PCI DSS Readiness & Penetrationstests
Einen Report on Compliance zeichnet ein Qualified Security Assessor ab, eine Attestation of Compliance ist Ihre formelle Erklärung. Beides stellen wir nicht aus. Wir machen Sie bereit für das Assessment: Wir grenzen Ihre Karteninhaberdaten-Umgebung ab, schließen die Lücken gegenüber PCI DSS v4.0.1 und führen die Penetrations- und Segmentierungstests nach Requirement 11.4 durch, die der Standard vorschreibt.
Scope, Lücken & die erforderlichen Tests
PCI DSS schützt die Karteninhaberdaten-Umgebung (CDE). Das richtige Scoping ist der wichtigste Schritt: Ist es zu eng, fallen Sie durch, ist es zu weit, zahlen Sie drauf. Wir erfassen die CDE und die verbundenen Systeme, bewerten die Lücke zu v4.0.1 und führen die Penetrationstests durch, die der Standard in Requirement 11.4 verlangt.
- Scoping der Karteninhaberdaten-Umgebung (CDE) und Datenfluss-Mapping
- Gap-Assessment gegenüber den Anforderungen von PCI DSS v4.0.1
- Externe und interne Penetrationstests gemäß Requirement 11.4
- Segmentierungstests, die die Isolation der CDE aktiv validieren
- Behebung ausnutzbarer Befunde, danach Re-Test (unterstützt Req 11.4.4)
- Aufbereitung der Nachweise zur Übergabe an Ihren QSA oder für Ihr SAQ
Readiness und Tests, QSA-unabhängig
Wir benennen die Grenzen unserer Arbeit offen: Wir liefern PCI-DSS-Vorbereitung, das Gap-Assessment und die Penetrations- und Segmentierungstests nach Requirement 11.4. Wir sind kein Qualified Security Assessor, validieren keine Compliance, stellen keinen Report on Compliance aus und zeichnen keine Attestation of Compliance ab. Das ist die Rolle des QSA. Auf Wunsch erhalten Sie ein Bestätigungsschreiben zum Test, das ausdrücklich keine QSA-Attestierung ist.
- 1
Scoping
Wir bilden die CDE, Datenflüsse und verbundene Systeme ab, vereinbaren die Rules of Engagement und unterzeichnen ein NDA.
- 2
Gap-Assessment
Wir messen die Controls an PCI DSS v4.0.1 und priorisieren, was vor dem Assessment geschlossen werden muss.
- 3
Penetrationstests
Wir führen externe und interne Tests gemäß Requirement 11.4 durch und bestätigen Schwächen, indem wir sie ausnutzen.
- 4
Segmentierungsvalidierung
Wir versuchen aktiv, die CDE von außen zu erreichen. Die Segmentierung wird also getestet und nicht nur gescannt.
- 5
Behebung & Re-Test
Sie beheben, wir testen die behobenen Befunde erneut (zur Unterstützung von Req 11.4.4) und bereiten die Nachweise für Ihren QSA auf.
Was Sie erhalten
Ein Bild von Scope und Lücken plus die Penetrationstest-Nachweise, auf die sich Ihr Assessment stützt, gegliedert nach der Vorlage des PCI SSC für Penetrationstest-Berichte. RoC und AoC erstellt Ihr QSA, nicht wir.
- CDE-Scope-Erklärung und Datenfluss-Dokumentation
- Gap-Assessment, abgebildet auf die Anforderungen von PCI DSS v4.0.1
- Penetrationstest-Bericht mit einem eigenen Abschnitt zu den Ergebnissen des Segmentierungstests
- Jeder Befund: Ausnutzbarkeit, Nachweis, Reproduktion und Behebung (CVSS 3.1)
- Kostenloser Re-Test behobener Probleme innerhalb des im SoW festgelegten Zeitfensters, zur Unterstützung von Requirement 11.4.4
- Bestätigungsschreiben zum Test (ausdrücklich keine QSA-Attestierung)
Gegründet auf PCI DSS v4.0.1 & der PCI-SSC-Testleitlinie
Die Vorbereitung richtet sich nach PCI DSS v4.0.1 (dem aktuellen Standard). Penetrations- und Segmentierungstests sind in Requirement 11.4 verortet und folgen der PCI SSC Penetration Testing Guidance auf Basis von PTES und NIST SP 800-115. Segmentierungstests prüfen die Isolation aktiv, statt nur danach zu scannen. Wir liefern Vorbereitung und Tests, sind aber kein QSA, validieren keine Compliance und stellen keinen Report on Compliance aus; jedes Bestätigungsschreiben ist ausdrücklich keine QSA-Attestierung. PCI-Versionen und Validierungsregeln ändern sich, daher bestätigen wir sie beim Scoping erneut.
Werden Sie bereit für PCI DSS.
Erzählen Sie uns von Ihrer Karteninhaberdaten-Umgebung. Wir grenzen sie ab, bewerten die Lücke zu v4.0.1, führen die Penetrations- und Segmentierungstests nach Requirement 11.4 durch und bereiten die Nachweise für Ihren QSA auf, unter NDA. Die Erstberatung ist kostenlos.