PCI DSS står för Payment Card Industry Data Security Standard. Detta är en säkerhetsstandard som beskriver några av de åtgärder som företag är skyldiga att vidta för att skydda data.
Detta inkluderar många säkerhetslager, från att använda en VPN som NordVPN till att installera en brandvägg. Du måste också dokumentera allt på ett effektivt sätt. Om du inte gör det kan du få betala stora böter om ett dataintrång inträffar.
Nedan följer en genomgång av några av de viktigaste kraven. Detta kommer att hjälpa dig att få en bättre förståelse för den omfattande säkerhetsplan som du behöver upprätta och genomföra. Detta är inte på något sätt en uttömmande lista, utan täcker bara några av de viktigaste områdena. Läs hela PCI DSS-guiden.
Innehållsförteckning
PCI DSS-krav – Installera och underhålla en brandväggskonfiguration
PCI DSS innehåller ett stort antal krav som alla handlare måste följa för att säkerställa överensstämmelse. Det första steget är att skydda kortinnehavarnas uppgifter genom att installera och underhålla en brandväggskonfiguration. Vi kommer att berätta vad detta innebär och hur vår tjänst kan hjälpa dig.
Detta krav är faktiskt den mest tekniskt utmanande av alla PCI DSS-standarder. Att installera och underhålla en brandväggskonfiguration kan på ytan låta enkelt, men det är mycket som ingår i detta krav, vilket du kommer att upptäcka nedan.
Vad förväntar sig PCI när det gäller installation och underhåll av en brandväggskonfiguration?
Det första du behöver göra är att upprätta och installera konfigurationsstandarder för routern och brandväggen, som måste bestå av alla följande:
- Ett formellt förfarande för testning och godkännande av alla nätverksanslutningar och ändringar av router- och brandväggskonfigurationer.
- Ett diagram som identifierar alla nätverk, nätverksenheter och systemkomponenter. Detta diagram måste innehålla anslutningar mellan kortinnehavardatamiljön (CDE) och alla andra nätverk, inklusive trådlösa nätverk.
- Du behöver också ett diagram som visar flödet av kortinnehavaruppgifter i alla dina nätverk och system.
- För varje Internetanslutning måste det finnas en brandvägg. Detta gäller även mellan en demilitariserad zon (DMZ) och den interna nätverkszonen.
- För att hantera nätverkskomponenter behöver du en beskrivning av alla grupper, roller och ansvarsområden.
- Det krävs en affärsmässig motivering och dokumentation för användningen av alla tillåtna tjänster, portar och protokoll samt för alla säkerhetsåtgärder som används för osäkra protokoll.
- Du måste se över alla router- och brandväggsregeluppsättningar minst var sjätte månad.
Förståelse för detta krav:
Du måste inse att både routrar och brandväggar spelar en avgörande roll när det gäller nätverksingångar och -utgångar. De ger auktoriserad nätverksåtkomst och blockerar oönskad åtkomst, och detta är anledningen till varför det är viktigt att ha brandväggar och routrar installerade. Punkterna a-g är i huvudsak PCI:s riktlinjer för de åtgärder som måste vidtas för att se till att denna första försvarslinje är så stark som den behöver vara.
Låt oss titta på hur vi kan genomföra punkterna a-g:
-
- Formell testning/godkännandeprocess – Detta är viktigt eftersom det hjälper till att förebygga säkerhetsproblem som uppstår på grund av felkonfigurering av nätverket, brandväggen eller routern. Du måste se till att endast auktoriserade användare (med lösenord) får göra ändringar och att dessa ändringar registreras och sparas.
- Diagram som identifierar nätverk, nätverksenheter och systemkomponenter – Dessa diagram beskriver nätverkskonfigurationen och kan användas för att identifiera alla platser för nätverksenheter. Utan den kan enheterna omedvetet lämnas utanför säkerhetskontrollerna, vilket kan utgöra en allvarlig risk. Du bör automatiskt generera och uppdatera nätverksdiagram.
- Flödesdiagram för kortinnehavardata – Detta visar var alla kortinnehavardata finns i nätverket. På så sätt kan du hantera data mer effektivt.
- Brandväggar för alla internetanslutningar – Detta minskar risken för att en illvillig person tar sig in i ditt nätverk via ett oskyddat nätverk eftersom åtkomsten övervakas och kontrolleras mer effektivt. Se till att en PCI-kompatibel brandvägg är installerad för varje Internetanslutning samt mellan DMZ och den interna nätverkszonen.
- Beskrivning av alla grupper, roller och ansvarsområden – Detta säkerställer att all personal är medveten om vem som är ansvarig för vad. Dessa roller kan hanteras via ett centraliserat hanteringssystem.
- Dokumentation och affärsmässig motivering för alla tillåtna tjänster, portar och protokoll – Detta gör att du kan ta bort eller inaktivera alla andra protokoll, portar eller tjänster.
- Se över router- och brandväggsreglerna var sjätte månad – Det krävs ständiga uppdateringar för att kontinuerligt uppfylla PCI DSS-standarderna.
Du måste också skapa router- och brandväggskonfigurationer som begränsar anslutningar mellan CDE-systemkomponenter och icke betrodda nätverk . Detta innebär följande:
- Trafiken måste begränsas, både inkommande och utgående, så att kortinnehavaruppgiftsmiljön endast innehåller det som är nödvändigt. All annan, icke-relaterad trafik måste separeras.
- Konfigurationsfiler för routrar måste säkras och synkroniseras.
- Kontrollera trafiken genom att installera brandväggar mellan CDE och alla trådlösa nätverk. Konfigurera brandväggarna så att de endast tillåter auktoriserad trafik mellan CDE och den trådlösa miljön.
Förståelse för detta krav:
Steg två handlar om att uppnå rätt konfiguration av brandväggen så att den fungerar korrekt och kontrollerar nätverkstrafiken på ett säkert och effektivt sätt. Du måste se till att nätverksskydd installeras mellan det interna, betrodda nätverket och eventuella externa, icke betrodda nätverk. Om du inte gör det är du sårbar för en attack.
-
- Begränsa inkommande och utgående trafik – Detta är nödvändigt för att se till att angripare inte får tillgång till nätverket genom att använda tjänster, portar eller protokoll på ett otillåtet sätt eller via otillåtna IP-adresser. Detta uppnås genom att skapa en miljö för kortinnehavaruppgifter där all inkommande och utgående trafik nekas utom betalningstransaktioner.
- Säkra och synkronisera routerns konfigurationsfiler – Konfigurationsfiler för start av routern glöms ofta bort på grund av att de inte används så ofta. Men om de inte är uppdaterade med samma säkra inställningar kan en cyberkriminell hitta en väg in.
- Installera brandväggar mellan alla trådlösa nätverk och CDE – illvilliga personer utnyttjar ofta trådlös teknik för att komma åt kortuppgifter. Därför behövs brandväggar för att begränsa åtkomsten från trådlösa nätverk till kortinnehavardatamiljön.
Direkt offentlig åtkomst mellan någon av CDE:s systemkomponenter och Internet måste vara förbjuden. För att göra detta måste du:
- Inkommande trafik måste begränsas till systemkomponenter som tillhandahåller auktoriserade offentligt tillgängliga tjänster, protokoll och portar. Inför en DMZ för att uppnå detta.
- Inom DMZ måste inkommande internettrafik begränsas till IP-adresser.
- Direkta förbindelser mellan centrumet och Internet, både inkommande och utgående, måste förbjudas.
- Du måste upptäcka och blockera alla falska IP-adresser från källan så att de inte kan komma in i nätverket. Genomför åtgärder för att förhindra spoofing för att uppnå detta.
- Obehörig utgående trafik från CDE till Internet bör inte tillåtas.
- “Etablerade” anslutningar bör endast tillåtas till nätverket.
- Alla systemkomponenter som lagrar kortinnehavaruppgifter måste separeras från DMZ och andra otillförlitliga nätverk och istället placeras i en intern nätverkszon.
- Routinginformation och privata IP-adresser får inte lämnas ut till obehöriga.
Förståelse för detta krav:
De två föregående stegen har fokuserat på det skydd som brandväggar erbjuder. Brandväggen skyddar i huvudsak anslutningarna från de offentliga systemen till centrumet. Allt detta kommer dock att vara helt värdelöst om man tillåter direkt tillgång mellan offentliga system och CDE.
-
- Implementera en DMZ – Detta hanterar anslutningar mellan Internet och tjänster som företag behöver ha tillgängliga för allmänheten. På så sätt hindras cyberbrottslingar från att använda Internet för att komma åt ditt interna nätverk. Begränsa all trafik för att se till att du uppfyller kraven.
- Begränsa inkommande trafik till IP-adresser i DMZ – Detta säkerställer att ingen obehörig har tillgång till den. Förbjud direkta anslutningar mellan Internet och CDE – På så sätt förhindras ofiltrerad åtkomst mellan betrodda och icke betrodda miljöer. Om en cyberkriminell får tag på känslig information kan han eller hon därför inte skicka den från ditt nätverk till en extern server som inte är betrodd. Detta kan du göra genom att neka all inkommande och utgående trafik utom betalningstransaktioner.
- Implementera åtgärder för att förhindra spoofing – Illasinnade angripare försöker ofta efterlikna en IP-adress så att du tror att den kommer från ditt eget nätverk. Åtgärder måste vidtas för att stoppa detta.
- Förbjud obehörig utgående trafik från CDE till Internet – Du måste kontrollera trafiken så att endast auktoriserad kommunikation tillåts. Detta kan du göra genom att neka all inkommande och utgående trafik utom betalningstransaktioner.
- Tillåt endast etablerade anslutningar till nätverket – Du behöver en brandvägg som utför en stateful packet inspection. Detta innebär att upprätthålla varje anslutnings status genom brandväggen så att du vet om ett svar är godkänt eller om en cyberkriminell försöker lura brandväggen för att hitta en väg in.
- Separera systemkomponenter som lagrar kortinnehavaruppgifter från DMZ – Det finns färre lager för cyberkriminella att tränga in i om kortinnehavaruppgifter lagras i DMZ. Det gör det lättare för dem att få tillträde. Kortinnehavaruppgifter måste finnas i ett separat nätverk.
- Routinginformation och privata IP-adresser får inte lämnas ut till obehöriga – Du måste se till att privata IP-adresser lämnas ut, annars kan en hackare ta reda på IP-adressen och få tillgång till ditt nätverk. Kräv att alla användare loggar in, se till att en administratör på varje plats ger auktoriserat utlämnande, och du bör förbjuda routningsprotokoll och annonser.
Personlig brandväggsprogramvara måste installeras på alla anställdas egna enheter och mobiler som är anslutna till Internet när de används för att komma åt nätverket eller utanför nätverket.
Förståelse för detta krav:
En personlig brandvägg behövs för att skydda mobiler och personalägda enheter från internetbaserade attacker. Detta är absolut nödvändigt eftersom dessa enheter är mer känsliga för intrång eftersom de befinner sig utanför företagets brandvägg och därmed är ett utmärkt mål för hackare. Om dina anställda använder sina bärbara datorer för arbetsändamål och ansluter när de är utanför nätverket är det därför ditt ansvar att se till att de har installerat en personlig brandväggsprogramvara.
Driftsrutiner och säkerhetsprinciper för hantering av brandväggar måste dokumenteras och vara kända för alla berörda parter.
Förståelse för detta krav:
För att säkerställa att du fortsätter att förhindra obehörig nätverksåtkomst måste du hantera de policyer och rutiner som finns för brandväggar och routrar och se till att de är väldokumenterade och uppdaterade.
PCI DSS-krav – Använd inte leverantörens standardvärden för systemlösenord och ytterligare säkerhetsparametrar.
För att uppnå PCI DSS-överensstämmelse anges i avsnitt två att du måste ändra alla standardinställningar som tillhandahålls av leverantören, utan undantag. Detta gäller för alla standardlösenord, inklusive de som används i kassaterminaler, programkonton, operativsystem och mycket, mycket mer.
Vad förväntar sig PCI när det gäller att undvika alla leverantörslevererade standardvärden?
Som vi redan kortfattat har nämnt måste du se till att du ändrar de standardkonteringar som leverantören tillhandahåller, och du måste inaktivera eller ta bort alla standardkonton som inte krävs. Det finns inga undantag från denna regel – alla lösenord och säkerhetsparametrar måste ändras.
När det gäller alla trådlösa miljöer som överför kortinnehavarinformation eller ansluter till kortinnehavardatamiljön (CDE) måste du ändra alla trådlösa leverantörers standardinställningar vid installationen. Detta inkluderar standard SNMP-gemenskapssträngar, lösenord och nycklar för trådlös kryptering.
Förståelse för detta krav:
Standardinställningar publiceras ofta och är välkända i hackersamfund. Detta gör ditt system mer sårbart, eftersom illasinnade personer lätt kan få tillgång till systemet genom att använda standardlösenord, kontonamn, inställningar och liknande, och genom att ändra alla standardinställningar begränsar du därför tillgången på ett effektivt sätt.
Det är viktigt att ändra alla standardinställningar för trådlösa leverantörer, för om du inte gör det kan en cyberkriminell lätt ta sig in i ditt nätverk och attackera det. Detta beror på att de flesta trådlösa nätverk implementeras utan lämpliga säkerhetskonfigurationer, vilket ger hackare möjlighet att ta del av data och lösenord genom att tjuvlyssna på trafiken.
Nästa krav är att utveckla konfigurationsstandarder för alla dina systemkomponenter . Alla kända säkerhetsbrister måste åtgärdas, och de måste överensstämma med industrins accepterade standarder för systemhärdning. För att göra detta måste du följa nedanstående steg:
- Det får bara finnas en primär funktion för varje server. Detta är nödvändigt för att se till att servrar som behöver olika säkerhetsnivåer inte finns på samma server.
- Endast protokoll och tjänster som är nödvändiga för att systemet ska fungera får aktiveras.
- För alla nödvändiga protokoll eller tjänster som anses vara osäkra måste du implementera ytterligare säkerhetsfunktioner.
- Förhindra missbruk genom att konfigurera systemets säkerhetsparametrar.
- Onödig funktionalitet måste tas bort, inklusive onödiga webbservrar, filsystem, delsystem, funktioner, drivrutiner och skript.
Förståelse för detta krav:
PCI har infört detta krav för att bekämpa de många kända svagheter som finns i företagsapplikationer, databaser och operativsystem. Även om det finns sårbarheter finns det också sätt att åtgärda dem, och steg a-e tillhandahålls för att se till att ditt företag hanterar eventuella svagheter i ditt system.
Låt oss titta på de fem punkterna som nämns här:
- Implementera en primär funktion per server – Om du har två serverfunktioner som ligger på samma server men kräver olika säkerhetsnivåer kommer en av serverfunktionerna att äventyras. Detta beror på att behoven hos de funktioner med högre säkerhet kommer att minska till följd av de funktioner med lägre säkerhet.
- Aktivera endast nödvändiga protokoll och tjänster – Det finns många protokoll som gör det enkelt för illvilliga insiders att äventyra ett nätverk. Därför har PCI infört detta krav för att se till att företag endast aktiverar protokoll och tjänster som är nödvändiga för att minska risken för en attack.
- Implementera extra säkerhetsfunktioner för osäkra protokoll och tjänster – Om du aktiverar säkerhetssystem innan nya servrar installeras kan du se till att de inte installeras i en miljö med osäkra konfigurationer. Ytterligare säkerhetsfunktioner minskar också risken för intrång eftersom hackare inte kan utnyttja de vanligaste intrångspunkterna i nätverket.
- Konfigurera systemets säkerhetsparametrar – Detta är avgörande för att undvika missbruk, och du kan uppnå detta genom en rad olika metoder, inklusive rollbaserad auktorisering, mallbaserade brandväggsregler och säkra granskningsloggar.
- Ta bort onödig funktionalitet – Detta krav säkerställer att illasinnade personer inte har några ytterligare möjligheter att äventyra ditt system.
Du måste använda stark kryptografi för att kryptera all administrativ åtkomst utanför konsolen .
Förståelse för detta krav:
Utan krypterad kommunikation och säker autentisering kan en hackare lätt stjäla information i syfte att få tillgång till nätverket, bli administratör och slutligen stjäla data.
Det här steget kräver att du upprätthåller en inventering av systemkomponenterna . Detta måste omfatta alla komponenter som omfattas av PCI DSS.
Förståelse för detta krav:
Om du inte följer detta krav kan det hända att du glömmer bort systemkomponenter, och därför kan de uteslutas från dina konfigurationsstandarder.
Dokumentera alla operativa förfaranden och säkerhetsprinciper för hantering av leverantörsinställningar och andra säkerhetsparametrar.
Förståelse för detta krav:
Steg fem har utformats för att förhindra osäkra konfigurationer genom att se till att all personal följer de dagliga arbetsrutinerna och säkerhetsprinciperna.
Leverantörer av delat värdskap måste skydda varje enhets kortinnehavaruppgifter och värdmiljön.
Förståelse för detta krav:
Om flera klienter finns på samma server via en webbhotell kan en klient äventyra en annan klients data genom att lägga till osäkra skript och funktioner. Detta krav syftar till att motverka detta.
PCI DSS-krav – Överföringen av kortinnehavaruppgifter måste krypteras i alla öppna, offentliga nätverk.
Den här delen av PCI DSS-kraven är utformad för att se till att du har starka krypteringskontroller på plats när kortinnehavaruppgifter överförs. Syftet är att hindra cyberbrottslingar från att avlyssna eller avleda data när de är i transit.
För att skydda kortinnehavarnas uppgifter när de överförs via öppna, offentliga nätverk måste du använda säkerhetsprotokoll och stark kryptografi . Några vanliga exempel på öppna, offentliga nätverk är satellitkommunikation, trådlös teknik och Internet.
För att säkerställa att stark kryptering för överföring och autentisering tillämpas måste du dessutom använda de bästa metoderna i branschen när trådlösa nätverk antingen är anslutna till kortinnehavardatamiljön eller överför kortinnehavardata .
Förståelse för detta krav:
Detta krav är absolut nödvändigt eftersom data som överförs via öppna, offentliga nät är sårbara för avlyssning från illvilliga individer.
Den andra delen av steg ett, om trådlösa nätverk, är viktig eftersom cyberkriminella ofta tjuvlyssnar på trådlös kommunikation med hjälp av verktyg som är gratis och allmänt tillgängliga. Genom att använda de bästa metoderna inom branschen kan du förhindra att detta inträffar.
Du bör aldrig använda slutanvändarens meddelandeteknik för att skicka oskyddade PAN:er . De främsta exemplen på slutanvändarmeddelanden är snabbmeddelanden och e-post.
Förståelse för detta krav:
Detta krav har införts eftersom det är lätt att avlyssna slutanvändarnas meddelandehanteringsteknik. Du måste bara se till att du inte använder dessa verktyg när du skickar PAN.
Dokumentera alla operativa förfaranden och säkerhetsprinciper för kryptering av överföringar av kortinnehavaruppgifter. Se till att alla som berörs av dessa förfaranden och policyer känner till dem.
Förståelse för detta krav:
Detta krav är absolut nödvändigt för att säkerställa en kontinuerlig och effektiv förvaltning av den säkra överföringen av kortinnehavaruppgifter.
PCI DSS-krav – Utveckla och underhålla säkra applikationer och system.
PCI DSS-överensstämmelse är en kontinuerlig process, och detta krav innebär utveckling och underhåll av säkra applikationer och system. Syftet med detta är att se till att du håller dig uppdaterad om eventuella sårbarheter som kan påverka din miljö och skapa potentiella problem. Det finns många sätt att uppfylla dina skyldigheter, från säkerhetskontroller till uppdateringar.
Det första steget för att uppnå detta PCI DSS-krav är att etablera processer för identifiering av eventuella säkerhetsproblem. För att göra detta måste ett riskklassificeringssystem införas för alla nyupptäckta sårbarheter, vilket beror på er riskbedömningsstrategi och miljö.
Förståelse för detta krav:
Detta krav har fastställts eftersom din organisation kommer att vara öppen för nya sårbarheter om du inte håller dig uppdaterad om alla potentiella risker. Gör veckokontroller av säkerhetstjänster för att se till att nya sårbarheter upptäcks omedelbart.
Installera de säkerhetsläckor som tillhandahålls av leverantören för att skydda alla programvaror och system från kända sårbarheter.
Förståelse för detta krav:
Ett av de största hoten mot företag är den ständiga strömmen av attacker med hjälp av exploateringar som publiceras allmänt. Steg två är därför utformat för att se till att illasinnade personer inte utnyttjar dessa exploateringar för att inaktivera eller attackera ditt system. Genom att använda de senaste säkerhetsläpparna kan alla kända sårbarheter bekämpas.
Alla externa och interna programvarutillämpningar måste utvecklas på ett säkert sätt. Detta krav är uppdelat i ett antal steg.
- Innan programmen släpps till kunderna eller blir aktiva måste du ta bort lösenord, användar-ID:n, konton för anpassade program, utvecklingsprogram och testprogram.
- Före utgivningen ska du granska den anpassade koden för att identifiera eventuella sårbarheter i kodningen.
Förståelse för detta krav:
Detta krav har införts eftersom säkerhetssårbarheter kan införas med avsikt eller oavsiktligt om säkerheten inte inkluderas under faser som kravdefinition, utformning, analys och testning av programvaruutveckling. Låt oss titta närmare på steg a och b nedan.
- Ta bort lösenord, användar-ID:n, konton för anpassade program, utvecklingsprogram och testprogram – Dessa objekt måste tas bort så att information om hur programmet fungerar inte avslöjas.
- Granska den anpassade koden för att identifiera eventuella sårbarheter i kodningen – Det här steget är viktigt eftersom illasinnade personer ofta utnyttjar säkerhetssårbarheter i anpassad kod för att få tillgång till ett nätverk och för att kompromettera data.
När ändringar görs i systemkomponenter måste du följa rutiner och processer för ändringskontroll , som beskrivs i stegen nedan:
- Åtkomstkontroller måste användas för att separera test-/utvecklingsmiljöer från produktionsmiljöer.
- Uppgifterna måste skiljas åt mellan produktmiljöer och test-/utvecklingsmiljöer.
- Du bör inte använda levande PANs/produktionsdata för utveckling eller testning.
- Innan produktionssystemen blir aktiva måste du ta bort testkonton och data.
- För programvaruändringar och implementering av säkerhetskorrigeringar måste du ändra kontrollförfaranden. Se nedan:
- Effekter av dokumenten.
- Dokumentera att de behöriga parterna har godkänt ändringen.
- Kontrollera att ändringen inte kommer att ha en negativ inverkan på systemets säkerhet genom funktionstestning.
- Förfaranden för back-out.
Förståelse för detta krav:
Denna del av PCI-överensstämmelsen är absolut nödvändig eftersom allt följande kan inträffa om ändringskontroller inte genomförs och dokumenteras korrekt – skadlig kod kan införas, oegentligheter i bearbetningen kan uppstå och säkerhetsfunktioner kan antingen göras obrukbara, avsiktligt utelämnas eller av misstag utelämnas. Låt oss titta närmare på de steg som nämns ovan:
-
- Separera test- och utvecklingsmiljöer från produktionsmiljöer – Detta är nödvändigt eftersom utvecklings- och testmiljöer vanligtvis inte är lika säkra som skyddsmiljöer.
- Separera arbetsuppgifter mellan produktionsmiljöer och test-/utvecklingsmiljöer – Det här steget minimerar riskerna eftersom åtkomsten till CDE- och produktionsmiljön kommer att begränsas.
- Använd inte levande PAN:er/produktionsdata för utveckling eller testning – Detta är viktigt eftersom levande PAN:er kan ge cyberkriminella en väg in eftersom säkerhetskontrollerna inte brukar vara lika rigorösa i utvecklings- eller testmiljöer.
- Ta bort testkonton och testdata innan produktionssystemen blir aktiva – Om du inte tar bort testdata och testkonton kan du avslöja information om hur programmet eller systemet fungerar.
- För programvarumodifieringar och implementering av säkerhetspatchar måste du ändra kontrollförfaranden – Säkerhetsproblem kan uppstå när säkerhetspatchar och programvarumodifieringar inte hanteras på rätt sätt.