Cекреты соответствия PCI DSS

Секреты соответствия PCI DSS: Секреты соответствия PCI DSS: трудности, ошибки и рекомендациитрудности, ошибки и рекомендации

Бондаренко АлександрДиректор департамента консалтинга, CISA, CISSP

+7 (495) 921 1410 / www.leta.ruМарт 2011

информация о компании 2

Новая схема пересмотра

и обновления стандарта

ПОСЛЕДНИЕ ИЗМЕНЕНИЯПОСЛЕДНИЕ ИЗМЕНЕНИЯ

Новые

дедлайны

Новая редакция стандарта – PCI DSS

2.0

01.01.2011 – вступление в силу

2010 LETA IT-company. All rights reserved.This presentation is for informational purposes only. LETA IT-company makes no warranties, express or implied, in this summary.


ПЛАН СООТВЕТСТВИЯПЛАН СООТВЕТСТВИЯ

Предварительный аудит

Построение системы ИБ, отвечающей требованиям

PCI DSS

План устранения несоответствий

Тест на проникновение

Внешнее сканирование от

ASV

Сертификационный аудит

Документы

Техн. средства

Отчет о проведении теста на

проникновение

Отчет о проведении

внешнего сканирования

Отчет о соответствии

КОНСУЛЬТАНТ

поддержание соответствияQSA-аудит

тестирование на проникновение

внешнее и внутреннее сканирование

мониторинг инцидентов и анализ логов

контроль соблюдения политик

обучение сотрудников

анализ рисков

модернизация средств защиты

…



ОСНОВНЫЕ НЕСООТВЕТСТВИЯОСНОВНЫЕ НЕСООТВЕТСТВИЯ

Trustwave Global Security Report 2011



Требование 1: Установить и обеспечить функционирование межсетевых экранов для защиты данных о держателях карт

Аспекты: документирование конфигурации, создание DMZ, отделение беспроводных сетей, персональные МСЭ

Рекомендации: ревью существующих конфигураций и создание на их основе документированных стандартов, использование готовых конфигурационных шаблонов

ТРЕБОВАНИЯ ТРЕБОВАНИЯ PCI DSSPCI DSS

Требование 2: Не использовать пароли и другие системные параметры, заданные производителем по умолчанию

Аспекты: стандартные пароли на большинстве устройств, небезопасные стандартные настройки

Рекомендации: ревью существующих конфигураций и создание на их основе документированных стандартов, использование готовых конфигурационных шаблонов, применение сканеров для выявления стандартных параметров

2010 LETA IT-company. All rights reserved.

This presentation is for informational purposes only. LETA IT-company makes no warranties, express or implied, in this summary.


Требование 3: Обеспечить безопасное хранение данных о держателях карт

Аспекты: небезопасное хранение данных, хранение запрещенных данных, управление крипто-ключами

Рекомендации: DLP и схожие технологии для поиска данных, карты потоков данных, системы централизованного управления крипто-ключами

Документы: «PCI Data Storage Do’s and Don'ts»


Требование 4: Обеспечить шифрование данных о держателях карт при их передаче через сети общего пользования

Аспекты: Использование WEP, WPA/TKIP, OPENSSL

Рекомендации: использование надежных алгоритмов шифрования, исключение возможности открытой передачи




Требование 5: Использовать и регулярно обновлять антивирусное программное обеспечение

Аспекты: отсутствие антивирусов на критичных серверах, на *nix-подобных системах

Рекомендации: подобрать необходимый инструментарий, определить периодичность проверок и обновлений


Требование 6: Разрабатывать и поддерживать безопасные системы и приложения

Аспекты: выявление уязвимостей, обновление разношерстного ПО, тестирование и внесение изменений

Рекомендации: переход на сертифицированные приложения, WAF для защиты веб-приложений, сканеры уязвимостей процедуры контроля и внесения изменений

Документы: Requirement 6.6 Application Reviews and Web Application Firewalls Clarified v1.2



Требование 7: Ограничить доступ к данным платежных карт в соответствии со служебной необходимостью

Аспекты: административный доступ, ролевые модели

Рекомендации: разработка должностных инструкций, введение системы контроля/пересмотра прав доступа


Требование 8: Назначить уникальный идентификатор каждому лицу, имеющему доступ к информационной инфраструктуре

Аспекты: неактивные учетные записи, увольнение персонала, общее пользование учетной записью

Рекомендации: парольная политика, двухфакторная аутентификация для администраторов, процедура взаимодействия с отделом кадров при увольнении



Требование 9: Ограничить физический доступ к данным платежных карт

Аспекты: размещение оборудования и линий связи, «маркеры» для персонала или гостей, надежная транспортировка резервных копий

Рекомендации: port security для сетевых розеток, беджи для посетителей, шифрование резервных копий


Требование 10: Контролировать и отслеживать любой доступ к сетевым ресурсам и данным о держателях карт

Аспекты: ведение логов и их консолидация, хранение лог-файлов, ежедневный анализ

Рекомендации: использование средств автоматизации (SIM), составление описаний подозрительных событий для анализа логов, процедуры анализа логов



Требование 11: Регулярно выполнять тестирование систем и процессов обеспечения безопасности

Аспекты: обнаружение беспроводных устройств, ASV-сканирование, тест на проникновение

Рекомендации: использование сканеров для обнаружения устройств (в т.ч. беспроводных), ASV-сервисы

Документы: Requirement 11.3 Penetration Testing v1.2


Требование 12: Разработать и поддерживать политику информационной безопасности

Аспекты: обучение и повышение осведомленности, скрининг при приеме на работу, реагирование на инциденты

Рекомендации: внутренний ИБ-портал и периодические тренинги, процедура проверки кандидатов, процедура управления инцидентами ИБ




применяются в случае невозможности выполнения требований стандарта

должны обеспечить не меньший уровень безопасности

далеко не всегда экономически эффективны

в ряде случаев создают проблем больше, чем решают

КОМПЕНСАЦИОННЫЕ МЕРЫКОМПЕНСАЦИОННЫЕ МЕРЫ



Стандарт детальный, но оставляет «возможность для маневра»

Ошибочное решение может стоить серьезных финансовых и временных ресурсов и в конечном итоге привести к компрометации

Экономить можно и нужно, но не на всем

Соответствие PCI DSS – хороший фундамент для реальной безопасности

ЗАКЛЮЧЕНИЕЗАКЛЮЧЕНИЕ



КОНТАКТНАЯКОНТАКТНАЯ ИНФОРМАЦИЯИНФОРМАЦИЯ

109129, Россия, Москва, ул. 8-я Текстильщиков, д.11, стр. 2

Тел./факс: +7 (495) 921-1410www.leta.ru


Бондаренко Александр ВалерьевичДиректор департамента консалтингаCISA,CISSPКомпания ЛЕТАe-mail: [email protected]

Documents

Cекреты соответствия PCI DSS