Che cos'è la conformità PCI?
La conformità agli standard di sicurezza dei dati del settore delle carte di pagamento (PCI DSS), originariamente nota come conformità agli standard di sicurezza dei dati del settore delle carte di pagamento, è un codice di condotta autoregolamentato del settore amministrato dal Consiglio per gli standard di sicurezza del settore delle carte di pagamento.
La conformità PCI impone alle organizzazioni che gestiscono carte di credito con marchio sotto i principali schemi di carte (Visa, Mastercard, American Express, ecc.) di accettare, memorizzare, elaborare e trasmettere in modo sicuro i dati dei titolari di carta.
Le aziende devono scoprire i dati sensibili memorizzati, trasmessi o elaborati nel loro sistema e proteggerli dall'accesso non autorizzato per conformarsi al PCI. Il software di scoperta dei dati sensibili facilita l'individuazione di questi dati sensibili e aiuta le aziende a stabilire misure adeguate per impedire agli hacker di accedervi.
Le organizzazioni hanno bisogno dei seguenti elementi per diventare conformi al PCI:
- 12 requisiti generali di conformità PCI
- 78 requisiti di base in base alla tua attività
- Quattrocento procedure di test per garantire che la tua organizzazione sia conforme ai requisiti PCI (a seconda della tua attività)
Le normative sulla conformità PCI garantiscono che sia i clienti che le aziende siano protetti dalle violazioni dei dati. Si applica a tutte le imprese che gestiscono informazioni sulle carte di credito ed è un pilastro fondamentale del protocollo di sicurezza di ogni organizzazione.
Gli standard PCI hanno ampliato le loro linee guida per includere le transazioni internet crittografate e hanno aggiunto nuove regole e regolamenti per adattarsi ai recenti progressi nella tecnologia dei pagamenti e nel commercio.
Livelli di conformità PCI
Quattro livelli di conformità PCI determinano il numero di transazioni che un commerciante gestisce ogni anno.
- Livello 1: Commercianti che elaborano oltre 6 milioni di transazioni con carta all'anno.
- Livello 2: Commercianti che elaborano da 1 a 6 milioni di transazioni con carta all'anno.
- Livello 3: Commercianti che elaborano da 20.000 a 1 milione di transazioni con carta all'anno.
- Livello 4: Commercianti che elaborano meno di 20.000 transazioni con carta all'anno.
Per le organizzazioni al livello 1 di conformità PCI, raggiungere la conformità PCI include l'esecuzione di audit esterni da parte di un valutatore di sicurezza qualificato (QSA) o di un valutatore di sicurezza interno (ISA). QSA o ISA conducono una valutazione in loco per:
- Convalidare l'ambito della valutazione
- Rivedere le informazioni tecniche e la documentazione,
- Determinare se i requisiti PCI sono soddisfatti
- Offrire guida e supporto durante il processo di conformità
- Valutare i controlli compensativi
Dopo una valutazione positiva, il valutatore di sicurezza qualificato presenta un Rapporto di Conformità (RoC) alle banche operative dell'organizzazione per dimostrare la conformità.
Le organizzazioni di livello 2 di conformità PCI dovrebbero anche completare un RoC.
Le organizzazioni di livello da 2 a 4 possono completare un questionario di autovalutazione invece di audit esterni per determinare la conformità.
Vantaggi della conformità PCI DSS
La conformità PCI DSS fornisce un insieme di regolamenti e requisiti per garantire la massima riservatezza e sicurezza dei dati.
Alcuni dei vantaggi di essere conformi al PCI DSS sono:
- La conformità PCI DSS garantisce che i beni aziendali abbiano più livelli di sicurezza.
- Elenca le minacce e i vettori di attacco in evoluzione, rendendo l'ambiente dei dati più sicuro.
- Il PCI DSS prevede l'installazione di firewall, sistemi SIEM e altre infrastrutture di sicurezza per raccogliere informazioni sulle minacce in caso di anomalie.
- La conformità PCI enfatizza la crittografia dei dati dei titolari di carta, rendendo un'azienda conforme al PCI DSS un obiettivo meno prezioso per i criminali informatici.
- I principi di conformità PCI pongono un forte accento sulla protezione dei dati dei titolari di carta mentre sono memorizzati o trasmessi. Sottolinea l'applicazione dei principi PCI con un'infrastruttura di sicurezza adeguata per aiutare le organizzazioni a prevenire le violazioni dei dati.
- La conformità PCI DSS costruisce e mantiene la fiducia dei clienti e rende la sicurezza dei dati senza problemi.
- La conformità PCI aiuta ad allineare le aziende con gli standard accettati dal settore nella memorizzazione, elaborazione e trasmissione delle informazioni dei titolari di carta.
- La conformità PCI DSS aiuta le organizzazioni a conformarsi agli standard di sicurezza dei dati riconosciuti dal settore.
Requisiti di conformità PCI
I requisiti di conformità PCI DSS si concentrano sul raggiungimento della conformità PCI e sulla protezione dei dati dei titolari di carta dall'accesso non autorizzato.
1. Proteggi la rete aziendale con firewall
Passi che puoi intraprendere per proteggere la tua rete:
- Configura i firewall per proteggere la rete aziendale e regolare il traffico in entrata e in uscita in base ai criteri organizzativi.
- Utilizza firewall hardware e software per proteggere la rete.
- Configura i firewall per il traffico in entrata e in uscita. Se un attaccante penetra nel sistema, sarà difficile per lui esportare le informazioni rubate a causa delle regole in uscita.
2. Evita di utilizzare password predefinite e configura le impostazioni
Per conformarsi al secondo requisito di conformità PCI:
- Cambia le password predefinite e implementa la gestione della configurazione e il rafforzamento del sistema.
- Affronta tutte le vulnerabilità nel sistema, correggile e segnalale, e assicurati che gli standard di rafforzamento del sistema siano allineati con le migliori pratiche del settore.
- Adotta software di gestione del sistema, che serve come pacchetto completo per monitorare, scansionare e configurare dispositivi e opzioni di rafforzamento del sistema.
- Verifica che lo standard di rafforzamento del sistema sia implementato in modo sicuro quando nuovi dispositivi e applicazioni vengono introdotti nell'ambiente di sistema.
3. Proteggi i dati dei titolari di carta memorizzati contro l'accesso non autorizzato
Adotta la seguente misura per proteggere i dati dei titolari di carta contro l'accesso non autorizzato:
- Crittografa i dati dei titolari di carta utilizzando standard di crittografia forti e accettati dal settore come AES-256.
- Assicurati che i sistemi memorizzino i dettagli riservati dei titolari di carta in un formato crittografato.
- Crea e documenta il diagramma del flusso dei dati dei titolari di carta (CHD). È una rappresentazione grafica del flusso dei dati all'interno di un'organizzazione.
- Utilizza uno strumento di scoperta dei dati sensibili per trovare informazioni sensibili come il numero di previdenza sociale nei sistemi aziendali per crittografarle o rimuoverle.
4. Crittografa la trasmissione dei dati dei titolari di carta attraverso reti aperte e pubbliche
Considera quanto segue per crittografare la trasmissione dei dati dei titolari di carta attraverso reti aperte o pubbliche:
- Identifica come e dove i dati vengono trasmessi. Tieni traccia di tutte le aree in cui vengono inviati dettagli simili.
- Passa dal secure sockets layer (SSL) e dalle prime versioni del transport layer security (TLS) a versioni più sicure di TLS.
- Controlla i gateway, i fornitori di terminali, i fornitori di servizi e le banche per vedere se utilizzano crittografia aggiornata per le applicazioni transazionali.
5. Utilizza una versione aggiornata del software antivirus
Adotta le seguenti misure per conformarti al quinto requisito PCI DSS.
- Utilizza software antivirus e previeni i sistemi da malware noti.
- Aggiorna regolarmente il software antivirus.
- Raccogli informazioni sui malware emergenti e sui diversi modi in cui possono penetrare nei sistemi aziendali.
- Configura i sistemi e progetta processi per essere avvisati quando si verifica un'attività dannosa nell'ambiente di sistema.
- Esegui scansioni periodiche del malware per assicurarti di avere un processo progettato per implementarlo.
6. Sviluppa e mantieni sistemi e applicazioni sicuri
Pratica i seguenti metodi per sviluppare e mantenere sistemi e applicazioni sicuri:
- Correggi le debolezze di sicurezza con le patch recenti rilasciate dal fornitore del software.
- Installa gli ultimi aggiornamenti di sicurezza e correggi le vulnerabilità nelle applicazioni e nei sistemi che sono cruciali per il flusso dei dati delle carte.
- Installa patch critiche entro un mese dal loro rilascio per garantire la conformità
- Sii proattivo nella gestione delle patch e nell'implementazione non appena la patch viene rilasciata.
7. Limita l'accesso ai dati dei titolari di carta in base alla necessità aziendale di sapere
Considera quanto segue per limitare l'accesso ai dati dei titolari di carta:
- Assicurati di avere controlli di accesso rigorosi ai dati dei titolari di carta implementando sistemi di controllo degli accessi basato sui ruoli (RBAC) che concedono l'accesso ai dettagli dei titolari di carta su base di necessità di sapere.
- Evita di creare utenti di gruppo o di condividere un account utente comune con altri utenti. Sarà difficile tracciare le violazioni dei dati.
8. Assegna un ID univoco a ciascuna persona con accesso al computer
Prendi i seguenti passi per conformarti all'ottavo requisito del PCI DSS:
- Assegna un ID univoco a ciascun utente con accesso al computer e crea password forti per prevenire l'accesso non autorizzato.
- Crea più livelli di sicurezza quando proteggi gli account utente.
- Utilizza soluzioni di autenticazione a più fattori per fornire ulteriori livelli di difesa e proteggere i tuoi sistemi dagli attaccanti.
9. Limita l'accesso fisico al luogo di lavoro e ai dati dei titolari di carta
Cose importanti da considerare per conformarsi al nono requisito del PCI DSS:
- Limita l'accesso dei dipendenti alle aree con dati dei titolari di carta memorizzati.
- Documenta i dipendenti con accesso ad ambienti sicuri e quelli che necessitano di privilegi di accesso. Elenca tutti gli utenti autorizzati dei dispositivi, le posizioni in cui il dispositivo non è consentito e dove si trova attualmente. Nota tutte le applicazioni che possono essere accessibili su un dispositivo. Registra cosa, dove, quando e perché i dispositivi vengono utilizzati.
- Distingui tra dipendenti e visitatori nell'organizzazione e utilizza metodi per monitorare le persone con accesso ad ambienti sicuri.
- Assicurati che i privilegi di accesso dell'utente siano rimossi e che i meccanismi di accesso fisico come chiavi e carte di accesso siano disabilitati o restituiti quando si dismettono i dipendenti.
10. Traccia e monitora l'accesso alle risorse di rete e ai dati dei titolari di carta
Punti cruciali da considerare mentre si traccia e si monitora l'accesso alle risorse di rete e ai dati dei titolari di carta:
- Implementa e mantieni un sistema di registrazione per visualizzare tutti i log e ricevere avvisi in caso di anomalie.
- Controlla i log degli eventi di sistema almeno una volta al giorno per identificare modelli, raccogliere informazioni sulle minacce e rilevare comportamenti che contraddicono le tendenze attese.
- Utilizza soluzioni di gestione delle informazioni e degli eventi di sicurezza (SIEM) per costruire e gestire un sistema centralizzato di raccolta log, monitoraggio e ispezione.
11. Testa regolarmente i sistemi di sicurezza e i processi
Segui le pratiche menzionate di seguito per conformarti all'undicesimo requisito del PCI DSS.
- Conduci frequenti scansioni delle vulnerabilità per identificare se le debolezze di sicurezza sono state corrette con successo.
- Esegui scansioni delle vulnerabilità trimestrali per tutti gli IP esterni e i domini esposti nell'ambiente dei dati dei titolari di carta utilizzando un fornitore di scansione approvato dal PCI (ASV).
- Conduci test di penetrazione regolari per identificare i diversi modi in cui gli hacker possono sfruttare le vulnerabilità per configurare in modo sicuro i tuoi sistemi di sicurezza e proteggere i dati contro tattiche dannose simili. (La frequenza dei test di penetrazione dipende dal tuo questionario di autovalutazione (SAQ), ambiente, dimensioni, procedure e altri fattori).
12. Valutazione del rischio e documentazione
Adotta le seguenti pratiche per conformarti all'ultimo requisito della conformità PCI DSS:
- Documenta tutte le politiche, le procedure e le prove associate alle pratiche di sicurezza delle informazioni dell'organizzazione.
- Valuta i rischi formali e annuali per determinare minacce critiche, vulnerabilità e rischi associati.
Sagar Joshi
Sagar Joshi is a former content marketing specialist at G2 in India. He is an engineer with a keen interest in data analytics and cybersecurity. He writes about topics related to them. You can find him reading books, learning a new language, or playing pool in his free time.
