PCI DSS تركز على حماية بيانات بطاقة الدفع. فالشركات تحتاج إلى نطاق الأصول، ومسح مدى التأثر، ومراقبة الدخول، وقطع الأشجار، والأدلة المجزأة، والتطوير الآمن، والاختبار المنتظم للمراقبة.
فريق التحرير: Security Stack Compareتحديث الصفحة:
PCI DSS تركز على حماية بيانات بطاقة الدفع. فالشركات تحتاج إلى نطاق الأصول، ومسح مدى التأثر، ومراقبة الدخول، وقطع الأشجار، والأدلة المجزأة، والتطوير الآمن، والاختبار المنتظم للمراقبة.
الأدوات + الناس
أبق مالكاً مسؤولاً داخل منظمتك سد أي ثغرات في المهارات أو القدرات عن طريق تعيين داخلي أو خبير استشاري أو مقدم خدمات منظم. لم يتم اختيار أي مزود لك.
النظر في دعم الخبراء · لم يتم اختيار مقدم خدمة
تحقق أولاً مما إذا كان الرصاص الداخلي يمكن أن يمتلك البرنامج. تأمل في القيادة الخارجية فقط من أجل وجود فجوة في القدرات أو الخبرات؛ ولا تحتاج إلى خدمة جديدة لمجرد استخدام هذه الخطة.
النظر في دعم الخبراء · لم يتم اختيار مقدم خدمة
تكليف شخص ما بالنطاق المطلوب وتقييم الثغرات وتنظيم الأدلة استخدم فريقك أو قارن اختصاصي الإعداد المؤهلين؛ وأشرك المقيِّم المستقل المختص عند الاقتضاء.
تحتاج خدمات الخبراء إلى نطاق وعرض سعر منفصلين؛ ولا تشمل اشتراكات البرامج أو تقديرات الوقت الأسبوعي لاستخدامها هذا العمل. تقرر الجهة المستقلة المختصة نتائج منح الشهادات والتدقيق.
وضع أدوات التخطيط والأشخاص لهذا الهدف(ج) رسم خريطة عملية للاحتياجات لنطاق المنتجات الموثقة. فالتغطية التحريرية هي نقطة انطلاق للتحقق، وليست دليلا على الامتثال. ويحتاج النطاق الذي يصفه البائعون وعمليات التكامل إلى تحقق منفصل.
قارن بين أداتين مقابل كل مطلب.
دليل مستمر على التجزؤ والنطاق.
بالنسبة cardholder data scope mapping، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
المسح الخارجي للأشعة السينية + العلاج.
بالنسبة quarterly asv scans، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
وتُحفظ السجلات وتُراجع يوميا.
بالنسبة logging & retention (1 year)، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
تذاكر تغيير موثقة في النطاق.
بالنسبة change control، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
MFA لجميع الوصول CDE.
بالنسبة access control & mfa، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
كل سنة + بعد التغيير.
بالنسبة penetration testing، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
حزمة QSA جاهزة.
بالنسبة audit-ready evidence pack، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ.
| الاشتراط | 🇨🇭 إقتباس عبء العمل | 🇺🇸 من $59.99/ جهاز / سنة | 🇺🇸 من $3/ مستخدم / شهر | 🌐 حر / $571+ سحابة | 🇺🇸 اقتباس | ملاحظة المحرر |
|---|---|---|---|---|---|---|
تحديد نطاق الأنظمة التي تتعامل مع بيانات حاملي البطاقات دليل مستمر على التجزؤ والنطاق. | غير مشمولة | جزئي | جزئي | جزئي | قوي | ›بالنسبة cardholder data scope mapping، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
مسح فصلي لأجهزة ASV المسح الخارجي للأشعة السينية + العلاج. | غير مشمولة | نُفذت | نُفذت | نُفذت | نُفذت | ›بالنسبة quarterly asv scans، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
تسجيل السجلات والاحتفاظ بها (1 سنة) وتُحفظ السجلات وتُراجع يوميا. | جزئي | قوي | قوي | قوي | نُفذت | ›بالنسبة logging & retention (1 year)، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
ضبط التغيير تذاكر تغيير موثقة في النطاق. | غير مشمولة | غير مشمولة | غير مشمولة | غير مشمولة | جزئي | ›بالنسبة change control، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
مراقبة الدخول & MFA MFA لجميع الوصول CDE. | جزئي | نُفذت | قوي | جزئي | نُفذت | ›بالنسبة access control & mfa، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
اختبار الاختراق كل سنة + بعد التغيير. | غير مشمولة | إضافة | غير مشمولة | غير مشمولة | غير مشمولة | ›بالنسبة penetration testing، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
مجموعة أدلة جاهزة للمراجعة حزمة QSA جاهزة. | جزئي | جزئي | جزئي | جزئي | جزئي | ›بالنسبة audit-ready evidence pack، اطلب عينة من الناتج، و اسم المالك ونطاق التكامل أو الخدمة. اختبار أن المراقبة تعمل وأن الأدلة الخاصة بها يمكن مراجعتها؛ وعلامة التغطية وحدها ليست دليلا على التنفيذ. |
استنادا إلى القدرات الموثقة وتوصيف البائعين الموصوف. تحقق من نطاق الخطة والتكاملات والأدلة مع كل بائع قبل الشراء.
PCI DSS تركز على حماية بيانات بطاقة الدفع. فالشركات تحتاج إلى نطاق الأصول، ومسح مدى التأثر، ومراقبة الدخول، وقطع الأشجار، والأدلة المجزأة، والتطوير الآمن، والاختبار المنتظم للمراقبة.
أي شخص يقوم بتخزين/معالجة/إرسال بيانات البطاقات.
مسح فصلي، اختبارات تجزئة، مراجعات سجلّية.
دليل النطاق المستمر واستعراض السجل.
بالنسبة لـ PCI DSS، وضع خريطة لكل شرط إلى المالك، وتحكم تشغيلي وأدلة مؤرخة. ابدأ بالسجلات من الأنظمة التي تستخدمها بالفعل. التحقق من الصادرات واستعراض التوقعات قبل شراء برامج الجمع أو التنسيق.