Sådan reducerer du din angrebsflade med PCI DSS-overholdelse

Mens PCI-overholdelse sætter et branchebenchmark omkring cybersikkerhed for den finansielle sektor, bør organisationer ikke stole på det for at beskytte sig mod databrud.

Den barske sandhed er, at cyberkriminelle vil udnytte enhver svaghed i en organisations it-infrastruktur til at få uautoriseret adgang til følsomme data, ikke kun dem, der er omfattet af PCI DSS-overholdelseskrav. I stedet for at se PCI DSS som en tjekliste til sikring af kundedata, bør organisationer tage en mere holistisk tilgang til overholdelse.

At få synlighed på tværs af hele angrebsfladen er afgørende for at sikre fuldstændig netværks- og datasikkerhed mod cyberangreb. Organisationer bør tilpasse deres PCI-overholdelse til strategier til styring af angrebsoverflader for at styrke deres sikkerhedsstillinger og give det bedste forsvar mod databrud. Læs videre for at lære hvordan.

Hvad er PCI DSS?

Payment Card Industry Data Security Standards (PCI DSS) er designet til at forhindre kreditkortsvindel og beskytte kreditkortindehavere mod tyveri af personlige data. PCI DSS-kontrollerne dækker behandling, opbevaring og overførsel af kreditkortdata.

PCI DSS trækker på vejledning fra mange internationale cybersikkerhedsorganer, såsom Center for Internet Security (CIS), Cloud Security Alliance (CSA) og Open Web Application Security Project (OWASP).

Hvem skal overholde PCI DSS?

Enhver enhed, der behandler kunders kreditkortoplysninger, skal overholde PCI DSS, herunder forhandlere og udbydere af betalingsløsninger.

Denne tjekliste hjælper dig med at spore din PCI DSS-overholdelsesindsats. Brug denne gratis skabelon til at vurdere overholdelse af hver af dine leverandører.

Få mere at vide om, hvordan du overholder PCI DSS 4.0->

Hvorfor er PCI DSS-overholdelse vigtig?

Den finansielle sektor beskæftiger sig med store mængder af kunders personhenførbare oplysninger (PII). Cyberkriminelle er opmærksomme på den høje værdi, som disse følsomme data har på det mørke web, hvor de kan sælges som et middel til at begå identitetstyveri, forsikringssvindel og andre lukrative forbrydelser.

Få mere at vide om de største databrud i den finansielle sektor >

I nutidens trusselslandskab går hackere efter finansielle institutioners dårlige datasikkerhedsforanstaltninger for at få adgang til disse værdifulde oplysninger. Regeringer og tilsynsmyndigheder har reageret ved at implementere strengere krav og uddele store økonomiske sanktioner til organisationer, der ikke overholder reglerne. Finansielle organisationer, der ikke overholder PCI DSS, står over for bøder på mellem $5.000 og $100.000 for hver måned med manglende overholdelse og andre potentielle juridiske konsekvenser.

Databrud udgør også en omdømmemæssig omkostning for organisationer, der i sidste ende mister kundernes tillid og loyalitet, hvis deres personlige oplysninger ikke er beskyttet.

Få mere at vide om, hvordan du vælger et PCI DSS 4.0-overholdelsesprodukt >

Sådan understøttes PCI DSS-overholdelse med administration af angrebsoverflader

Nedenfor er de 12 PCI DSS-krav parret med deres foreskrevne bedste praksis for sikkerhed og strategier til styring af angrebsflader.

Krav 1: Installer og vedligehold netværkssikkerhedskontroller (NSC'er)

PCI DSS Council definerer Network Security Controls (NSC'er) som "firewalls og andre netværkssikkerhedsteknologier inden for en enheds egne netværk ... [der] beskytter enhedens ressourcer mod eksponering for netværk, der ikke er tillid til. " Ikke-pålidelige netværk udgør en sikkerhedsrisiko for Cardholder Data Environment (CDE), fordi de kan udsætte følsomme systemer for ubeskyttede veje, hvilket fører til uautoriseret adgang. Enheder bør også gennemføre netværkssegmentering for at beskytte CDE mod indkommende trusler.

Rådet nævner følgende som almindelige eksempler på ikke-pålidelige netværk:

Internettet;
B2B-kommunikationskanaler;
Trådløse netværk;
Operatørnetværk, såsom mobilnetværk;
Tredjeparts tjenesteudbydernetværk;
Enhver anden kilde uden for enhedens kontrol, herunder virksomhedsnetværk, der falder uden for PCI DSS.

Mens NSC'er, såsom webapplikationsfirewalls (WAF'er) og virtuelle private netværk (VPN'er), tilbyder den første forsvarslinje mod cyberangreb, skal afbødende kontroller være på plads for at identificere usikre tjenester, protokoller og porte.

Lær om farerne ved åbne havne >

UpGuard giver organisationer mulighed for at verificere, at deres NSC'ers konfigurationsindstillinger kun tillader godkendte tjenester, protokoller og porte. Ud over kortholderdatamiljøet udfører UpGuard scanning med åben port på tværs af hele angrebsfladen, herunder tredjeparters.

Krav 2: Byg og vedligehold et sikkert netværk og systemer

Standardadgangskoder og leverandørindstillinger er nemme at få fat i gennem open source intelligence-metoder. Trusselsaktører udnytter ofte disse offentlige oplysninger til at få uautoriseret adgang til interne systemer.

Indsatsområder, der er foreskrevet af PCI-rådet, omfatter:

Ændring af standardadgangskoder

Fjernelse af unødvendig software, funktioner og konti

Deaktivering eller fjernelse af unødvendige tjenester

Organisationer skal anvende sikre konfigurationer for at eliminere disse angrebsvektorer. Forebyggelse eller begrænsning af brugen af unødvendig software og tjenester reducerer hele en organisations angrebsflade.

Sådan hjælper UpGuard UpGuard med

at registrere alle internetvendte aktiver, herunder uautoriserede eller ubrugte SaaS-apps, herunder skygge-it. UpGuards datalækagedetektionsmotor scanner alle lag på internettet for at identificere lækkede legitimationsoplysninger og fejlkonfigurerede cloud-indstillinger i realtid, hvilket gør det muligt for organisationer at sikre alle eksponerede data med det samme.

Krav 3: Beskyt lagrede kontodata

Organisationer skal implementere stærke krypterings-, trunkerings-, maskerings- og hashing-funktioner for at beskytte kortholderdata effektivt. Disse foranstaltninger tilføjer endnu et lag af sikkerhed ved at gøre data uforståelige i tilfælde af uautoriseret adgang. Anvendelse af lignende datasikkerhedsstandarder på tværs af alle følsomme data sikrer komplet beskyttelse af angrebsoverfladen.

Få mere at vide om kryptering >

Krav 4: Beskyt kortholderdata med stærk kryptografi under transmission over åbne, offentlige netværk

Dårligt sikrede trådløse netværk og utilstrækkelige krypterings- og godkendelsesprotokoller er ofte målrettede sårbarheder. Rådet erklærer, at enheder skal kryptere primære kontonumre (PAN'er) over upålidelige og offentlige netværk ved hjælp af kryptografi for at sikre databevarelse, integritet og ikke-afvisning. Organisationer bør udvide dette krav ved at kryptere alle data, der overføres over upålidelige netværk og offentlige netværk for at styrke kapaciteten til forebyggelse af databrud.

Få mere at vide om kryptografi

Få mere at vide om ikke-afvisning

Sådan hjælper UpGuard med øjeblikkeligt

at opdage usikrede netværk og sårbarheder forårsaget af ældre protokoller på tværs af hele angrebsfladen.

Krav 5: Beskyt alle systemer og netværk mod skadelig software

Malware eller skadelig software er ethvert program eller fil, der er installeret på en computer eller et system til skadelige formål. Almindelige eksempler på malware omfatter:

Computervirus
Computerorme
Løsning
Trojanske heste
Spyware
Adware
Rootkits

Lær, hvordan du opdager 22 forskellige typer malware >

Cyberkriminelle injicerer malware gennem angrebsvektorer, såsom:

Phishing-e-mails
Spoofing af e-mails
Typosquatting
Tastelogning
Udnyttelse af netværkssårbarheder

Når den først er injiceret, kan malware spredes hurtigt gennem et helt netværk. Selvom Cardholder Data Environment (CDE) ikke i første omgang er påvirket af en malware-indtrængen, er det kun et spørgsmål om tid, før det bliver kompromitteret. Organisationer skal implementere en antivirussoftwareløsning for at opnå slutpunktsbeskyttelse mod malware. For at opnå et fuldstændigt angrebsoverfladeforsvar skal de identificere de angrebsvektorer, hvorigennem malware spreder sig.

Sådan hjælper UpGuard med øjeblikkeligt

at opdage sårbarheder, der kan lette malware-indtrængen. UpGuard-platformen kan også identificere e-mail-sikkerhedsproblemer, phishing og malware og typosquatting i realtid.

Krav 6: Udvikle og vedligeholde sikre systemer og software.

Ikke-patchede sårbarheder i tredjepartssoftware, herunder forældede operativsystemer, kan føre til alvorlige konsekvenser. Cyberkriminelle udnytter zero-day-sårbarheder til at infiltrere interne systemer. Sikker kodningspraksis og softwarelivscyklusprocesser (SLC) kan hjælpe med at undgå nul-dage, men leverandører skal handle hurtigt for at rette disse sikkerhedsfejl eller risikere store databrud.

Hurtig registrering af sårbarheder og sikker kodningspraksis fremskynder patching-processen ved at lokalisere fejlkilden.

Få mere at vide om zero-day-sårbarheder >

Sådan hjælper UpGuard med øjeblikkeligt

at registrere sårbarheder på tværs af den interne og tredjeparts angrebsflade. UpGuard scanner kodelagre, herunder S3-buckets, offentlige GitHub-lagre og usikrede RSync- og FTP-servere, for fejlkonfigurationer, der forårsager datalækager.

Krav 7: Overvåg og test netværk regelmæssigt

Overdrevne tilladelser er en fejlkonfiguration i skyen, hvor uautoriserede brugere tildeles adgangsrettigheder/privilegier ud over deres krav. Denne almindelige fejl kan hurtigt lette insidertrusler og tredjeparts datalækager, der i sidste ende kan føre til brud.

Organisationer skal implementere princippet om mindste rettigheder for at begrænse brugertilladelser til minimumskravene. Rådet for projekter af fælles interesse udvider disse krav til at omfatte alle tredjeparter.

Få mere at vide om, hvordan du løser almindelige fejlkonfigurationer i skyen

Få mere at vide om, hvordan du implementerer princippet om mindste rettigheder

Sådan hjælper UpGuard med løbende

at overvåge hele angrebsfladen for at identificere fejlkonfigurationer i skyen, før de forårsager databrud.

Krav: 8: Identificer brugere og godkend adgang til systemkomponenter

Ubudne gæster kan snige sig ind i privilegerede systemer og eksfiltrere følsomme data, hvis der ikke er stærke adgangskontrolmekanismer på plads. Organisationer bør implementere effektive godkendelsesværktøjer, såsom 2FA eller MFA, som en del af et bredere IAM-system (Identity Access Management), der spænder over hele angrebsfladen.

Få mere at vide om 2FA og MFA >

Krav 9: Begræns fysisk adgang til kortholderdata

PCI-rådet udtaler, at fysisk adgang til systemer, der lagrer, behandler eller overfører kortholderdata, bør være "passende begrænset. "Dette krav er kun effektivt, hvis alle systemer, der lagrer nogen form for følsomme data, er beskyttet på samme måde, herunder leverandørernes.

Organisationer bør implementere en clean desk-politik (CDP) for at sikre, at papirkopier, der indeholder fortrolige oplysninger, opbevares sikkert og destrueres, når de ikke længere er nødvendige. De skal også sikre, at deres leverandører gør det samme.

Krav 10: Log og overvåg al adgang til systemkomponenter og kortholderdata

Logningsmekanismer giver organisationer mulighed for at forhindre, registrere eller minimere virkningen af sikkerhedshændelser, der fører til kompromittering af data. PCI-rådet giver mandat til "tilstedeværelsen af logfiler på alle systemkomponenter og i kortholderdatamiljøet (CDE) [for at muliggøre] grundig sporing, advarsel og analyse, når noget går galt. "Dette krav gælder også for tredjeparter.

Organisationer bør sikre, at logningsmekanismer er på plads på tværs af alle systemer, herunder leverandørernes systemer, for at levere systemaktivitetslogfiler i tilfælde af en sikkerhedshændelse. Detaljeret logføring gør det muligt for sikkerhedsteams at udføre rodårsagsanalyse, hvilket gør det muligt for sikkerhedsteams at udvikle forebyggelsesforanstaltninger mod lignende hændelser i fremtiden.

Krav 11: Test sikkerheden af systemer og netværk regelmæssigt

Nye sårbarheder dukker op dagligt, og cyberkriminelle er hurtige til at opdage dem. PCI-rådet kræver, at enheder ofte skal teste følgende sikkerhedskontroller for at opnå tilstrækkelig sårbarhedsstyring:

Systemkomponenter
Systemprocesser
Skræddersyet software
Brugerdefineret software

Organisationer bør udføre regelmæssige penetrationstest for at identificere system- og netværkssårbarheder og implementere et system til registrering og forebyggelse af indtrængen (IDS) til at identificere og opsnappe mistænkelig netværkstrafik. Kontinuerlig overvågning af hele angrebsfladen giver organisationer mulighed for at opdage og afhjælpe sårbarheder med det samme.

Få mere at vide om penetrationstest

Få mere at vide om vigtigheden af løbende sikkerhedsovervågning

UpGuards kontinuerlige overvågningsfunktioner for angrebsoverfladen registrerer aktive Common Vulnerabilities and Exposures (CVE'er), der påvirker dig og dine leverandører, hvilket giver hurtigere afhjælpning.

Krav 12: Understøt informationssikkerhed med organisatoriske politikker og program

En informationssikkerhedspolitik (ISP) definerer regler, politikker og procedurer, der sikrer, at alle slutbrugere og netværk i en organisation opfylder minimumskravene til it-sikkerhed og databeskyttelse. PCI-rådet erklærer, at alt personale har sikkerhedsbevidsthed om følsomheden af kortholderdata og deres ansvar for at beskytte dem.

En effektiv internetudbyder bør adressere alle en organisations data, programmer, systemer, faciliteter, infrastruktur, autoriserede brugere, tredjeparter og fjerde parter, herunder en hændelsesresponsplan, for effektivt at styre angrebsfladen.

Lær, hvordan du opretter en effektiv internetudbyder >

Se dette nedenfor for at lære om nogle af UpGuards funktioner til rapportering af overholdelse.