Hyökkäyspinnan pienentäminen PCI DSS -yhteensopivuudella

Vaikka PCI-vaatimustenmukaisuus asettaa alan vertailukohdan rahoitusalan kyberturvallisuudelle, organisaatioiden ei pitäisi luottaa siihen suojautuakseen tietomurroilta.

Karu totuus on, että kyberrikolliset käyttävät hyväkseen organisaation IT-infrastruktuurin heikkouksia saadakseen luvattoman pääsyn arkaluonteisiin tietoihin, ei vain niihin, jotka kuuluvat PCI DSS -vaatimustenmukaisuusvaatimusten piiriin. Sen sijaan, että organisaatiot näkisivät PCI DSS:n tarkistuslistana asiakastietojen suojaamiseksi, niiden tulisi omaksua kokonaisvaltaisempi lähestymistapa vaatimustenmukaisuuteen.

Näkyvyyden saaminen koko hyökkäyspinnalle on ratkaisevan tärkeää, jotta voidaan varmistaa täydellinen verkko- ja tietoturva kyberhyökkäyksiä vastaan. Organisaatioiden tulisi kohdistaa PCI-yhteensopivuutensa hyökkäyspinnan hallintastrategioihin vahvistaakseen suojausasentojaan ja tarjotakseen parhaan suojan tietomurtoja vastaan. Lue lisää saadaksesi lisätietoja.

Mikä on PCI DSS?

Maksukorttialan tietoturvastandardit (PCI DSS) on suunniteltu estämään luottokorttipetoksia ja suojaamaan luottokorttien haltijoita henkilötietojen varkauksilta. PCI DSS -ohjaimet kattavat luottokorttitietojen käsittelyn, tallennuksen ja siirron.

PCI DSS perustuu monien kansainvälisten kyberturvallisuuselinten, kuten Center for Internet Securityn (CIS), Cloud Security Alliancen (CSA) ja Open Web Application Security Projectin (OWASP) ohjeisiin.

Kenen on noudatettava PCI DSS:ää?

Kaikkien asiakkaiden luottokorttitietoja käsittelevien tahojen, mukaan lukien kauppiaiden ja maksuratkaisujen tarjoajien, on noudatettava PCI DSS:ää.

Tämä tarkistuslista auttaa sinua seuraamaan PCI DSS -vaatimustenmukaisuuttasi. Voit arvioida kunkin toimittajan vaatimustenmukaisuutta käyttämällä tätä maksutonta mallia.

Opi noudattamaan PCI DSS 4.0 >

Miksi PCI DSS -yhteensopivuus on tärkeää?

Rahoitusala käsittelee suuria määriä asiakkaiden henkilökohtaisia tunnistetietoja (PII). Kyberrikolliset ovat tietoisia näiden arkaluonteisten tietojen suuresta arvosta pimeässä verkossa, jossa niitä voidaan myydä keinona tehdä identiteettivarkauksia, vakuutuspetoksia ja muita tuottoisia rikoksia.

Lue lisää rahoitusalan suurimmista tietomurroista >

Nykypäivän uhkaympäristössä hakkerit kohdistavat rahoituslaitosten huonoihin tietoturvatoimiin päästäkseen käsiksi näihin arvokkaisiin tietoihin. Hallitukset ja sääntelyelimet ovat vastanneet ottamalla käyttöön tiukempia vaatimuksia ja määräämällä kovia taloudellisia seuraamuksia organisaatioille, jotka eivät noudata sääntöjä. Rahoitusorganisaatiot, jotka eivät noudata PCI DSS:ää, saavat 5 000-100 000 dollarin sakot jokaisesta noudattamatta jättämiskuukaudesta ja muista mahdollisista oikeudellisista seurauksista.

Tietomurrot aiheuttavat myös mainekustannuksia organisaatioille, ja viime kädessä asiakkaiden luottamus ja uskollisuus menevät, jos heidän henkilötietojaan ei suojata.

Opi valitsemaan PCI DSS 4.0 -yhteensopiva tuote >

PCI DSS -yhteensopivuuden tukeminen hyökkäyspinnan hallinnan avulla

Alla on 12 PCI DSS -vaatimusta yhdistettynä niiden määrättyihin tietoturvan parhaisiin käytäntöihin ja hyökkäyspinnan hallintastrategioihin.

Vaatimus 1: Asenna ja ylläpidä verkon suojaustoimintoja (NSC)

PCI DSS Council määrittelee verkkoturvakontrollit (NSC) "palomuureiksi ja muiksi verkon tietoturvatekniikoiksi yksikön omissa verkoissa... [jotka] suojaavat entiteetin resursseja altistumiselta epäluotettaville verkoille. "Epäluotettavat verkot aiheuttavat turvallisuusriskin kortinhaltijan tietoympäristölle (CDE), koska ne voivat altistaa arkaluonteiset järjestelmät suojaamattomille poluille, mikä johtaa luvattomaan käyttöön. Entiteettien tulisi myös ottaa käyttöön verkon segmentointi suojatakseen CDE:tä saapuvilta uhilta.

Neuvosto luettelee seuraavat yleiset esimerkit epäluotettavista verkoista:

  • Internet;
  • B2B-viestintäkanavat;
  • Langattomat verkot;
  • Operaattoriverkot, kuten matkapuhelin;
  • Kolmannen osapuolen palveluntarjoajien verkot;
  • Mikä tahansa muu lähde, joka ei ole yhteisön hallinnassa, mukaan lukien yritysverkot, jotka eivät kuulu PCI DSS:n piiriin.

Vaikka NSC:t, kuten verkkosovellusten palomuurit (WAF) ja virtuaaliset yksityisverkot (VPN), tarjoavat ensimmäisen puolustuslinjan kyberhyökkäyksiä vastaan, turvattomien palvelujen, protokollien ja porttien tunnistamiseksi on oltava käytössä lieventäviä valvontatoimia.

Tutustu avoimien porttien vaaroihin >

UpGuardin avulla organisaatiot voivat varmistaa, että niiden NSC:iden määritysasetukset sallivat vain hyväksytyt palvelut, protokollat ja portit. Kortinhaltijan tietoympäristön lisäksi UpGuard suorittaa avoimen portin skannauksen koko hyökkäyspinnalla, mukaan lukien kolmansien osapuolten hyökkäyspinnalla.

Vaatimus 2: Rakenna ja ylläpidä suojattua verkkoa ja järjestelmiä

Oletussalasanat ja toimittaja-asetukset ovat helposti saatavilla avoimen lähdekoodin tiedustelumenetelmillä. Uhkatoimijat käyttävät usein hyväkseen näitä julkisia tietoja saadakseen luvattoman pääsyn sisäisiin järjestelmiin.

Yhteistä etua koskevan aloitteen neuvoston määräämiä toimintakohtia ovat muun muassa seuraavat:

  • Oletussalasanojen vaihtaminen
  • Tarpeettomien ohjelmistojen, toimintojen ja tilien poistaminen
  • Tarpeettomien palveluiden poistaminen käytöstä tai poistaminen käytöstä

Organisaatioiden on käytettävä suojattuja määrityksiä näiden hyökkäysvektorien poistamiseksi. Tarpeettomien ohjelmistojen ja palveluiden käytön estäminen tai rajoittaminen pienentää organisaation koko hyökkäyspinta-alaa.

Miten UpGuard auttaa

UpGuard voi havaita kaikki Internetiin kohdistuvat resurssit, mukaan lukien luvattomat tai käyttämättömät SaaS-sovellukset, mukaan lukien varjo-IT. UpGuardin tietovuotojen havaitsemismoottori skannaa kaikki verkon kerrokset tunnistaakseen vuotaneet tunnistetiedot ja väärin määritetyt pilviasetukset reaaliajassa, jolloin organisaatiot voivat suojata kaikki paljastetut tiedot välittömästi.

Vaatimus 3: Suojaa tallennetut tilitiedot

Organisaatioiden on otettava käyttöön vahvat salaus-, katkaisu-, peittämis- ja hajautusominaisuudet kortinhaltijoiden tietojen suojaamiseksi tehokkaasti. Nämä toimenpiteet lisäävät uuden suojauskerroksen tekemällä tiedoista tulkitsemattomia, jos niitä käytetään luvattomalta. Samanlaisten tietoturvastandardien soveltaminen kaikkiin arkaluonteisiin tietoihin varmistaa täydellisen hyökkäyspinnan suojauksen.

Lue lisää salauksesta >

Vaatimus 4: Suojaa kortinhaltijan tiedot vahvalla salauksella siirron aikana avoimien, julkisten verkkojen kautta

Huonosti suojatut langattomat verkot ja riittämättömät salaus- ja todennusprotokollat ovat yleisesti kohdennettuja haavoittuvuuksia. Neuvosto toteaa, että yhteisöjen on salattava ensisijaiset tilinumerot (PAN) epäluotettavissa ja julkisissa verkoissa käyttämällä kryptografiaa tietojen säilymisen, eheyden ja kiistämättömyyden varmistamiseksi. Organisaatioiden tulisi laajentaa tätä vaatimusta salaamalla kaikki epäluotettavien verkkojen ja julkisten verkkojen kautta lähetetyt tiedot tietomurtojen estämisominaisuuksien vahvistamiseksi.

  • Lue lisää kryptografiasta
  • Lue lisää kiistämättömyydestä
Miten UpGuard auttaa

UpGuard voi välittömästi havaita suojaamattomat verkot ja vanhojen protokollien aiheuttamat haavoittuvuudet koko hyökkäyspinnalla.

Vaatimus 5: Suojaa kaikki järjestelmät ja verkot haittaohjelmilta

>

Haittaohjelmat tai haittaohjelmat ovat mitä tahansa ohjelmia tai tiedostoja, jotka asennetaan tietokoneeseen tai järjestelmään haitallisiin tarkoituksiin. Yleisiä esimerkkejä haittaohjelmista ovat:

  • Tietokonevirukset
  • Tietokonemadot
  • Kiristysohjelmat
  • Troijalaiset
  • Vakoiluohjelma
  • Mainosohjelmat
  • Rootkitit

Lue, miten voit havaita 22 erilaista haittaohjelmaa >

Kyberrikolliset ruiskuttavat haittaohjelmia hyökkäysvektorien kautta, kuten:

  • Tietojenkalasteluviestit
  • Sähköpostin huijaus
  • Kirjoitusvirheet
  • Näppäinten kirjaaminen
  • Verkon haavoittuvuuksien hyödyntäminen

Kun haittaohjelma on lisätty, se voi levitä nopeasti koko verkkoon. Vaikka haittaohjelmien tunkeutuminen ei aluksi vaikuttaisi kortinhaltijan tietoympäristöön (CDE), on vain ajan kysymys, milloin se vaarantuu. Organisaatioiden on otettava käyttöön virustorjuntaohjelmistoratkaisu, jotta päätepisteet voidaan suojata haittaohjelmia vastaan. Täydellistä hyökkäyspinnan puolustusta varten heidän on tunnistettava hyökkäysvektorit, joiden kautta haittaohjelmat leviävät.

Miten UpGuard auttaa

UpGuard havaitsee välittömästi haavoittuvuudet, jotka voivat helpottaa haittaohjelmien tunkeutumista. UpGuard-alusta voi myös tunnistaa sähköpostin tietoturvaongelmat, tietojenkalastelun ja haittaohjelmat sekä kirjoitusvirheet reaaliajassa.

Vaatimus 6: Kehitä ja ylläpidä turvallisia järjestelmiä ja ohjelmistoja.

Kolmannen osapuolen ohjelmistojen, mukaan lukien vanhentuneiden käyttöjärjestelmien, korjaamattomat haavoittuvuudet voivat johtaa vakaviin seurauksiin. Kyberrikolliset käyttävät nollapäivähaavoittuvuuksia hyväkseen tunkeutuakseen sisäisiin järjestelmiin. Turvalliset koodauskäytännöt ja ohjelmiston elinkaariprosessit (SLC) voivat auttaa välttämään nollapäiviä, mutta toimittajien on toimittava nopeasti näiden tietoturva-aukkojen korjaamiseksi tai laajamittaisten tietomurtojen riskeeraamiseksi.

Haavoittuvuuksien nopea havaitseminen ja turvalliset koodauskäytännöt nopeuttavat korjausprosessia paikantamalla virheen lähteen.

Lue lisää nollapäivähaavoittuvuuksista >

Miten UpGuard auttaa

UpGuard havaitsee välittömästi haavoittuvuudet sisäisellä ja kolmannen osapuolen hyökkäyspinnalla. UpGuard tarkistaa koodivarastot, mukaan lukien S3-säilöt, julkiset GitHub-säilöt ja suojaamattomat RSync- ja FTP-palvelimet, tietovuotoja aiheuttavien virheellisten määritysten varalta.

Vaatimus 7: Seuraa ja testaa verkkoja säännöllisesti

Liialliset käyttöoikeudet ovat pilvipalvelun virheellinen määritys, jossa luvattomille käyttäjille myönnetään heidän vaatimuksensa ylittävät käyttöoikeudet. Tämä yleinen virhe voi nopeasti helpottaa sisäpiirin uhkia ja kolmannen osapuolen tietovuotoja, jotka voivat lopulta johtaa tietomurtoihin.

Organisaatioiden on otettava käyttöön pienimpien oikeuksien periaate rajoittaakseen käyttöoikeudet vähimmäisvaatimuksiin. PCI-neuvosto ulottaa nämä vaatimukset koskemaan kaikkia kolmansia osapuolia.

  • Lue, miten voit korjata yleisiä pilvipalvelujen virheellisiä määrityksiä
  • Opi toteuttamaan pienimmän käyttöoikeuden periaate
Miten UpGuard auttaa

UpGuard valvoo jatkuvasti koko hyökkäyspintaa tunnistaakseen pilvipalvelujen virheelliset määritykset ennen kuin ne aiheuttavat tietomurtoja.

Vaatimus: 8: Tunnista käyttäjät ja todenna pääsy järjestelmän osiin

Tunkeilijat voivat hiipiä etuoikeutettuihin järjestelmiin ja suodattaa arkaluonteisia tietoja, jos käytössä ei ole vahvoja kulunvalvontamekanismeja. Organisaatioiden tulisi ottaa käyttöön tehokkaat todennustyökalut, kuten 2FA tai MFA, osana laajempaa identiteetin käyttöoikeuksien hallintajärjestelmää (IAM), joka kattaa koko hyökkäyspalustan.

Lue lisää 2FA- ja MFA->

Vaatimus 9: Rajoita fyysistä pääsyä kortinhaltijan tietoihin

PCI-neuvosto toteaa, että fyysistä pääsyä järjestelmiin, jotka tallentavat, käsittelevät tai lähettävät kortinhaltijoiden tietoja, tulisi "rajoittaa asianmukaisesti". " Tämä vaatimus on tehokas vain, jos kaikki arkaluonteisia tietoja tallentavat järjestelmät on suojattu samalla tavalla, mukaan lukien toimittajien järjestelmät.

Organisaatioiden tulisi ottaa käyttöön Clean Desk -käytäntö (CDP) varmistaakseen, että luottamuksellisia tietoja sisältävät paperikopiot tallennetaan turvallisesti ja tuhotaan, kun niitä ei enää tarvita. Heidän on myös varmistettava, että heidän myyjänsä tekevät samoin.

Vaatimus 10: Kirjaa ja valvo kaikkia pääsyjä järjestelmän komponentteihin ja kortinhaltijan tietoihin

Kirjausmekanismien avulla organisaatiot voivat estää, havaita tai minimoida tietoturvaloukkausten vaikutukset, jotka johtavat tietojen vaarantumiseen. PCI-neuvosto valtuuttaa "lokien läsnäolon kaikissa järjestelmän komponenteissa ja kortinhaltijan tietoympäristössä (CDE), jotta voidaan seurata perusteellisesti, hälyttää ja analysoida, kun jokin menee pieleen. "Tämä vaatimus ulottuu kolmansiin osapuoliin.

Organisaatioiden tulee varmistaa, että kaikissa järjestelmissä, myös toimittajien järjestelmissä, on käytössä kirjausmekanismit, jotta järjestelmän toimintalokit saadaan tietoturvaloukkauksen sattuessa. Yksityiskohtaisen kirjaamisen avulla tietoturvatiimit voivat suorittaa perimmäisen syyn analyysin, jonka avulla tietoturvatiimit voivat kehittää ennaltaehkäiseviä toimenpiteitä vastaavia tapahtumia vastaan tulevaisuudessa.

Vaatimus 11: Testaa järjestelmien ja verkkojen turvallisuus säännöllisesti

Uusia haavoittuvuuksia ilmaantuu päivittäin, ja kyberrikolliset löytävät ne nopeasti. PCI-neuvosto edellyttää, että tahojen on testattava usein seuraavia turvatoimintoja riittävän haavoittuvuuksien hallinnan saavuttamiseksi:

  • Järjestelmän komponentit
  • Järjestelmän prosessit
  • Räätälöity ohjelmisto
  • Mukautettu ohjelmisto

Organisaatioiden tulee suorittaa säännöllisiä tunkeutumistestejä järjestelmän ja verkon haavoittuvuuksien tunnistamiseksi ja ottaa käyttöön tunkeutumisen havaitsemis- ja estojärjestelmä (IDS) epäilyttävän verkkoliikenteen tunnistamiseksi ja sieppaamiseksi. Koko hyökkäyspinnan jatkuva valvonta antaa organisaatioille mahdollisuuden havaita ja korjata haavoittuvuudet välittömästi.

  • Lue lisää tunkeutumistestauksesta
  • Lue lisää jatkuvan tietoturvavalvonnan tärkeydestä

UpGuardin jatkuvat hyökkäyspinnan valvontaominaisuudet havaitsevat aktiiviset yleiset haavoittuvuudet ja altistumiset (CVE), jotka vaikuttavat sinuun ja toimittajiisi, mikä mahdollistaa nopeamman korjauksen.

Vaatimus 12: Tue tietoturvaa organisaation käytännöillä ja ohjelmalla

Tietoturvakäytäntö (ISP) määrittelee säännöt, käytännöt ja menettelyt, jotka varmistavat, että kaikki organisaation loppukäyttäjät ja verkot täyttävät tietoturvan ja tietosuojan vähimmäisvaatimukset. PCI-neuvosto toteaa, että koko henkilöstöllä on turvallisuustietoisuus kortinhaltijan tietojen arkaluonteisuudesta ja velvollisuuksistaan niiden suojaamiseksi.

Tehokkaan Internet-palveluntarjoajan tulisi käsitellä kaikkia organisaation tietoja, ohjelmia, järjestelmiä, tiloja, infrastruktuuria, valtuutettuja käyttäjiä, kolmansia osapuolia ja neljättä osapuolta, mukaan lukien häiriötilanteiden käsittelysuunnitelma, jotta hyökkäyspinnan voidaan hallita tehokkaasti.

Opi luomaan tehokas Internet-palveluntarjoajan >

Katso tämä alta saadaksesi lisätietoja joistakin UpGuardin vaatimustenmukaisuuden raportointiominaisuuksista.