PCI DSS 4.0 要件 11.3 と 11.4: 実際にテストを取得するもの

セキュリティフレームワークは、貫通テストについて話します。 「技術保証」や「独立検証」を依頼し、休息から通訳までお任せください。 PCI DSSは使用していません。 コンプライアンスファミリーの唯一のフレームワークで、ペネトレーションテストを明示的に名前付け、カレンダーを&mdashに固定する唯一のフレームワークです。そして、バージョン 4.0 はネジを緩めではなく締めました。 今年のアセスメントウィンドウが着陸すると、ペンテストが必要なかどうかは問題ありませんが、QSAの読書を生き残るかどうか。

ほぼ常に混乱が同じ場所で始まります。チームでは、同じ活動の2つの単語として「スキャン」と「テスト」を扱い、それぞれをスケジュールし、標準が両方望んでいた評価の時間で発見します。 要件 11.3 と 11.4 は、その理由を正確に分割します。 1つは自動化され、四半期毎に、チェックボックスに応答します。 もう1つはマニュアル、年会、そしてはるかに難しい質問&mdashに答えています。誰かが実際にカードデータに到達できますか?

スコープ

でカウントする 境界は「決済サーバー」ではありません。 これは、カードホルダーのデータ環境です — CDE — それに接続したり、セキュリティに影響を与えることができるすべてのシステム。 その2番目の句は、ほとんどのスキャッピング引数が失われた場所です。 管理的なワークステーション、認証システム、監視プラットフォーム、およびコネクティッドサービスプロバイダは、各々が申し分のないルートであるため、境界線の中にすべての座っています。

は、正式に周囲の外側にあるシステムで、図だけでなく、technicalは外にある必要があります。 その区別は、ドキュメントではなく、セグメンテーションテストによって証明されます。 評価で最も一般的な驚きは、アーキテクチャ図面が「分離」と呼びますが、忘れられたファイアウォールルールまたは管理者ワークステーションを介してCDEに到達するVLANです。 未定のセグメンテーションは周囲を縮小しません。 それは静かにそれを拡大し、それに沿うすべての条件をドラッグします。

注意: 企業ITとCDEの間のクリーンな分離を示すネットワーク図は、自分自身で何も証明しません。 境界線と失敗を横断しようとするテスターが表示されない場合、QSAは境界線が存在しないと仮定しなければなりません。

要求11.3:脆弱性スキャン

要件11.3はスキャンをカバーし、それは10年と著者の両方について厳格です。 内部および外部のスキャンを少なくとも四半期に必要としており、重要な変更後のスキャンと—新しいパブリックフェーシングサービス、再設計されたセグメント、主要なアプリケーション展開。 時計は、カレンダーではなく、変更をリセットします。

外部スキャンは、PCI Security Standards Councilによって承認されたスキャンベンダーであるASVによって実行する必要があります。 内部スキャンは社内で実行できますが、スキャンされるシステムを管理するチームの独立したスタッフによって。 その独立条項は正式ではありません。スキャンと自己評価の違いです。 そして「通過」スキャンは特定の意味を持っています:ゼロの高重度の脆弱性。 「全てをログアウトしました。」 「リスクを受け入れない」 ゼロ.

これは、彼らがいないとき、最も頻繁に彼らが満足していると信じる要件チームです。 パッチのないクリティカルの完全な四半期のスキャンレポートは、コンプライアンスの&mdashの証拠ではありません。それは、既知の不審な暴露の証拠であり、あなた自身のベンダーによってタイムスタンプされます。

お問い合わせ11.4:貫通テスト

ここでは、標準は珍しいことになり、提案ではなく、サブ要求を仕様として読む価値があります。 要件11.4は、文書化された方法論、外部および内部のテストを少なくとも毎年、重要なインフラやアプリケーションの変更後に要求し、ネットワークとアプリケーションレイヤーの両方で全体のCDE境界のカバレッジ、および悪用脆弱性の是正を要求します。

2つの条項は、サービスプロバイダのバーをさらに引き上げます。 要件 11.4.6 は、毎年6か月ごとにセグメンテーションテストを要求します。 要件 11.4.7 は、マルチテナントプロバイダーの &mdash の顧客間での分離テストを追加します。SaaS 決済プラットフォームが実際に動作する方法を正確にキャッチする要件で、1 つのテナントの不正設定が別のテナントの侵害になる可能性があります。

Minimum> 承認された ASV外部貫通テスト

						ミニマムの頻度
				Minimum>Minimum>	による外的なスキャン
11.4.2	内部貫通テスト(network + application)

チェックリストではなく、カバレッジマップとしてテーブルを読みます。 外部のWebの層に触れ、そこに止まる単一の毎年恒例のpentestは、明示的に内部ネットワークとアプリケーション層を望む11.4.2を満たしません。 2つのレイヤーは異なるものをキャッチします。ネットワークテストはパスを見つけ、アプリケーションテストは、その最後に開いたドアを見つけます。

QSAがレポートで尋ねるもの

レポート自体は、エンゲージメントを獲得したり、失われたりする場所です。 QSAは、エンターテインメントのあなたの発見を読んでいません。彼らは仕事が要件に一致するかどうかをチェックしています。 6つのものが再び現れます。

• 業界の&mdashで認識される方法論; PTES、OWASP、またはNIST SP 800-115— エンゲージメントのために発明されたオーダーメイドのプロセスではありません。
• 境界の正当化:これらのシステムが他ではなく、カードホルダーのデータフロー図に縛られた理由。
• ネットワークレイヤーとアプリケーションレイヤーの両方でテストが覆われた証拠。
• セグメント化のため: CDE の外からコントロールを試み、各試みの結果。
• 悪用可能な脆弱性に対して、日付と最終ステータスを検証した。
• テスターがテストの下でシステムを管理するチームに依存していたことを証明する。

その最後のポイントは、静かに婚約を失います。 ファイアウォールを実行している同じエンジニアも、それらに対してテストを実行している場合, 独立性要件が満たされていない, どんなに良い結果が.

重要: 再試すことは任意クリーンアップではないです。 要件11.4は、反復され、再テストされた文書で悪用できる脆弱性を期待しています。 クロージャの証拠のない検索リストは、完全な要件ではなく、オープンアイテムです。

スキャンとテストは置換されません

単一の最も有用な精神モデルはこれです: スキャンは、露出されたサービスの既知の脆弱性を見つけます; 浸透テストは、それらを悪用しようとします, 一緒にチェーン, 実際にカードデータに到達. 煙探知機です。 もう1つは、建物を夜に歩いている人で、窓が本当にロックされているかどうかを確認します。

ASVスキャンが自動化され、四半期、外部、および11.3.2に応答します。 貫通試験は、マニュアル、年間、回答11.4です。 それぞれが他のキャッチを見逃すので、標準は両方を必要とします。 自動化は、既知の盲目について、小説に精通しています。人間のテスターは逆です。 他者と1つを交換することは最もよくある &mdash です。 &mdash を捕捉しやすくなります。 PCI DSS の評価のショートカットです。

予算やスケジュールの具体的な結果もあります。 スキャンは安く、頻繁に、そして大いに操作することができます。 浸透テストは高価で、毎年恒例で、スカースの専門知識に依存しています。 1つのラインアイテムとして扱うことは、そのうちの1つが資金不足していることを意味します。通常は、実際のスキルを十分に受け取るものです。

3.2.1から4.0

に変換するもの 試験の要件は、再番号された&mdashでした。11.3はスキャンされ、11.4はペネトレーションテスト&mdashになりました。しかし、より結果的な変更は実質的でした。 複数テナントの隔離と多要素認証の要求が新たに登場し、以前に「ベストプラクティス」として扱われたアイテムのセットは、31 3月2025日以降に必須となりました。 カスタマイズしたアプローチは、組織が代替制御を介して要件の目的を満たすことを可能にしますが、文書と検証の要求は、単純に記述されたものを行うよりもかなり重大です。

ほとんどの組織にとって、実用的な効果は、猶予期間が終わることです。 推測できる要件が評価され、ペネテストに静的な附属書が一回あったセグメンテーションテストは、独自の権利で一元的成果物となっています。

これはあなたに当てはまりますか?

PCI DSSは法律ではありません。 銀行やプロセッサを買収することにより、カードスキームによって課される契約要件であり、国に関係なくカードデータを保存、処理、または送信する任意のエンティティティに適用されます。 モルドバの企業にとって、通常、義務は銀行やパートナープロセッサを買収し、検証レベルは毎年の取引量に依存します。 つまり、トリガは商業的であり、法律上の &mdash ではありません。あなたは国民の法律に完全に準拠し、依然として次の四半期にペテストレポートを生成するために必要であることができます。

もしあなたがその会話の準備をしている場合は、テスターが到着する前に、有用な作業が起こります:実際のデータフローを描画し、あなたのセグメンテーションが実際にそれを仮定するよりもむしろ保持しているかどうかをテストし、テストを実行する人は、システムが誰が完全に独立しているかを確認します。 これらの3つのことは、レポート内の任意のツールよりも、あなたの評価結果の多くを決定します。