wat verwacht PCI als het gaat om het installeren en onderhouden van een firewallconfiguratie?

Het eerste wat u moet doen is het opstellen en installeren van router- en firewall-configuratiestandaarden, die moeten bestaan uit al het volgende:

1. Een formele procedure voor het testen en goedkeuren van alle netwerkverbindingen en wijzigingen in router- en firewall-configuraties.
2. Een diagram dat alle netwerken, netwerkapparaten en systeemcomponenten identificeert. Dit schema moet verbindingen bevatten tussen de gegevensomgeving van de kaarthouder (COB) en alle andere netwerken, met inbegrip van draadloze netwerken.
3. U hebt ook een diagram nodig dat de gegevensstromen van de kaarthouder in al uw netwerken en systemen weergeeft.
4. Voor elke internetverbinding moet er een firewall zijn. Dit geldt ook tussen een gedemilitariseerde zone (DMZ) en de interne netwerkzone.
5. Om netwerkcomponenten te beheren, hebt u een beschrijving nodig van alle groepen, rollen en verantwoordelijkheden.
6. Er zijn zakelijke rechtvaardiging en documentatie vereist met betrekking tot het gebruik van alle toegestane diensten, poorten en protocollen, alsmede alle beveiligingsmaatregelen die worden gebruikt voor onveilige protocollen.
7. U moet alle sets router- en firewall-regels minstens om de zes maanden herzien.

Begrijp deze eis:

Wat u moet beseffen is dat zowel routers als firewalls een cruciale rol spelen als het gaat om netwerktoegangs- en -uitgangspunten. Zij verlenen geautoriseerde netwerktoegang en blokkeren ongewenste toegang, en dit onderstreept waarom het absoluut noodzakelijk is firewalls en routers te implementeren. De punten a tot en met g zijn in wezen PCI-richtsnoeren voor de stappen die moeten worden ondernomen om ervoor te zorgen dat deze eerste verdedigingslinie zo sterk is als zij moet zijn.

Laten we eens kijken hoe we de punten a-g kunnen uitvoeren:

1. 1. Formeel test-/goedkeuringsproces – Dit is van vitaal belang omdat het veiligheidsproblemen helpt voorkomen die ontstaan door een verkeerde configuratie van het netwerk, de firewall of de router. U moet ervoor zorgen dat alleen bevoegde gebruikers (met een wachtwoord) wijzigingen mogen aanbrengen en dat deze wijzigingen worden geregistreerd en bewaard.
   2. Diagram dat netwerken, netwerkapparaten & systeemcomponenten identificeert – Deze diagrammen beschrijven de netwerkconfiguratie en kunnen worden gebruikt om alle locaties van netwerkapparaten te identificeren. Zonder dit systeem kunnen apparaten onbewust buiten de beveiligingscontroles worden gehouden, wat een ernstig risico kan inhouden. U moet automatisch netwerk diagrammen genereren en bijwerken.
   3. Schema van de gegevensstroom van de kaarthouder – Dit identificeert de plaats van alle gegevens van de kaarthouder binnen het netwerk. Zo kunt u gegevens doeltreffender beheren.
   4. Firewalls voor alle internetverbindingen – Dit vermindert de kans dat een kwaadwillende via een onbeschermd netwerk in uw netwerk binnendringt, omdat de toegang doeltreffender wordt bewaakt en gecontroleerd. Zorg ervoor dat een PCI-conforme firewall is geïnstalleerd voor elke Internetverbinding, en ook tussen elke DMZ en de interne netwerkzone.
   5. Beschrijving van alle groepen, rollen en verantwoordelijkheden – Dit zorgt ervoor dat alle personeelsleden weten wie waarvoor verantwoordelijk is. Deze rollen kunnen worden beheerd via een gecentraliseerd beheersysteem.
   6. Documentatie en zakelijke rechtvaardiging voor alle toegestane diensten, poorten en protocollen – Hiermee kunt u alle andere protocollen, poorten of diensten verwijderen of uitschakelen.
   7. Herzie de regelset van de router en firewall om de zes maanden – voortdurende bijwerking is nodig om voortdurend aan de PCI DSS normen te voldoen.

U moet ook router- en firewallconfiguraties maken die verbindingen beperken tussen CDE-systeemcomponenten en onvertrouwde netwerken. Dit houdt in:

1. Het verkeer moet worden beperkt, zowel inkomend als uitgaand, zodat de gegevensomgeving voor de kaarthouder alleen het noodzakelijke bevat. Al het andere, niet-gerelateerde verkeer moet worden gescheiden.
2. De configuratiebestanden van de router moeten worden beveiligd en gesynchroniseerd.
3. Controleer het verkeer door perimeter-firewalls te installeren tussen de CDE en alle draadloze netwerken. Configureer deze firewalls om alleen geautoriseerd verkeer toe te staan tussen de CDE en de draadloze omgeving.

Begrijp deze eis:

Stap twee omvat het tot stand brengen van de juiste firewallconfiguratie, zodat deze correct functioneert en het netwerkverkeer op een veilige en doeltreffende manier controleert. U moet ervoor zorgen dat er netwerkbeveiliging is geïnstalleerd tussen het interne, vertrouwde netwerk en eventuele externe, niet-vertrouwde netwerken. Als je dit niet doet, ben je kwetsbaar voor een aanval.

1. 1. Beperking van inkomend en uitgaand verkeer – Dit is nodig om ervoor te zorgen dat kwaadwillende aanvallers geen toegang krijgen tot uw netwerk door het gebruik van diensten, poorten of protocollen op een ongeoorloofde manier of via ongeoorloofde IP-adressen. Dit kan worden bereikt door een omgeving voor kaarthoudergegevens te creëren waarin alle inkomend en uitgaand verkeer wordt geweigerd, behalve betalingstransacties.
   2. Routerconfiguratiebestanden beveiligen en synchroniseren – Opstartconfiguratiebestanden worden vaak over het hoofd gezien omdat ze niet vaak worden gebruikt. Als ze echter niet met dezelfde beveiligde instellingen zijn bijgewerkt, kan een cybercrimineel een weg naar binnen vinden.
   3. Installeer perimeterfirewalls tussen alle draadloze netwerken en de CDE – Kwaadwillenden maken vaak misbruik van draadloze technologie om toegang te krijgen tot kaartgegevens. Daarom zijn firewalls nodig om de toegang van draadloze netwerken tot de gegevensomgeving van de kaarthouder te beperken.

Rechtstreekse toegang van het publiek tussen onderdelen van CDE-systemen en het internet moet worden verboden. Om dit te doen, moet je:

1. Inkomend verkeer moet worden beperkt tot systeemcomponenten die geautoriseerde, openbaar toegankelijke diensten, protocollen en poorten leveren. Implementeer een DMZ om dit te bereiken.
2. Binnen de DMZ moet inkomend internetverkeer beperkt worden tot IP-adressen.
3. Rechtstreekse verbindingen tussen de COB en het internet, zowel inkomend als uitgaand, moeten worden verboden.
4. U moet alle vervalste bron-IP-adressen opsporen en blokkeren, zodat ze het netwerk niet kunnen binnenkomen. Implementeer anti-spoofing maatregelen om dit te bereiken.
5. Onbevoegd uitgaand verkeer van de CDE naar het Internet mag niet worden toegestaan.
6. “Gevestigde” verbindingen mogen alleen in het netwerk worden toegelaten.
7. Alle systeemcomponenten die kaarthoudergegevens opslaan, moeten worden afgezonderd van de DMZ en andere niet-vertrouwde netwerken en in plaats daarvan in een interne netwerkzone worden geplaatst.
8. Routing-informatie en privé-IP-adressen mogen niet aan onbevoegden worden bekendgemaakt.

Begrijp deze eis:

De vorige twee stappen hebben zich geconcentreerd op de bescherming die firewalls bieden. De firewall beschermt in wezen de verbindingen van de openbare systemen naar de CDE. Dit alles zal echter volkomen waardeloos zijn indien men rechtstreekse toegang tussen de openbare systemen en het COB toestaat.

1. 1. Implementeer een DMZ – Dit beheert verbindingen tussen het Internet en diensten die bedrijven voor het publiek beschikbaar moeten hebben. Dit zal cybercriminelen ervan weerhouden het internet te gebruiken om toegang te krijgen tot uw interne netwerk. Beperk al het verkeer om er zeker van te zijn dat je aan de regels voldoet.
   2. Beperk inkomend verkeer tot IP-adressen in de DMZ – Dit zorgt ervoor dat onbevoegden geen toegang hebben. Verbied directe verbindingen tussen het Internet en de CDE – Dit verhindert ongefilterde toegang tussen vertrouwde en niet-vertrouwde omgevingen. Stel dat een cybercrimineel gevoelige informatie bemachtigt, dan kan hij die niet van uw netwerk naar een onvertrouwde, externe server sturen. U kunt dit bereiken door alle inkomend en uitgaand verkeer te weigeren, behalve betalingstransacties.
   3. Implementeer anti-spoofingmaatregelen – Kwaadwillende aanvallers proberen vaak een IP-adres te imiteren zodat u denkt dat het van uw eigen netwerk afkomstig is. Er moeten maatregelen komen om dit te stoppen.
   4. Verbied ongeoorloofd uitgaand verkeer van de CDE naar het Internet – U moet het verkeer zo regelen dat alleen geautoriseerde communicatie wordt toegestaan. U kunt dit doen door alle inkomend en uitgaand verkeer te weigeren, met uitzondering van betalingstransacties.
   5. Laat alleen gevestigde verbindingen toe in het netwerk – U heeft een firewall nodig die een stateful packet inspection uitvoert. Dit houdt in dat de status van elke verbinding door de firewall wordt bijgehouden, zodat u weet of een reactie geautoriseerd is of dat een cybercrimineel de firewall probeert te misleiden om een weg naar binnen te vinden.
   6. Scheid systeemonderdelen die kaarthoudergegevens opslaan van de DMZ – Er zijn minder lagen voor cybercriminelen om binnen te dringen als kaarthouderinformatie wordt opgeslagen binnen de DMZ. Dit maakt het makkelijker voor hen om toegang te krijgen. De gegevens van de kaarthouder moeten zich in een gescheiden netwerk bevinden.
   7. Routinginformatie en privé-IP-adressen mogen niet aan onbevoegden worden bekendgemaakt – U moet ervoor zorgen dat privé-IP-adressen worden bekendgemaakt, anders kan een hacker ontdekken wat het IP-adres is en zich toegang tot uw netwerk verschaffen. Verplicht alle gebruikers zich aan te melden, zorg voor geautoriseerde vrijgave door een beheerder op elke locatie, en verbied routeringsprotocollen en advertenties.

Persoonlijke firewall-software moet worden geïnstalleerd op alle apparaten en mobiele telefoons van werknemers die verbinding maken met het internet wanneer deze worden gebruikt om toegang te krijgen tot het netwerk of buiten het netwerk.

Begrijp deze eis:

Een persoonlijke firewall is nodig om mobiele telefoons en apparaten van werknemers te beschermen tegen een aanval via internet. Dit is absoluut noodzakelijk, aangezien deze apparaten vatbaarder zijn voor inbreuken omdat ze zich buiten de bedrijfsfirewall bevinden, en dus het doelwit bij uitstek worden van hackers. Als uw werknemers hun laptop voor werkdoeleinden gebruiken en verbinding maken wanneer zij zich buiten het netwerk bevinden, is het daarom uw verantwoordelijkheid ervoor te zorgen dat zij persoonlijke firewall-software hebben geïnstalleerd.

De operationele procedures en het beveiligingsbeleid voor het beheer van firewalls moeten worden gedocumenteerd en bekend zijn bij alle partijen die ermee te maken krijgen.

Begrijp deze eis:

Om ongeoorloofde netwerktoegang te blijven voorkomen, moet u het beleid en de procedures met betrekking tot firewalls en routers beheren en ervoor zorgen dat deze goed gedocumenteerd en bijgewerkt zijn.