Cách cô lập tuân thủ PCI

Chúng tôi hiện đang xử lý, nhưng không lưu trữ dữ liệu thẻ tín dụng. Chúng tôi ủy quyền các thẻ thông qua một ứng dụng tự phát triển bằng API Authorize.net.

Nếu có thể, chúng tôi muốn giới hạn tất cả các yêu cầu của PCI ảnh hưởng đến các máy chủ của chúng tôi (chẳng hạn như cài đặt Anti-Virus) vào một môi trường riêng biệt. Điều đó có thể làm trong khi vẫn duy trì sự tuân thủ?

Nếu vậy, những gì sẽ tạo thành sự cô lập hiệu quả? Nếu không, có nơi nào phạm vi đó được xác định rõ ràng?

Lần cuối cùng tôi đọc các tiêu chuẩn PCI, chúng có các yêu cầu cách ly được nêu khá rõ (thuật ngữ kỹ thuật trong ngôn ngữ PCI là để giảm phạm vi của môi trường tuân thủ PCI). Chừng nào những máy chủ không tuân thủ một cách trắng trợn không có quyền truy cập vào vùng tuân thủ, thì nó sẽ bay. Đó sẽ là một phân đoạn mạng được tường lửa hoàn toàn từ mạng bình thường của bạn và các quy tắc trên tường lửa đó tự tuân thủ PCI.

Chúng tôi đã làm nhiều điều tương tự chính mình ở công việc cũ của tôi.

Điều quan trọng cần ghi nhớ là từ góc độ của khu vực tuân thủ PCI, mọi thứ không nằm trong khu vực này đều phải được đối xử như Internet công cộng, bất kể đó có phải là cùng một mạng lưu trữ IP công ty của bạn hay không. Miễn là bạn làm điều đó, bạn nên tốt.

Điều này thực sự khá phổ biến. Chúng tôi thường xuyên gọi / chỉ định máy tính là "trong phạm vi cho PCI".

Ngoài ra, "rõ ràng" đôi khi không phải là một phần của từ vựng PCI. Ngôn ngữ có thể mơ hồ. Chúng tôi đã thấy rằng đôi khi cách tiếp cận đơn giản nhất có thể là hỏi kiểm toán viên xem một giải pháp được đề xuất có hiệu quả không. Hãy xem xét những điều sau đây từ PCI-DSS V2:

"Không có phân đoạn mạng phù hợp (đôi khi được gọi là" mạng phẳng "), toàn bộ mạng nằm trong phạm vi đánh giá PCI DSS. Phân đoạn mạng có thể đạt được thông qua một số phương tiện vật lý hoặc logic, như tường lửa mạng được định cấu hình đúng, bộ định tuyến với danh sách kiểm soát truy cập mạnh hoặc các công nghệ khác hạn chế quyền truy cập vào một phân khúc cụ thể của mạng. "

Điều đó có nghĩa là một chuyển đổi mạng bình thường đáp ứng các yêu cầu? Họ sẽ dễ dàng nói như vậy, nhưng bạn hãy đi đi. Đó là "các công nghệ khác hạn chế quyền truy cập vào một phân khúc cụ thể của mạng." Một mục yêu thích khác của tôi về phạm vi:

"... Các ứng dụng bao gồm tất cả các ứng dụng đã mua và tùy chỉnh, bao gồm các ứng dụng bên trong và bên ngoài (ví dụ: Internet)."

Tôi không chắc chắn về phần AD, nhưng chúng tôi có HIDS và phần mềm chống vi-rút trên tất cả các DC của chúng tôi, vì vậy tôi nghi ngờ rằng nó có thể.