Wir verarbeiten derzeit Kreditkartendaten, speichern sie jedoch nicht. Wir autorisieren die Karten über eine selbst entwickelte Anwendung mit der authorize.net API.
Nach Möglichkeit möchten wir alle PCI-Anforderungen einschränken, die sich auf unsere Server auswirken (z. B. die Installation von Anti-Virus), auf eine isolierte separate Umgebung beschränken. Ist das möglich, während die Einhaltung weiterhin gewährleistet ist?
Wenn ja, was wäre eine ausreichende Isolierung? Wenn nicht, gibt es irgendwo, wo dieser Geltungsbereich klar definiert ist?
Antworten:
Als ich das letzte Mal die PCI-Standards gelesen habe, waren die Isolationsanforderungen ziemlich genau angegeben (der Fachbegriff in PCI-Sprache ist, um den Umfang zu reduzieren) der PCI-kompatiblen Umgebung ). Solange diese offensichtlich nicht konformen Server keinen Zugriff auf die konforme Zone haben, sollte sie fliegen. Das wäre ein Netzwerksegment, das vollständig von Ihrem normalen Netzwerk geschützt ist, und die Regeln für diese Firewall sind selbst PCI-kompatibel.
Wir haben in meinem alten Job so ziemlich dasselbe gemacht.
Das Wichtigste ist, dass aus Sicht der PCI-konformen Zone alles , was sich nicht in der Zone befindet, wie das öffentliche Internet behandelt wird, egal ob es sich auch um dasselbe Netzwerk handelt, das auch Ihre Unternehmens-IP-Adresse speichert. Solange du das tust, solltest du gut sein.
quelle
Das ist eigentlich ganz normal. Wir bezeichnen Computer routinemäßig als "in-scope for PCI".
Außerdem ist "deutlich" manchmal nicht Teil des PCI-Lexikons. Die Sprache kann vage sein. Wir haben festgestellt, dass es manchmal am einfachsten ist, den Prüfer zu fragen, ob eine vorgeschlagene Lösung funktionieren würde. Beachten Sie beim PCI-DSS V2 Folgendes:
"Ohne angemessene Netzwerksegmentierung (manchmal als" flaches Netzwerk "bezeichnet) fällt das gesamte Netzwerk in den Geltungsbereich der PCI-DSS-Bewertung. Die Netzwerksegmentierung kann durch eine Reihe von physischen oder logischen Mitteln erfolgen, z. B. durch ordnungsgemäß konfigurierte interne Netzwerkfirewalls und Router mit starke Zugriffskontrolllisten oder andere Technologien, die den Zugriff auf ein bestimmtes Segment eines Netzwerks beschränken. "
Bedeutet das, dass ein normaler Netzwerk-Switch die Anforderungen erfüllt? Es wäre leicht für sie, das zu sagen, aber los geht's. Es sind "andere Technologien, die den Zugriff auf ein bestimmtes Segment eines Netzwerks einschränken". Ein weiterer meiner Favoriten zum Thema Scope:
"... Anwendungen umfassen alle gekauften und benutzerdefinierten Anwendungen, einschließlich interner und externer (z. B. Internet-) Anwendungen."
Ich bin mir über den AD-Teil nicht sicher, aber wir haben HIDS und Antivirus auf all unseren DCs, also vermute ich, dass dies der Fall sein könnte.
quelle