Hva er PCI DSS-kravene i 2023?

PCI DSS skisserer en rekke krav som alle selgere må følge for å sikre samsvar. Det første trinnet er å beskytte kortholderdata ved å installere og vedlikeholde en brannmurkonfigurasjon. Vi skal snakke deg gjennom hva dette innebærer og hvordan tjenesten vår hjelper.

Dette kravet er faktisk det mest teknisk utfordrende av alle PCI DSS-standardene. Installasjon og vedlikehold av en brannmurkonfigurasjon kan høres enkelt ut på overflaten, men det er mye som ligger i dette kravet, som du vil oppdage nedenfor.

Hva forventer PCI når det gjelder å installere og vedlikeholde en brannmurkonfigurasjon?

Det første du må gjøre er å etablere og installere konfigurasjonsstandarder for ruter og brannmur , som må bestå av alt av følgende:

1. En formell prosedyre for testing og godkjenning av alle nettverkstilkoblinger og endringer i ruter- og brannmurkonfigurasjoner.
2. Et diagram som identifiserer alle nettverk, nettverksenheter og systemkomponenter. Dette diagrammet må inkludere forbindelser mellom Cardholder Data Environment (CDE) og alle andre nettverk, med trådløse nettverk inkludert.
3. Du trenger også et diagram som viser kortholderdatastrømmer på tvers av alle nettverkene og systemene dine.
4. For hver Internett-tilkobling må det være en brannmur. Dette gjelder også mellom enhver demilitarisert sone (DMZ) og den interne nettverkssonen.
5. For å administrere nettverkskomponenter trenger du en beskrivelse av alle grupper, roller og ansvarsområder.
6. Forretningsbegrunnelse og dokumentasjon kreves i forhold til bruken av alle tillatte tjenester, porter og protokoller, samt eventuelle sikkerhetstiltak som brukes for usikre protokoller.
7. Du må gjennomgå alle ruter- og brannmurregelsett minimum hver sjette måned.

Forstå dette kravet:

Det du må innse er at både rutere og brannmurer spiller en avgjørende rolle når det kommer til nettverksinngangs- og utgangspunkter. De vil gi autorisert nettverkstilgang og blokkere uønsket tilgang, og dette fremhever hvorfor det er viktig å ha brannmurer og rutere implementert. Points ag er i hovedsak PCIs retningslinjer for trinnene som må tas for å sikre at denne første forsvarslinjen er så sterk som den trenger å være.

Så la oss ta en titt på hvordan du implementerer points ag:

1. 1. Formell test-/godkjenningsprosess – Dette er viktig fordi det bidrar til å forhindre sikkerhetsproblemer som oppstår på grunn av feilkonfigurering av nettverket, brannmuren eller ruteren. Du må sørge for at kun autoriserte brukere (med passord) har tillatelse til å gjøre endringer og at disse endringene registreres og beholdes.
   2. Diagram som identifiserer nettverk, nettverksenheter og systemkomponenter – Disse diagrammene beskriver nettverkskonfigurasjon og kan brukes til å identifisere alle nettverksenhetsplasseringer. Uten det kan enheter ubevisst utelates fra sikkerhetskontrollene, noe som kan utgjøre en alvorlig risiko. Du bør automatisk generere og oppdatere nettverksdiagrammer.
   3. Kortholderdataflytdiagram – Dette identifiserer plasseringen av alle kortholderdata i nettverket. Dette lar deg administrere data mer effektivt.
   4. Brannmurer for alle Internett-tilkoblinger – Dette reduserer sjansene for at en ondsinnet person kommer inn i nettverket ditt via et ubeskyttet nettverk fordi tilgangen overvåkes og kontrolleres mer effektivt. Sørg for at en PCI-kompatibel brannmur er installert for hver Internett-tilkobling, så vel som mellom enhver DMZ og den interne nettverkssonen.
   5. Beskrivelse av alle grupper, roller og ansvar – Dette sikrer at alt personell er klar over hvem som er ansvarlig for hva. Disse rollene kan administreres via et sentralisert styringssystem.
   6. Dokumentasjon og forretningsbegrunnelse for alle tillatte tjenester, porter og protokoller – Dette lar deg fjerne eller deaktivere alle andre protokoller, porter eller tjenester.
   7. Gjennomgå ruter- og brannmurregelsettet hver sjette måned – Konstant oppdatering er nødvendig for å kontinuerlig møte PCI DSS-standarder.

Du må også bygge ruter- og brannmurkonfigurasjoner som begrenser tilkoblinger mellom CDE-systemkomponenter og ikke-klarerte nettverk. Dette innebærer:

1. Trafikken skal begrenses, både inngående og utgående slik at Kortholderdatamiljøet kun inneholder det som er nødvendig. All annen, ikke-relatert trafikk må adskilles.
2. Ruterkonfigurasjonsfiler må sikres og synkroniseres.
3. Kontroller trafikken ved å installere perimeterbrannmurer mellom CDE og alle trådløse nettverk. Konfigurer disse brannmurene til kun å tillate autorisert trafikk mellom CDE og trådløst miljø.

Forstå dette kravet:

Trinn to innebærer å oppnå riktig brannmurkonfigurasjon slik at den fungerer korrekt og kontrollerer nettverkstrafikken på en sikker og effektiv måte. Du må sørge for at nettverksbeskyttelse er installert mellom det interne, klarerte nettverket og eventuelle eksterne, ikke-klarerte nettverk. Hvis du ikke gjør dette, er du sårbar for et angrep.

1. 1. Begrens innkommende og utgående trafikk – Dette er nødvendig for å sikre at eventuelle ondsinnede angripere ikke får tilgang til nettverket ditt gjennom bruk av tjenester, porter eller protokoller på en uautorisert måte eller via uautoriserte IP-adresser. Oppnå dette ved å opprette et kortholderdatamiljø der all inngående og utgående trafikk nektes unntatt betalingstransaksjoner.
   2. Sikre og synkronisere ruterkonfigurasjonsfiler – Oppstartskonfigurasjonsfiler blir ofte oversett på grunn av sjelden bruk. Men hvis de ikke er oppdatert med de samme sikre innstillingene, kan en nettkriminell finne en vei inn.
   3. Installer perimeter brannmurer mellom alle trådløse nettverk og CDE – Ondsinnede personer utnytter ofte trådløs teknologi for å få tilgang til kortdetaljer. Dette er grunnen til at det er behov for brannmurer for å begrense tilgangen fra trådløse nettverk til kortholderens datamiljø.

Direkte offentlig tilgang mellom alle CDE-systemkomponenter og Internett må være forbudt. For å gjøre dette må du:

1. Innkommende trafikk må begrenses til systemkomponenter som leverer autoriserte offentlig tilgjengelige tjenester, protokoller og porter. Implementer en DMZ for å oppnå dette.
2. Innenfor DMZ må innkommende Internett-trafikk begrenses til IP-adresser.
3. Direkte forbindelser mellom CDE og Internett, enten inngående eller utgående, må være forbudt.
4. Du må oppdage og blokkere eventuelle forfalskede kilde-IP-adresser slik at de ikke kan komme inn i nettverket. Iverksette anti-spoofing-tiltak for å oppnå dette.
5. Uautorisert utgående trafikk fra CDE til Internett bør ikke tillates.
6. ‘Etablerte’ tilkoblinger skal bare tillates inn i nettverket.
7. Eventuelle systemkomponenter som lagrer kortholderdata må adskilles fra DMZ og andre ikke-klarerte nettverk og i stedet plasseres i en intern nettverkssone.
8. Rutinginformasjon og private IP-adresser må ikke utleveres til uautoriserte parter.

Forstå dette kravet:

De to foregående trinnene har fokusert på beskyttelsen som tilbys av brannmurer . Brannmuren beskytter i hovedsak forbindelsene fra de offentlige systemene til CDE. Alt dette vil imidlertid være fullstendig verdiløst hvis du tillater direkte tilgang mellom offentlige systemer og CDE.

1. 1. Implementer en DMZ – Denne administrerer tilkoblinger mellom Internett og tjenester som bedrifter må ha tilgjengelig for publikum. Dette vil stoppe nettkriminelle fra å bruke Internett for å få tilgang til ditt interne nettverk. Begrens all trafikk for å sikre at du overholder retningslinjene.
   2. Begrens innkommende trafikk til IP-adresser i DMZ – Dette sikrer at ingen uautoriserte har tilgang. Forby direkte tilkoblinger mellom Internett og CDE – Dette hindrer ufiltrert tilgang fra å oppstå mellom pålitelige og ikke-klarerte miljøer. La oss derfor si at en nettkriminell innhenter sensitiv informasjon; de vil ikke være i stand til å sende det fra nettverket ditt til en ikke-klarert, ekstern server. Du kan oppnå dette ved å nekte all inngående og utgående trafikk unntatt betalingstransaksjoner.
   3. Implementer anti-spoofing-tiltak – Ondsinnede angripere prøver ofte å etterligne en IP-adresse slik at du tror den kommer fra ditt eget nettverk. Det må settes inn tiltak for å stoppe dette.
   4. Forby uautorisert utgående trafikk fra CDE til Internett – Du må kontrollere trafikken slik at kun autorisert kommunikasjon er tillatt. Du kan gjøre dette ved å nekte all inngående og utgående trafikk bortsett fra betalingstransaksjoner.
   5. Tillat kun etablerte tilkoblinger til nettverket – Du trenger en brannmur som utfører en stateful pakkeinspeksjon. Dette innebærer å opprettholde hver tilkoblings status gjennom brannmuren slik at du vet om et svar er autorisert eller en nettkriminell prøver å lure brannmuren slik at de kan finne en vei inn.
   6. Segreger systemkomponenter som lagrer kortholderdata fra DMZ – Det er færre lag for nettkriminelle å trenge gjennom hvis kortholderinformasjon lagres i DMZ. Dette gjør det lettere for dem å få tilgang. Kortholderdata må være innenfor et segregert nettverk.
   7. Rutinginformasjon og private IP-adresser må ikke avsløres til uautoriserte parter – Du må sørge for at private IP-adresser avsløres, ellers kan en hacker oppdage hva IP-adressen er og få tilgang til nettverket ditt. Krev at alle brukere logger på, og sørg for autorisert avsløring fra en administrator på hvert sted, og du bør forby rutingprotokoller og annonser.

Personlig brannmurprogramvare må installeres på alle ansatteeide enheter og mobiler som kobles til Internett når de brukes for å få tilgang til nettverket eller utenfor nettverket.

Forstå dette kravet:

En personlig brannmur er nødvendig for å beskytte mobiler og ansatteeide enheter mot et Internett-basert angrep . Dette er viktig, siden disse enhetene er mer utsatt for brudd fordi de er utenfor bedriftens brannmur, og derfor blir de hovedmål for hackere. Derfor, hvis dine ansatte bruker sine bærbare datamaskiner til jobbformål og kobler til når de er utenfor nettverket, er det ditt ansvar å sørge for at de har personlig brannmurprogramvare installert.

Driftsprosedyrer og sikkerhetspolicyer for administrasjon av brannmurer må være dokumentert og kjent for alle parter som er berørt.

Forstå dette kravet:

For å sikre at du fortsetter å forhindre uautorisert nettverkstilgang, må du administrere retningslinjene og prosedyrene som er på plass i forhold til brannmurer og rutere, og sikre at de er godt dokumentert og oppdatert.