Две компании обрабатывают одинаковый объём карточных транзакций. Одна закрывает работу по соответствию PCI DSS за несколько недель и подаёт короткий опросник для самооценки. Другая тратит полгода, нанимает фирму QSA и всё равно получает список замечаний. Разница не в размере бизнеса и не в бюджете. Она в определении области действия (scoping) — какая часть инфраструктуры действительно соприкасается с данными карт, — и почти ни у кого не получается правильно определить её с первого раза.
В этом главный урок курса PCI DSS 4.0 — безопасность платёжных карт. Стандарт не требует защищать всю компанию. Он требует очертить границу вокруг систем, которые хранят, обрабатывают или передают данные держателей карт, защитить эту границу и доказать это. Всё остальное в двенадцати требованиях вытекает из того, насколько хорошо вы проведёте эту линию. Начать можно здесь: PCI DSS 4.0 — безопасность платёжных данных.
Шаг 1: Выясните, что на самом деле входит в область действия, прежде чем трогать какой-либо контроль
Большинство команд начинают с контрольных списков требований. Это неправильный порядок. Начните с карты потоков данных: где номер карты появляется, где он хранится, где он уходит и какие копии существуют, о которых никто не помнит.
Типичная схема электронной коммерции: платёжная страница, которая отправляет номер карты напрямую процессору, веб-сервер, который никогда не видит PAN, база данных заказов, которая хранит последние четыре цифры и срок действия, и служба поддержки, которая время от времени получает номер карты по электронной почте. Последнее — это ловушка. Сохранённые PAN, даже частичные, и любая система, которая может до них добраться, расширяют область действия.
Сегментация — это то, что превращает аудит масштаба компании в управляемый. Поместите среду обработки данных карт за сетевую границу с документированными правилами, и системы за её пределами могут выйти из области действия — но только если сегментация реальна и протестирована, а не просто нарисована на слайде. Если вы не можете продемонстрировать, что скомпрометированный маркетинговый сервер не может добраться до платёжной базы данных, аудитор включит всё в область действия, и ваши усилия умножатся.
Шаг 2: Знайте, какой SAQ вы заполняете, потому что от этого зависит объём работы
Опросник для самооценки — это не один документ. Это семейство, и выбор неправильного из них тратит месяцы.
| SAQ | Типичная ситуация | Что требуется |
|---|---|---|
| A | Данные карт полностью переданы на аутсорсинг, хранения нет | Самый короткий; в основном подтверждение и политика |
| A-EP | Электронная коммерция, сайт контролирует платёжную страницу | Добавляет проверки сайта и его скриптов |
| D (торговец) | Данные карт хранятся или обрабатываются внутри компании | Полный набор требований, много доказательств |
| P2PE | Проверенное сквозное шифрование в магазинах | Сокращённая область действия, если решение действительно сертифицировано |
Распространённая ошибка: розничный продавец с терминалами в магазине предполагает SAQ A, потому что эквайер проводит расчёты. Если терминалы находятся в той же сети, что и бэк-офис, а бэк-офис имеет доступ в интернет, это предположение рушится при проверке. Выбранный SAQ должен соответствовать архитектуре, которую вы можете доказать, а не той, которую вы хотели бы иметь.
Шаг 3: Относитесь к новым требованиям 4.0 как к инженерным задачам, а не к бумажной работе
PCI DSS 4.0 перевёл несколько требований из категории «имейте политику» в «покажите, что это работает». Два примера, которые застают команды врасплох:
- Требование 6.4.3 — платёжные страницы должны быть защищены от подмены скриптов, с документированной инвентаризацией и проверкой целостности каждого скрипта, загружаемого в браузер потребителя. Если ваша касса подключает скрипты менеджера тегов, которые маркетинг может редактировать без проверки, у вас есть замечание.
- Требование 11.6.1 — вы должны обнаруживать изменения на платёжных страницах и оповещать о них. Обнаружение без пути оповещения, за которым кто-то действительно следит, не является соответствием.
Это не то, что специалист по комплаенсу может исправить обновлением политики. Нужен рабочий процесс управления изменениями, инструмент мониторинга и доказательство того, что оповещение сработало хотя бы раз во время тестирования. Подробнее — в статье «Профессия: Специалист по кибербезопасности — полный путь в информационную безопасность, где он ломается и как избежать ошибок».
Шаг 4: Наладьте доказательную базу до прихода аудитора
Оценка — это не разговор о намерениях. Это проверка артефактов: скриншоты конфигурации с датами, тикеты на изменения, квартальные отчёты сканирования ASV с успешными результатами, отчёты о тестировании на проникновение с доказательствами устранения уязвимостей.
Одно только сканирование ASV сбивает с толку многие команды. Одобренный поставщик сканирования должен ежеквартально выдавать успешный скан внешних IP-адресов, а устранение неудач должно быть задокументировано — повторное сканирование и успех, а не «мы исправили это внутри». Если IP-адрес не прошёл проверку в квартале перед оценкой, ожидайте вопросов о пробеле.
Для крупных торговцев и поставщиков услуг именно в Отчёте о соответствии (RoC) становится интересен кастомизированный подход. Вместо того чтобы выполнять требование точно так, как написано, вы можете предложить альтернативный контроль и доказать, что он достигает заявленной цели. Это больше работы на начальном этапе — вы должны задокументировать цель, контроль и доказательства, — но это может спасти устаревшую систему, которую невозможно перестроить в точном соответствии с определённым подходом. Подробнее — в статье «Соответствие HIPAA: конфиденциальность и безопасность в здравоохранении США — как на самом деле работают Правило конфиденциальности, Правило безопасности и Уведомление об утечках (и где новички спотыкаются)».
Где самообучение упирается в стену
Читать стандарт бесплатно. Применять его — вот где люди застревают, и точки застоя предсказуемы: выбор между определённым и кастомизированным подходами без знания доказательной нагрузки каждого, решение о том, достаточно ли тестирование сегментации, или оценка того, действительно ли компенсирующий контроль соответствует сути требования.
В самообучении нет обратной связи. Вы принимаете решение об области действия и узнаёте, было ли оно правильным, месяцы спустя, во время оценки, когда менять его дорого. Это честный компромисс: самообучение ничего не стоит, но несёт стоимость неправильного решения, в то время как структурированный курс стоит времени и даёт место, где можно сверить свои рассуждения с разобранными примерами. Для специалистов, готовящихся к работе QSA или ISA, или для специалистов по комплаенсу, отвечающих за программу, такая проверка обычно является разницей между чистой оценкой и циклом исправлений.
Что делать дальше
Порядок важнее усилий: составьте карту потоков данных, очертите и протестируйте границу, выберите SAQ, соответствующий тому, что вы можете доказать, затем внедряйте контроли со встроенными доказательствами с первого дня. Команды, которые переходят сразу к контрольному списку, тратят больше всего времени и всё равно терпят неудачу.
Курс шаг за шагом разбирает именно эти решения — определение области действия, сегментацию, двенадцать требований с практикой внедрения, а также пути SAQ и RoC — с разобранными примерами, с которыми вы можете сравнить свою архитектуру..