Quais são os requisitos do PCI DSS em 2023?

O PCI DSS delineia numerosos requisitos que todos os comerciantes devem seguir para garantir a conformidade. O primeiro passo é proteger os dados dos titulares dos cartões, instalando e mantendo uma configuração de firewall. Vamos falar consigo sobre o que isto implica e como o nosso serviço ajuda.

Este requisito é na realidade o mais desafiante tecnicamente de todas as normas PCI DSS. Instalar e manter uma configuração de firewall pode parecer simples na superfície, mas há muita coisa que está envolvida neste requisito, como irá descobrir abaixo.

O que espera a PCI quando se trata de instalar e manter uma configuração de firewall?

A primeira coisa a fazer é estabelecer e instalar normas de configuração de router e firewall, que devem consistir em tudo o que se segue:

1. Um procedimento formal para o teste e aprovação de todas as ligações de rede e alterações às configurações de router e firewall.
2. Um diagrama que identifica todas as redes, dispositivos de rede, e componentes de sistemas. Este diagrama deve incluir ligações entre o Ambiente de Dados do Titular do Cartão (CDE) e todas as outras redes, com redes sem fios incluídas.
3. Também precisa de um diagrama que mostre os fluxos de dados dos titulares dos cartões em todas as suas redes e sistemas.
4. Para cada ligação à Internet, deve existir uma firewall. Isto também se aplica entre qualquer zona desmilitarizada (DMZ) e a zona da rede interna.
5. Para gerir os componentes da rede, é necessária uma descrição de todos os grupos, papéis e responsabilidades.
6. É necessária uma justificação comercial e documentação no que respeita à utilização de todos os serviços, portos e protocolos permitidos, bem como quaisquer medidas de segurança que sejam utilizadas para protocolos inseguros.
7. Deve rever todos os conjuntos de regras de router e firewall de seis em seis meses, no mínimo.

Compreender este requisito:

O que se deve reconhecer é que tanto os routers como as firewalls desempenham um papel crucial quando se trata de pontos de entrada e saída da rede. Concederão acesso autorizado à rede e bloquearão o acesso não desejado, e isto destaca a razão pela qual é imperativo ter firewalls e routers implementados. Os pontos a-g são essencialmente orientações da PCI para as medidas que devem ser tomadas a fim de assegurar que esta primeira linha de defesa seja tão forte quanto necessário.

Portanto, vejamos como implementar os pontos a-g:

1. 1. Processo formal de teste/aprovação – Isto é vital porque ajuda a prevenir problemas de segurança que surgem devido a uma má configuração da rede, firewall, ou router. Deve certificar-se de que apenas os utilizadores autorizados (com uma palavra-passe) estão autorizados a fazer quaisquer alterações e que estas alterações são registadas e retidas.
   2. Diagrama de identificação de redes, dispositivos de rede e componentes de sistemas – Estes diagramas descrevem a configuração da rede e podem ser utilizados para identificar todas as localizações de dispositivos de rede. Sem ele, os dispositivos podem ser ignorados, o que pode representar um risco grave. Deverá gerar e actualizar automaticamente diagramas de rede.
   3. Diagrama de fluxo de dados do titular do cartão – Este identifica a localização de todos os dados do titular do cartão dentro da rede. Isto permite-lhe gerir os dados de forma mais eficaz.
   4. Firewalls para todas as ligações à Internet – Isto reduz as hipóteses de um indivíduo malicioso entrar na sua rede através de uma rede desprotegida porque o acesso é monitorizado e controlado de forma mais eficaz. Assegurar a instalação de uma firewall compatível com PCI para cada ligação à Internet, bem como entre qualquer DMZ e a zona de rede interna.
   5. Descrição de todos os grupos, papéis e responsabilidades – Isto assegura que todo o pessoal está ciente de quem é responsável por quê. Estas funções podem ser geridas através de um sistema de gestão centralizada.
   6. Documentação e justificação comercial para todos os serviços, portos e protocolos permitidos – Isto permite-lhe remover ou desactivar todos os outros protocolos, portos, ou serviços.
   7. Rever semestralmente o conjunto de regras de router e firewall – É necessária uma actualização constante para cumprir continuamente as normas PCI DSS.

Deve também construir configurações de router e firewall que limitem as ligações entre componentes do sistema CDE e redes não confiáveis . Isto implica:

1. O tráfego deve ser restringido, tanto de entrada como de saída, de modo a que o Ambiente de Dados do Titular do Cartão contenha apenas o que é necessário. Todo o restante tráfego não relacionado deve ser segregado.
2. Os ficheiros de configuração do router devem ser protegidos e sincronizados.
3. Controlar o tráfego instalando firewalls perimetrais entre o CDE e todas as redes sem fios. Configurar estas firewalls para permitir o tráfego autorizado apenas entre o CDE e o ambiente sem fios.

Compreender este requisito:

O segundo passo envolve alcançar a configuração correcta da firewall para que funcione correctamente e controle o tráfego de rede de uma forma segura e eficaz. É necessário assegurar que a protecção da rede seja instalada entre a rede interna de confiança e qualquer rede externa não confiável. Se não o fizer, fica vulnerável a um ataque.

1. 1. Restringir o tráfego de entrada e saída – Isto é necessário para garantir que quaisquer atacantes maliciosos não obtenham acesso à sua rede através da utilização de serviços, portas ou protocolos de forma não autorizada ou através de endereços IP não autorizados. Consegui-lo através da criação de um Ambiente de Dados do Titular do Cartão em que todo o tráfego de entrada e saída é negado, excepto as transacções de pagamento.
   2. Ficheiros de configuração de router seguros e sincronizados – Os ficheiros de configuração de arranque são frequentemente ignorados devido à sua utilização pouco frequente. Contudo, se não forem actualizados com as mesmas configurações seguras, então um cibercriminoso pode encontrar uma forma de entrar.
   3. Instalar firewalls perimetrais entre todas as redes sem fios e o CDE – Os indivíduos maliciosos exploram frequentemente a tecnologia sem fios para aceder aos detalhes do cartão. É por isso que são necessárias firewalls para restringir o acesso das redes sem fios ao Ambiente de Dados do Titular do Cartão.

O acesso público directo entre quaisquer componentes do sistema CDE e a Internet deve ser proibido. Para o fazer, é necessário:

1. O tráfego de entrada deve ser limitado aos componentes do sistema que fornecem serviços, protocolos e portos publicamente acessíveis autorizados. Implementar uma DMZ para o conseguir.
2. Dentro da zona DMZ, o tráfego de entrada na Internet deve ser limitado aos endereços IP.
3. As ligações directas entre o CDE e a Internet, sejam elas de entrada ou de saída, devem ser proibidas.
4. Deve detectar e bloquear qualquer endereço IP de origem falsificado para que não possam entrar na rede. Implementar medidas anti-spoofing para o conseguir.
5. Não deve ser permitido o tráfego não autorizado de saída do CDE para a Internet.
6. As ligações “estabelecidas” só devem ser permitidas na rede.
7. Quaisquer componentes do sistema que armazenem dados do titular do cartão devem ser segregados da DMZ e de outras redes não confiáveis e, em vez disso, colocados numa zona de rede interna.
8. As informações de encaminhamento e endereços IP privados não devem ser divulgados a partes não autorizadas.

Compreender este requisito:

As duas etapas anteriores centraram-se na protecção oferecida pelas firewalls. A firewall protege essencialmente as ligações dos sistemas públicos ao CDE. No entanto, tudo isto será completamente inútil se permitir o acesso directo entre os sistemas públicos e o CDE.

1. 1. Implementar uma DMZ – Esta gere as ligações entre a Internet e os serviços que as empresas precisam de ter à disposição do público. Isto impedirá os cibercriminosos de utilizar a Internet para acederem à sua rede interna. Limite todo o tráfego para garantir a sua conformidade.
   2. Limitar o tráfego de entrada aos endereços IP na zona DMZ – Isto assegura que ninguém não autorizado tenha acesso. Proibir ligações directas entre a Internet e o CDE – Isto impede que o acesso não filtrado ocorra entre ambientes fidedignos e não fidedignos. Por conseguinte, digamos que um cibercriminoso obtém informação sensível; não poderá enviá-la da sua rede para um servidor externo não confiável. Pode conseguir isto negando todo o tráfego de entrada e de saída, excepto transacções de pagamento.
   3. Implementar medidas anti-spoofing – Os atacantes maliciosos tentam frequentemente imitar um endereço IP para que acreditem que vem da vossa própria rede. Devem estar em vigor medidas para impedir isto.
   4. Proibir o tráfego de saída não autorizado do CDE para a Internet – Deve controlar o tráfego para que só sejam permitidas comunicações autorizadas. Pode fazer isto negando todo o tráfego de entrada e de saída, com excepção das operações de pagamento.
   5. Só permitir ligações estabelecidas na rede – É necessária uma firewall que efectue uma inspecção de pacotes de estado. Isto implica manter o estado de cada ligação através da firewall para que se saiba se uma resposta é autorizada ou se um cibercriminoso está a tentar enganar a firewall para que possam encontrar uma forma de entrar.
   6. Componentes do sistema de segregação que armazenam dados de titulares de cartões da DMZ – Há menos camadas para os cibercriminosos penetrarem se a informação dos titulares de cartões for armazenada dentro da DMZ. Isto facilita-lhes o acesso. Os dados do titular do cartão têm de estar dentro de uma rede segregada.
   7. Informações de encaminhamento e endereços IP privados não devem ser divulgados a partes não autorizadas – Deve assegurar-se que os endereços IP privados são divulgados, caso contrário um hacker pode descobrir qual é o endereço IP e obter acesso à sua rede. Exigir a todos os utilizadores que façam login, assegurando a divulgação autorizada de um administrador em cada local, e deve proibir protocolos de encaminhamento e anúncios.

O software de firewall pessoal deve ser instalado em quaisquer dispositivos e telemóveis que se liguem à Internet quando utilizados para aceder à rede ou fora da rede.

Compreender este requisito:

É necessária uma firewall pessoal para proteger os telemóveis e os dispositivos propriedade dos funcionários de um ataque baseado na Internet. Isto é imperativo, uma vez que estes dispositivos são mais susceptíveis a violações porque estão fora do firewall corporativo, e por isso tornam-se alvos principais para os hackers. Portanto, se os seus empregados utilizam os seus computadores portáteis para fins de trabalho e se ligam quando estão fora da rede, é da sua responsabilidade assegurar-se de que têm instalado software de firewall pessoal.

Os procedimentos operacionais e as políticas de segurança para a gestão de firewalls devem ser documentados e conhecidos por todas as partes afectadas.

Compreender este requisito:

Para garantir que continua a impedir o acesso não autorizado à rede, deve gerir as políticas e procedimentos em vigor no que diz respeito a firewalls e routers, assegurando que estão bem documentados e actualizados.