Introduzione

Il processo di raggiungimento e mantenimento Conformità PCI DSS non è facile per nessuna organizzazione. Che si tratti di un'organizzazione su larga scala, di una società di medie dimensioni o di una piccola azienda, PCI DSS può essere un compito arduo poiché comprende una serie completa di requisiti di sicurezza. Il raggiungimento della conformità richiede una buona comprensione del quadro di sicurezza dei pagamenti e l'attuazione dei requisiti di controllo della sicurezza. Le organizzazioni che elaborano i dati delle carte di pagamento dovrebbero soddisfare il Requisiti PCI DSS 12 per garantire la conformità e proteggere l'ambiente di pagamento. Questi requisiti fungono da linee guida per le organizzazioni per proteggere la propria rete e infrastruttura dalle minacce informatiche e dalle violazioni dei dati. Elaborando questi requisiti abbiamo condiviso alcuni suggerimenti utili per prepararci Audit di conformità PCI DSS.

Comprensione dei requisiti di conformità PCI DSS

Conformità PCI DSS è uno standard di sicurezza e un framework applicato dal PCI Security Standard Council che si concentra sulla protezione dei dati dei titolari di carta. Lo standard comprende 12 requisiti delineati dal consiglio che si concentra sulle misure tecniche e operative per la protezione dei dati sensibili dei titolari di carte di pagamento. Le organizzazioni sono tenute ad attuare queste misure di sicurezza per raggiungere e mantenere Conformità PCI DSS. Quindi, di seguito sono riportati i 12 requisiti che vengono brevemente spiegati per una migliore comprensione dei modi per prepararsi alla conformità PCI DSS.

Requisito PCI DSS 1: Installa e mantieni una configurazione firewall per proteggere i dati dei titolari di carta
I commercianti e i fornitori di servizi sono tenuti a mantenere una rete sicura con la configurazione appropriata di firewall e router. Questo serve a proteggere l'ambiente dei dati delle carte e prevenire gli attacchi informatici.

Requisito PCI DSS 2: Non utilizzare: valori predefiniti forniti dal fornitore per le password di sistema e altri parametri di sicurezza
I sistemi e il software sono dotati di password e impostazioni predefinite. Pertanto, per garantire la sicurezza, è previsto che i commercianti garantiscano il rafforzamento dei sistemi, della rete e dei dispositivi dell'organizzazione con password e configurazioni di sicurezza complesse. Inoltre, i commercianti devono documentare le procedure di rafforzamento del sistema e seguire i protocolli di conseguenza.

Requisito 3 PCI DSS: protezione dei dati dei titolari di carta archiviati
I commercianti e i fornitori di servizi sono tenuti ad attuare misure adeguate per proteggere i dati dei titolari di carta memorizzati. Utilizzando tecniche di crittografia, i dati PAN dovrebbero essere protetti contro la violazione dei dati

Requisito 4 PCI DSS: crittografia della trasmissione dei dati dei titolari di carta su una rete aperta o pubblica
I commercianti dovrebbero crittografare i dati dei titolari di carta in transito su una rete pubblica o aperta. Inoltre, dovrebbero garantire che le procedure e i processi delle politiche di sicurezza siano in atto per far rispettare le misure di sicurezza e i requisiti di crittografia.

Requisito 5 PCI DSS: utilizzare e aggiornare software o programma antivirus
I commercianti sono tenuti a mantenere aggiornati e protetti i loro sistemi e applicazioni con l'installazione del software antivirus più recente su dispositivi e applicazioni. Questo per garantire la protezione contro malware e altri attacchi informatici.

Requisito 6 PCI DSS: sviluppo e manutenzione di sistemi e applicazioni protetti
La revisione delle implementazioni di sicurezza e l'installazione di patch di sicurezza per mitigare i rischi è fondamentale. L'aggiornamento regolare di queste patch di sicurezza è essenziale per prevenire il potenziale rischio di un attacco. I commercianti sono tenuti a patchare tutti i sistemi all'interno dell'ambiente dei dati delle carte e implementare la sicurezza in tutte le fasi di sviluppo. Inoltre, devono essere in atto processi per scoprire nuove vulnerabilità nei sistemi e nelle applicazioni.

Requisito 7 PCI DSS: limitare l'accesso ai dati dei titolari di carta in base alle esigenze aziendali
I commercianti sono tenuti a implementare controlli di accesso rigorosi per limitare l'accesso ai dati dei titolari di carta. Ciò impedisce l'accesso non autorizzato ai dati sensibili delle carte e il potenziale rischio di violazione o furto dei dati. A tal fine, devono essere stabiliti i processi necessari per garantire che l'accesso ai dati dei titolari di carta sia limitato in base alle esigenze aziendali di conoscenza.

Requisito PCI DSS 8: Identifica e autentica l'accesso ai componenti di sistema
L'accesso ai sistemi e ai dati deve essere tracciato e monitorato regolarmente. A ogni dipendente autorizzato deve essere assegnato un ID univoco come parte di forti misure di controllo di sicurezza. Questo per tenere traccia delle attività relative all'accesso ai sistemi e ai dati nell'ambiente della carta per mantenere la responsabilità

Requisito PCI DSS 9: Limitare l'accesso fisico ai dati dei titolari di carta
La limitazione dell'accesso fisico ai dati dei titolari di carta è una parte essenziale dell'attuazione delle misure di controllo della sicurezza. Ciò richiede l'implementazione di controlli di accesso in loco, il monitoraggio dei registri e l'adozione di politiche e processi di sicurezza necessari. Inoltre, i commercianti sono tenuti a proteggere tutti i dispositivi e i sistemi con misure di sicurezza fisica e mantenere i backup di tutti i dati.

Requisito PCI DSS 10: Tieni traccia e monitora tutti gli accessi alle risorse di rete e ai dati dei titolari di carta
PCI DSS richiede il monitoraggio e la motorizzazione in tempo reale di tutti i punti di accesso, inclusi i sistemi e la rete che comprende i dati delle carte. Questo serve per identificare e prevenire lo sfruttamento di vulnerabilità e minacce all'ambiente dei dati delle carte. Per questo impianto del log, la gestione è essenziale per il regolare monitoraggio dell'attività.

Requisito PCI DSS 11: Testare regolarmente i sistemi e i processi di sicurezza
L'esecuzione regolare di valutazioni delle vulnerabilità e test di penetrazione è essenziale per testare tutti i processi di sistema per le vulnerabilità. Questo serve a garantire e mantenere un livello costante di sicurezza all'interno dell'ambiente dei dati delle carte. Tutti i sistemi e i processi devono essere testati frequentemente per garantire che la sicurezza dei dati sia mantenuta in ogni momento.

Requisito PCI DSS 12: Mantenere una politica che affronti la sicurezza delle informazioni per tutto il personale
La creazione e il mantenimento di politiche che affrontino i processi di sicurezza delle informazioni è necessario dal punto di vista dell'applicazione. Ogni dipendente e fornitore di terze parti dovrebbe avere accesso a queste politiche per conoscere meglio le proprie responsabilità. Inoltre, la politica di sicurezza delle informazioni deve essere rivista ogni anno per allineare il programma di sicurezza informatica del commerciante ai requisiti di PCI DSS.

Ora che conosciamo i requisiti tecnici e operativi che devono essere implementati per ottenere PCI DSS, vediamo come le organizzazioni possono prepararsi per l'audit di conformità PCI DSS.

Passaggi per la preparazione per l'audit PCI DSS

La preparazione per l'audit di conformità PCI DSS può essere davvero stressante. Richiede meticolosi cicli di riesami di valutazione e implementazione di processi per garantire il successo dell'audit finale. Detto questo, ecco alcuni passaggi che si possono seguire per prepararsi Controllo PCI DSS e per garantire che sia un successo.

Non presumere di essere conforme - I requisiti di conformità PCI DSS vengono spesso aggiornati dal PCI Council. Questi aggiornamenti si basano sulla tecnologia in evoluzione e sul panorama delle minacce nel settore. Con l'ultima versione di PCI-DSS 4.0 il cui rilascio è previsto nel primo trimestre del 1, le organizzazioni devono essere vigili sui nuovi requisiti che devono essere introdotti e applicati dal consiglio. Indipendentemente dal fatto che tu fossi precedentemente conforme a PCI DSS, è solo l'imminente audit che suggerirà se continuerai a rimanere conforme o meno. L'audit di conformità è una valutazione per verificare se tutte le misure di sicurezza sono implementate e in linea con l'ultimo requisito di sicurezza dei dati. Quindi, supponendo che tu sia conforme in base al tuo precedente audit PCI DSS potrebbe essere il motivo per cui la tua organizzazione non è conforme nel prossimo audit.

Analisi del divario di conformità – Se la tua organizzazione si sottopone per la prima volta alla valutazione PCI DSS, è molto importante per te identificare dove si trova il tuo livello di conformità "così com'è", quali sono le tue lacune principali e anche gli investimenti necessari. Per questo, l'organizzazione deve continuare a condurre immediatamente un'analisi delle lacune rispetto ai requisiti di conformità PCI DSS. Questo per valutare e verificare le carenze nei requisiti e lavorare per colmare le lacune nel sistema. PCI DSS è un processo continuo e richiede una revisione e un aggiornamento regolari delle procedure e dei processi delle politiche per allineare le operazioni aziendali con gli standard di sicurezza e gli obiettivi di sicurezza informatica. Pertanto, condurre un'analisi del divario e rimediare al potenziale divario di conformità è fondamentale, soprattutto prima dell'audit finale per garantire la conformità PCI DSS. Anche in questo caso non solo dal punto di vista della conformità, ma anche dal punto di vista del rafforzamento della sicurezza di sistemi, reti e infrastrutture.

Rispondi a tutti i requisiti PCI DSS – Le organizzazioni devono assicurarsi di aver soddisfatto tutti i 12 requisiti delineati nel framework PCI DSS per garantire la conformità con il framework degli standard di sicurezza. Comprendere i requisiti e le loro implicazioni è essenziale affinché le organizzazioni implementino le misure necessarie per la conformità. Tutti i requisiti devono essere soddisfatti completamente, se applicabile. Il mancato rispetto di uno solo di questi requisiti può comportare un audit non riuscito e la non conformità a PCI DSS. Quindi, è obbligatorio che i 12 requisiti siano soddisfatti e che tutte le misure di sicurezza necessarie siano implementate all'interno dell'ambiente dei dati delle carte dell'organizzazione.

Crea un diagramma di flusso di dati e di rete – Le organizzazioni devono creare e mantenere un diagramma di rete accurato per comprendere la connettività di rete all'interno dell'organizzazione e il flusso dei dati delle carte nella rete dell'organizzazione. Ciò fornisce una panoramica della rete e dei sistemi dell'organizzazione che gestiscono i dati delle carte, inclusa la memorizzazione, l'elaborazione e la trasmissione dei dati delle carte. La creazione di un diagramma di rete con una rappresentazione visiva del diagramma di flusso dei dati che rifletta il processo della tua organizzazione e il flusso di dati sensibili delle carte aiuta a identificare le carenze nelle operazioni. Quindi, sulla base di un diagramma di rete così dettagliato, le organizzazioni possono dare priorità alle misure di sicurezza su sistemi, applicazioni, reti e tutti i punti di accesso che gestiscono i dati delle carte.

Valutazione del rischio - La valutazione del rischio è una parte essenziale e integrante di qualsiasi programma di conformità e sicurezza informatica. È importante che le organizzazioni determinino e comprendano l'esposizione al rischio con cui hanno a che fare. La valutazione del rischio e la classificazione del livello di esposizione al rischio in base alla gravità è fondamentale affinché l'azienda dia priorità alla propria implementazione della sicurezza. Per questo, le organizzazioni devono condurre annualmente una valutazione del rischio per identificare gli asset critici che sono esposti a minacce e vulnerabilità. Tali valutazioni aiutano le organizzazioni ad adottare misure proattive per proteggere la propria rete di sistemi e dati dalle minacce informatiche in evoluzione. Aiuta anche ad allineare costantemente il loro programma di sicurezza informatica con i requisiti PCI DSS.

Politiche e processo del documento – I documenti riguardanti le politiche di conformità, i processi, le procedure e i contratti e gli accordi con i fornitori devono essere aggiornati e aggiornati di volta in volta. Mantenere tutti i documenti rilevanti come prove nell'audit PCI DSS è fondamentale. I documenti dovrebbero comprendere tutte le misure di sicurezza implementate, le procedure e i processi che impongono l'attuazione delle politiche di conformità stabilite all'interno dell'organizzazione. Tali registrazioni mostrano chiaramente gli sforzi dell'organizzazione verso l'implementazione e il mantenimento della conformità PCI DSS. L'audit PCI DSS implica la verifica dei documenti relativi alle procedure, alle politiche e ai record rilevanti per l'attuazione delle politiche. Pertanto, le organizzazioni devono garantire che tutta la documentazione sia aggiornata e coerente con le operazioni quotidiane. È anche importante notare che qualsiasi cambiamento nelle politiche, nelle procedure o nel processo operativo deve essere documentato e aggiornato regolarmente nei registri.

Conformità di fornitori di terze parti – Sebbene le organizzazioni esternalizzino le attività di elaborazione dei dati a fornitori di terze parti, è comunque loro responsabilità garantire che siano conformi. I commercianti devono assicurarsi che i fornitori di terze parti con cui trattano siano consapevoli delle proprie responsabilità ed elaborino i dati in conformità con i requisiti PCI DSS. Il mancato rispetto della loro conformità può comportare la violazione dei dati e la non conformità a PCI DSS anche per la tua organizzazione. Ciò costerà all'organizzazione una fortuna se non vengono implementate le misure necessarie per monitorare la loro attività. Per questi motivi che coinvolgono fornitori di terze parti e altre parti interessate alla conformità e alla sicurezza informatica, il programma è fondamentale.

Condurre una valutazione interna – La conduzione di una valutazione interna di tanto in tanto è essenziale per identificare le lacune nei processi e le debolezze nei sistemi. Questo aiuta nel processo di riparazione e colma le lacune nel programma di conformità. Lo svolgimento di una valutazione interna annuale è essenziale in quanto rende l'audit di conformità PCI DSS finale senza problemi. L'organizzazione avrà maggiori possibilità di raggiungere la conformità PCI DSS conducendo tali valutazioni preliminari e audit interni prima di quello finale. Le organizzazioni saranno preparate con i documenti necessari come prova e avranno implementato le misure di sicurezza necessarie per garantire la conformità PCI DSS.

Pensiero finale
La conformità PCI DSS è inevitabile per i commercianti e i fornitori di servizi nel settore delle carte di pagamento. Devono assicurarsi costantemente di soddisfare tutti i requisiti e garantire la conformità allo standard e al quadro di sicurezza dei pagamenti in ogni momento. Per questi motivi, consigliamo vivamente alle organizzazioni di prendere in considerazione l'assunzione di un consulente e revisore della conformità professionale ed esperto per garantire che il loro programma di conformità sia in linea e conforme ai requisiti PCI DSS. Controlli interni regolari e valutazioni da parte di un professionista esperto riflettono l'impegno e gli sforzi dell'organizzazione per proteggere i dati delle carte e l'ambiente e riflettono il loro approccio proattivo e l'iniziativa per soddisfare i propri obblighi di conformità per proteggere i dati sensibili.

GRAZIE A:

Narendra Sahoo