PCI DSS: förstå och avgränsa granskningsomfattningen
Kartlägg betalflödet innan ni väljer skydd. En tydlig omfattning hjälper er att rikta säkerhetsarbetet rätt.
Börja med kortdata och deras väg
PCI DSS gäller skydd av betalkortsdata. Granskningsomfattningen beror på var kortdata lagras, behandlas eller överförs och vilka system som är anslutna till eller kan påverka säkerheten i den miljön.
Rita flödet från insamling till betalning, lagring och radering. Ta med integrationer, administrativa anslutningar och relevanta loggar och säkerhetskopior. En karta över servrar räcker inte om människor och processer runt dem lämnas utanför.
Avgränsning behöver kunna visas
Nätverkssegmentering och andra kontroller kan bidra till att avgränsa miljön. Det viktiga är hur separationen faktiskt fungerar och hur den verifieras. Dokumentera anslutningar, behörigheter och beroenden och pröva avgränsningen när lösningen förändras.
Tokenisering kan ändra dataflödet
Tokenisering ersätter ett känsligt värde med en referens, en token. System som bara behöver referensen kan då slippa hantera det ursprungliga kortnumret.
Omfattningen försvinner inte automatiskt. Tokeniseringstjänsten, möjligheten att återskapa eller hämta kortdata och anslutningar till betalningsmiljön behöver ingå i bedömningen. Validera lösningen med den kompetens och granskning som gäller för er verksamhet.
Leverantörens underlag är en del av bedömningen
Outsourcing tar inte bort kundens alla skyldigheter. Klargör vilket ansvar leverantören tar och vilka kontroller ni behöver sköta själva. Begär aktuell Attestation of Compliance, AOC, när det är relevant och kontrollera att den omfattar den tjänst ni faktiskt använder.
- Vilka data och system omfattas av vår lösning?
- Vilka säkerhetskontroller levererar varje part?
- Vilket aktuellt underlag styrker leverantörens omfattning?
- Hur fångar vi upp ändringar som påverkar bedömningen?
Källor och vidare läsning
Källorna genomgångna .